Berikan kebijakan sistem dan kebijakan kustom RAM kepada pengguna Security Center - Security Center

Untuk menerapkan pengelolaan izin detail halus bagi pengguna RAM yang menggunakan fitur Security Center, Anda dapat memberikan kebijakan sistem atau kebijakan kustom kepada pengguna tersebut. Topik ini menjelaskan cara memberikan kebijakan sistem dan kebijakan kustom kepada pengguna RAM guna menerapkan pengelolaan izin detail halus.

Jenis kebijakan

Alibaba Cloud Resource Access Management (RAM) menyediakan kebijakan sistem default untuk layanan cloud dan mendukung kebijakan kustom. Kebijakan sistem dibuat oleh Alibaba Cloud dan tidak dapat dimodifikasi. Anda dapat menggunakan kebijakan kustom untuk mengontrol secara tepat akses dan operasi pengguna RAM terhadap Security Center.

Catatan

Kebijakan default yang didukung oleh Security Center adalah AliyunYundunSASFullAccess (mengizinkan pengguna RAM melakukan operasi pada semua fitur Security Center) dan AliyunYundunSASReadOnlyAccess (mengizinkan pengguna RAM memiliki akses read-only ke semua data Security Center).

Buat pengguna RAM

Untuk informasi selengkapnya, lihat Buat pengguna RAM.

Berikan kebijakan sistem kepada pengguna RAM

Alibaba Cloud menyediakan kebijakan sistem untuk User Center serta untuk mengakses atau mengelola Security Center. Jika pengguna RAM menerima prompt No Permission saat membeli, memperpanjang, atau berhenti berlangganan instans Security Center, atau menerima prompt No Permission. Check Your Permissions. saat mengakses Security Center, Anda dapat memberikan kebijakan sistem yang sesuai kepada pengguna RAM dengan mengikuti langkah-langkah berikut.

Penting

Kebijakan sistem User Center berlaku untuk semua produk cloud. Setelah Anda memberikan kebijakan sistem terkait User Center kepada pengguna RAM, pengguna tersebut akan memiliki izin untuk membeli, memperpanjang, dan berhenti berlangganan semua produk cloud.

Masuk ke RAM console sebagai administrator RAM.
Di panel navigasi sebelah kiri, pilih Identities > Users.
Pada halaman Users, temukan pengguna RAM yang telah Anda buat, lalu di kolom Actions, klik Attach Policy.
Anda juga dapat memilih beberapa pengguna RAM dan mengklik Attach Policy di bawah daftar pengguna untuk memberikan izin kepada beberapa pengguna RAM sekaligus.

Pada panel Attach Policy, berikan izin kepada pengguna RAM.

Resource scope:
1. Account level: Izin berlaku untuk semua resource dalam Akun Alibaba Cloud saat ini. Opsi ini cocok untuk skenario umum yang tidak memerlukan isolasi izin berdasarkan kelompok sumber daya.
2. Resource group level: Izin hanya berlaku dalam kelompok sumber daya tertentu. Opsi ini cocok untuk skenario di mana beberapa tim berbagi satu Akun Alibaba Cloud dan izin harus diisolasi berdasarkan kelompok sumber daya. Jika pengguna RAM diberikan izin tingkat kelompok sumber daya, pengguna tersebut harus mengganti cakupan resource ke kelompok sumber daya yang diizinkan di bilah navigasi atas setelah masuk ke konsol agar dapat mengakses dan mengelola resource dalam kelompok sumber daya tersebut dengan benar.
  Catatan
  1. Sistem secara otomatis menandai kebijakan sistem berisiko tinggi, seperti AdministratorAccess dan AliyunRAMFullAccess. Kebijakan ini biasanya mencakup izin full control atas semua sumber daya cloud atau izin manajemen penuh atas Resource Access Management (RAM). Berikan kebijakan ini dengan hati-hati.
  2. Untuk informasi lebih lanjut tentang otorisasi kelompok sumber daya, lihat Kontrol akses pengguna RAM ke instans ECS tertentu.
Principal: Principal adalah pengguna RAM yang ingin Anda tambahkan izinnya. Sistem secara otomatis memilih pengguna RAM saat ini.

Pilih kebijakan sistem berdasarkan skenario dan klik Confirm.

Skenario	Kebijakan sistem
Membeli, memperpanjang, atau berhenti berlangganan instans Security Center	AliyunBSSOrderAccess、AliyunBSSRefundAccess
Akses read-only ke Security Center	AliyunYundunSASReadOnlyAccess
Mengelola Security Center	AliyunYundunSASFullAccess

Tinjau hasil otorisasi dan klik Close.

Berikan kebijakan kustom kepada pengguna RAM

Lakukan langkah-langkah berikut untuk menggunakan kebijakan kustom guna mengontrol secara tepat akses dan operasi pengguna RAM terhadap Security Center.

Langkah 1: Buat kebijakan kustom untuk Security Center

Masuk ke RAM console sebagai administrator RAM.
Di panel navigasi sebelah kiri, pilih Permissions > Policies.
Pada halaman Policies, klik Create Policy.

Pada halaman Create Policy, klik tab JSON. Contoh skrip umum adalah sebagai berikut:

Perpanjangan dan pengembalian dana

Skenario	Konfigurasi skrip
Kueri harga untuk perpanjangan otomatis (`bssapi:QueryAvailableInstances`) dan konfigurasi pengaturan perpanjangan otomatis (bssapi:SetRenewal)	`{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }`
Modifikasi pengaturan perpanjangan otomatis (`bss:ModifyPrepaidInstanceAutoRenew`)
Bayar pesanan perpanjangan dan upgrade/downgrade (`bss:PayOrder`)
Tampilkan harga diskon (`bss:QueryPrice`)
Minta pengembalian dana (`bss:RefundBatchRemainRefund`)

Akses read-only ke Asset Center

{
    "Version": "1",
    "Statement": [
        {
           "Action": [
                     "yundun-sas:DescribeCloudCenterInstances",
                     "yundun-sas:DescribeFieldStatistics",
                     "yundun-sas:DescribeCriteria"
                     ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Pemeriksaan keamanan di Asset Center

{
    "Version": "1",
    "Statement": [
        {
            "Action": "yundun-sas:ModifyPushAllTask",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Akses read-only ke manajemen kerentanan

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "yundun-sas:DescribeVulFixStatistics",
                "yundun-sas:DescribeVulDefendCountStatistics",
                "yundun-sas:DescribeVulMetaCountStatistics",
                "yundun-sas:DescribeVulListPage",
                "yundun-sas:DescribeVulNumStatistics",
                "yundun-sas:DescribeVulConfig",
                "yundun-sas:DescribeGroupedVul",
                "yundun-sas:DescribeVulDetails",
                "yundun-sas:DescribeVulList",
                "yundun-sas:DescribeVulWhitelist",
                "yundun-sas:DescribeAppVulScanCycle",
                "yundun-sas:ListVulAutoRepairConfig",
                "yundun-sas:DescribeEmgUserAgreement",
                "yundun-sas:DescribeEmgVulItem",
                "yundun-sas:DescribeUuidsByVulNames",
                "yundun-sas:DescribeTarget",
                "yundun-sas:DescribeVulTargetStatistics",
                "yundun-sas:DescribeConcernNecessity",
                "yundun-sas:DescribeOnceTask",
                "yundun-sas:GetOnceTaskResultInfo",
                "yundun-sas:DescribeCycleTaskList",
                "yundun-sas:DescribeVulExportInfo",
                "yundun-sas:DescribeInstanceRebootStatus",
                "yundun-sas:DescribeMachineCanReboot"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Manajemen kerentanan

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "yundun-sas:OperateVuls",
                "yundun-sas:ModifyCreateVulWhitelist",
                "yundun-sas:DeleteVulWhitelist",
                "yundun-sas:ModifyVulWhitelistTarget",
                "yundun-sas:ModifyOperateVul",
                "yundun-sas:ModifyStartVulScan",
                "yundun-sas:ModifyVulConfig",
                "yundun-sas:ModifyEmgVulSubmit",
                "yundun-sas:ModifyVulTarget",
                "yundun-sas:ModifyCycleTask",
                "yundun-sas:ModifyAppVulScanCycle",
                "yundun-sas:ModifyAutoDelConfig",
                "yundun-sas:ModifyConcernNecessity",
                "yundun-sas:DeleteVulAutoRepairConfig",
                "yundun-sas:CreateVulAutoRepairConfig",
                "yundun-sas:ExportVul",
                "yundun-sas:RebootMachine",
                "yundun-sas:DescribeVulFixStatistics",
                "yundun-sas:DescribeVulDefendCountStatistics",
                "yundun-sas:DescribeVulMetaCountStatistics",
                "yundun-sas:DescribeVulListPage",
                "yundun-sas:DescribeVulNumStatistics",
                "yundun-sas:DescribeVulConfig",
                "yundun-sas:DescribeGroupedVul",
                "yundun-sas:DescribeVulDetails",
                "yundun-sas:DescribeVulList",
                "yundun-sas:DescribeVulWhitelist",
                "yundun-sas:DescribeAppVulScanCycle",
                "yundun-sas:ListVulAutoRepairConfig",
                "yundun-sas:DescribeEmgUserAgreement",
                "yundun-sas:DescribeEmgVulItem",
                "yundun-sas:DescribeUuidsByVulNames",
                "yundun-sas:DescribeTarget",
                "yundun-sas:DescribeVulTargetStatistics",
                "yundun-sas:DescribeConcernNecessity",
                "yundun-sas:DescribeOnceTask",
                "yundun-sas:GetOnceTaskResultInfo",
                "yundun-sas:DescribeCycleTaskList",
                "yundun-sas:DescribeVulExportInfo",
                "yundun-sas:DescribeInstanceRebootStatus",
                "yundun-sas:DescribeMachineCanReboot"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Izin insinyur O&M

Catatan

Dalam skenario izin insinyur O&M, skrip kebijakan ini memungkinkan pengguna RAM menggunakan fitur pemindaian kerentanan, perbaikan kerentanan, pemeriksaan baseline, dan Asset Center serta melakukan operasi terkait. Setelah Anda menyambungkan kebijakan ini, untuk operasi spesifik yang dapat dilakukan pengguna RAM, lihat aksi dan deskripsi dalam tabel Lampiran: Kebijakan izin kustom umum.

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "yundun-sas:OperateVul",
                "yundun-sas:ModifyStartVulScan"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "yundun-sas:FixCheckWarnings",
                "yundun-sas:IgnoreHcCheckWarnings",
                "yundun-sas:ValidateHcWarnings"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ecs:RebootInstance",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent": "true"
                }
            }
        },
        {
            "Action": "ecs:*",
            "Effect": "Allow",
            "Resource": [
                "acs:ecs:*:*:*"
            ]
        },
        {
            "Action": "ecs:CreateSnapshot",
            "Effect": "Allow",
            "Resource": [
                "acs:ecs:*:*:*",
                "acs:ecs:*:*:snapshot/*"
            ]
        },
        {
            "Action": [
                "ecs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }, {
            "Action": [
                "yundun-sas:ModifyPushAllTask",
                "yundun-sas:DeleteTagWithUuid",
                "yundun-sas:ModifyTagWithUuid",
                "yundun-sas:CreateOrUpdateAssetGroup",
                "yundun-sas:DeleteGroup",
                "yundun-sas:ModifyAssetImportant",
                "yundun-sas:RefreshAssets"

            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Klik Continue To Edit Basic Information, lalu masukkan Name dan Note untuk kebijakan tersebut.
Klik OK.

Langkah 2: Berikan izin kepada pengguna RAM

Masuk ke RAM console sebagai administrator RAM.
Di panel navigasi sebelah kiri, pilih Identities > Users.
Pada halaman Users, temukan pengguna RAM yang telah Anda buat, lalu di kolom Actions, klik Attach Policy.
Anda juga dapat memilih beberapa pengguna RAM dan mengklik Attach Policy di bawah daftar pengguna untuk memberikan izin kepada beberapa pengguna RAM sekaligus.
Pada panel Attach Policy, berikan izin kepada pengguna RAM.
1. Resource scope:
  1. Account level: Izin berlaku untuk semua resource dalam Akun Alibaba Cloud saat ini. Opsi ini cocok untuk skenario umum yang tidak memerlukan isolasi izin berdasarkan kelompok sumber daya.
  2. Resource group level: Izin hanya berlaku dalam kelompok sumber daya tertentu. Opsi ini cocok untuk skenario di mana beberapa tim berbagi satu Akun Alibaba Cloud dan izin harus diisolasi berdasarkan kelompok sumber daya. Jika pengguna RAM diberikan izin tingkat kelompok sumber daya, pengguna tersebut harus mengganti cakupan resource ke kelompok sumber daya yang diizinkan di bilah navigasi atas setelah masuk ke konsol agar dapat mengakses dan mengelola resource dalam kelompok sumber daya tersebut dengan benar.
    Catatan
    Sistem secara otomatis menandai kebijakan sistem berisiko tinggi, seperti AdministratorAccess dan AliyunRAMFullAccess. Kebijakan ini biasanya mencakup izin full control atas semua sumber daya cloud atau izin manajemen penuh atas Resource Access Management (RAM). Berikan kebijakan ini dengan hati-hati.
    Untuk informasi lebih lanjut tentang otorisasi kelompok sumber daya, lihat Kontrol akses pengguna RAM ke instans ECS tertentu.
2. Principal: Principal adalah pengguna RAM yang ingin Anda tambahkan izinnya. Sistem secara otomatis memilih pengguna RAM saat ini.
3. Pilih kebijakan.
  - Cari dan pilih kebijakan AliyunYundunSASReadOnlyAccess. Kebijakan sistem ini memberikan izin read-only kepada insinyur O&M untuk mengakses Security Center.
  - Cari dan pilih kebijakan kustom yang telah Anda buat di Langkah 1: Buat kebijakan kustom untuk Security Center.
Klik Confirm.

Lampiran: Kebijakan izin kustom umum

Saat pengguna RAM menggunakan fitur Security Center tertentu, Anda harus memberikan izin kustom kepada pengguna tersebut untuk fitur-fitur tersebut. Konten berikut menjelaskan skrip kebijakan izin kustom yang didukung oleh modul fitur Security Center umum.

Catatan

Dalam kebanyakan kasus, setiap aksi dalam kebijakan izin kustom RAM berkorespondensi dengan Operasi API dari layanan cloud.

Asset Center

Aksi dalam kebijakan RAM	Deskripsi	API yang didukung
yundun-sas:DescribeCloudCenterInstances	Kueri aset, termasuk jenis aset, status peringatan keamanan, dan status online klien.	DescribeCloudCenterInstances
yundun-sas:DescribeFieldStatistics	Kueri statistik server untuk aset Anda.	DescribeFieldStatistics
yundun-sas:DescribeCriteria	Kueri kriteria pencarian untuk pencarian fuzzy aset.	DescribeCriteria - Kueri kriteria untuk aset
yundun-sas:ModifyPushAllTask	Menjalankan tugas pemeriksaan keamanan pada server.	ModifyPushAllTask
yundun-sas:DeleteGroup	Menghapus grup aset.	DeleteGroup
yundun-sas:DescribeSearchCondition	Kueri kondisi filter untuk aset.	DescribeSearchCondition
yundun-sas:DescribeImageStatistics	Kueri statistik risiko aset gambar kontainer.	DescribeImageStatistics
yundun-sas:DescribeGroupedTags	Kueri statistik tag aset.	DescribeGroupedTags
yundun-sas:DescribeDomainCount	Kueri jumlah aset nama domain.	DescribeDomainCount
yundun-sas:DescribeCloudProductFieldStatistics	Kueri statistik Layanan Alibaba Cloud.	DescribeCloudProductFieldStatistics
yundun-sas:DescribeCloudCenterInstances	Kueri informasi aset.	DescribeCloudCenterInstances
yundun-sas:DescribeAllGroups	Kueri semua grup server.	DescribeAllGroups
yundun-sas:CreateOrUpdateAssetGroup	Membuat grup server atau memodifikasi server dalam grup.	CreateOrUpdateAssetGroup
yundun-sas:DescribeInstanceStatistics	Kueri statistik risiko aset.	DescribeInstanceStatistics
yundun-sas:PauseClient	Mengaktifkan atau menjeda klien agen.	PauseClient - Menjeda atau melanjutkan klien Agen
yundun-sas:ModifyTagWithUuid	Memodifikasi nama tag aset atau memperbarui aset terkait.	ModifyTagWithUuid - Memodifikasi nama atau aset terkait dari tag aset
yundun-sas:RefreshAssets	Menyinkronkan aset terbaru.	RefreshAssets
yundun-sas:ExportRecord	Mengekspor hasil pemeriksaan dari Asset Center, Cloud Security Posture Management, Pemindaian Keamanan Gambar, Analisis Serangan, dan Deteksi Kebocoran Pasangan AccessKey ke file Excel.	ExportRecord
yundun-sas:DescribeExportInfo	Kueri progres tugas ekspor aset.	DescribeExportInfo - Menggambarkan progres ekspor daftar aset
yundun-sas:DescribeDomainList	Kueri daftar aset nama domain.	DescribeDomainList
yundun-sas:DescribeDomainDetail	Kueri detail aset nama domain.	DescribeDomainDetail
yundun-sas:DescribeAssetDetailByUuid	Kueri detail aset berdasarkan UUID.	DescribeAssetDetailByUuid

Manajemen kerentanan

Tindakan dalam Kebijakan RAM	Deskripsi	API yang didukung
yundun-sas:DescribeVulWhitelist	Kueri daftar putih kerentanan dengan pagination.	DescribeVulWhitelist
yundun-sas:ModifyOperateVul	Memperbaiki, memverifikasi, atau mengabaikan kerentanan.	ModifyOperateVul
yundun-sas:ModifyVulTargetConfig	Konfigurasi deteksi kerentanan untuk satu server.	ModifyVulTargetConfig
yundun-sas:DescribeConcernNecessity	Kueri ini mengatasi kebutuhan perbaikan terhadap kerentanan yang dilacak.	DescribeConcernNecessity
yundun-sas:DescribeVulList	Kueri informasi kerentanan berdasarkan jenis.	DescribeVulList
yundun-sas:ModifyOperateVul	Memperbaiki, memverifikasi, atau mengabaikan kerentanan.	ModifyOperateVul
yundun-sas:DescribeImageVulList	Daftar kerentanan yang terdeteksi oleh pemindaian keamanan gambar dan gambar kontainer yang terpengaruh.	DescribeImageVulList
yundun-sas:ExportVul	Mengekspor daftar kerentanan.	ExportVul
yundun-sas:DescribeVulExportInfo	Kueri progres tugas ekspor kerentanan.	DescribeVulExportInfo

Cloud Security Posture Management

Tindakan dalam Kebijakan RAM	Deskripsi	API yang didukung
yundun-sas:FixCheckWarnings	Memperbaiki risiko pemeriksaan baseline.	FixCheckWarnings
yundun-sas:IgnoreHcCheckWarnings	Mengabaikan atau berhenti mengabaikan risiko pemeriksaan baseline.	IgnoreHcCheckWarnings - Mengabaikan atau membatalkan pengabaian ancaman dalam baseline secara batch
yundun-sas:ValidateHcWarnings	Memverifikasi risiko pemeriksaan baseline.	ValidateHcWarnings

Referensi

Elemen kebijakan izin: RAM menggunakan kebijakan untuk menggambarkan konten spesifik otorisasi. Kebijakan terdiri dari elemen dasar seperti Effect, Action, Resource, Condition, dan Principal.
Struktur dan sintaksis kebijakan: Pahami sintaksis dan struktur kebijakan sebelum membuat atau memperbarui kebijakan.
Kelola izin untuk insinyur O&M: Jika perusahaan Anda memiliki berbagai kebutuhan O&M, gunakan RAM untuk mengontrol izin setiap jenis insinyur O&M agar lebih mudah dikelola dan dikendalikan.
Gunakan RAM untuk membatasi alamat IP yang dapat digunakan untuk mengakses sumber daya Alibaba Cloud: RAM dapat membatasi pengguna agar hanya mengakses sumber daya cloud Anda dari alamat IP tertentu guna meningkatkan keamanan akses.
Gunakan RAM untuk membatasi periode waktu saat pengguna RAM dapat mengakses sumber daya Alibaba Cloud: RAM dapat membatasi pengguna agar hanya mengakses sumber daya cloud Anda dalam periode waktu tertentu guna meningkatkan keamanan akses.