Resource Access Management:外部アクセスの識別

外部アクセスアナライザーとは

外部アクセスアナライザーは、アカウントまたはリソースディレクトリ内において、外部アイデンティティと共有されているリソースを識別します。OSS バケットや RAM ロールなどの一部の Alibaba Cloud リソースは、外部アイデンティティにアクセス権限を付与するリソースベースのポリシーをサポートしています。アナライザーはこれらのリソースを継続的に監視し、外部共有が検出された場合に検出結果を生成します。各検出結果には、外部アイデンティティと付与されている権限が記載されています。

信頼ゾーン

アナライザーを作成する際、分析範囲として 現在のアカウント または リソースディレクトリ を選択します。この範囲は、アナライザーの 信頼ゾーン を定義します。アナライザーは、信頼ゾーン内のサポートされているリソースを監視し、このゾーン内の任意の ID からのアクセスを信頼済みとして扱います。信頼ゾーンが 現在のアカウント の場合、このアカウント内の ID のみが信頼されます。信頼ゾーンが リソースディレクトリ の場合、そのディレクトリ内のすべてのアカウントの ID が信頼され、ディレクトリ外の ID は信頼されません。

サポート対象リソースタイプ

• OSS バケット

  アナライザーは、ACL とバケットポリシーをパブリックアクセスのブロック設定に照らして評価します。匿名ユーザーなど、信頼ゾーン外のエンティティからバケットへのアクセスが許可されている場合、アナライザーはアクティブな検出結果を生成します。

• RAM ロール

  アナライザーは RAM ロールの信頼ポリシーを評価します。信頼ポリシーは、どのエンティティがロールを引き受けることができるかを指定します。信頼ゾーン外のエンティティが信頼ゾーン内の RAM ロールを引き受けることができる場合、アナライザーはアクティブな検出結果を生成します。

検出結果の表示

検出結果は、アナライザー ページまたは 分析結果 ページで確認できます。

[アナライザー] ページで、アナライザー名をクリックして詳細を表示します。ページには、 [アナライザー名] 、実行ステータス、 [アナライザータイプ] 、 [アナライザースコープ] 、作成時刻、ARN、および最終分析時刻が表示されます。[検出結果] タブには、 [検出結果 ID] 、 [リソース] 、 [リソース所有者] 、 [ステータス] 、 [更新日時] 、および [操作] ( [アーカイブ] など) の列を含む検出結果が一覧表示されます。[フィルターキー] と [一致タイプ] で検出結果をフィルタリングできます。

[検出結果] ページの [検出結果] タブで、 [フィルターキー] と [一致タイプ] (例： [ステータス] が [アクティブ] に等しい) を使用してフィルター条件を設定します。結果テーブルには、 [検出結果 ID] 、 [リソース] 、 [リソース所有者] 、 [ステータス] 、 [更新日時] 、および [操作] が表示されます。[アーカイブ] をクリックして検出結果をアーカイブするか、 [アーカイブルールとして保存] をクリックして現在のフィルターをルールとして保存します。

検出結果のフィルタリング

[リソース] 、 [リソースタイプ] 、 [リソース所有者] 、または [ステータス] で検出結果をフィルタリングできます。

例えば、パブリックアクセスを確認するには：

[フィルターキー] を [パブリックアクセス] に、 [一致タイプ] を [等しい] に、 [フィルター値] を true に設定します。次に、 [ステータス] が [アクティブ] に等しいというフィルター条件を追加します。

検出結果の詳細表示

検出結果リストで、結果 ID をクリックして詳細を表示します。

検出結果の詳細ページには、 [基本情報] と [詳細] セクションが表示されます。基本情報には、 [アナライザー名] 、 [検出結果タイプ] 、 [ステータス] 、 [リソースタイプ] 、 [リソース ARN] 、 [リソース所有者] 、および作成、分析、更新時刻が含まれます。[詳細] タブには、リソースに [パブリックアクセス] があるかどうかが表示され、 [プリンシパルタイプ] 、 [識別子] 、 [許可されたアクション] 、および [アクセス条件] の列を含む [外部アイデンティティ] テーブルが一覧表示されます。右上隅に [再スキャン] ボタンがあります。

検出結果に基づいて、次のいずれかの操作を実行します：

• 共有が意図したものである場合、アーカイブ をクリックして検出結果をアーカイブします。

• 共有が意図しないものである場合は、ガバナンスへ移動 (現在のアカウント内のリソースの場合) または リソース URL をコピー (現在のアカウント外のリソースの場合) をクリックしてリソースページに移動し、アクセス設定を修正します。

検出結果の自動アーカイブ

個々の検出結果を手動でアーカイブするだけでなく、ガバナンスを必要としない検出結果を自動的にアーカイブするアーカイブルールを作成できます。

分析結果 ページでアーカイブ ルールを作成して保存します。ルールの条件に一致する新規の検出結果は、自動的にアーカイブされます。

[検出結果リスト] ページで、 [フィルターキー] 、 [一致タイプ] 、および [フィルター値] ドロップダウンを使用してフィルター条件を設定し、 [アーカイブルールとして保存] をクリックします。

このルールは既存の検出結果には適用されません。遡って適用するには、アナライザー の詳細ページに移動し、アーカイブ ルール リストの アクション 列で アーカイブルールの適用 をクリックします。