Resource Access Management:Access Analyzerによる過剰権限アイデンティティの管理

検出結果

検出結果は、Access Analyzer によって生成されるデータオブジェクトで、以下を含みます。

• 検出結果タイプ：検出結果のカテゴリ。例：

  • スーパーユーザー/ロール

  • 特権ユーザー/ロール

  • 非アクティブなユーザー/ロール

  • 過剰権限ユーザー/ロール

• ステータス：検出結果のステータス。「アクティブ」、「解決済み」、「アーカイブ済み」のいずれかです。

• リソース情報：ターゲットリソースの名前、タイプ、および所有者。

• タイムスタンプ：作成日時、分析日時、更新日時。

• 検出結果 ID：検出結果の一意の識別子。

修復アドバイス

修復アドバイスは、Access Analyzer が検出結果に対して生成するソリューションです。

• 権限の置き換え：広範な権限を付与するポリシーを、より制限の厳しいポリシーに置き換えます。たとえば、スーパー管理者権限 (AdministratorAccess) を システム管理者権限 (PowerUserAccess) に置き換えることができます。

• 権限の削除：未使用のポリシーを削除します。

• アイデンティティ管理：非アクティブなアイデンティティを無効化または削除します。

• 検出結果のアーカイブ：意図した認可の挙動に関連する検出結果をアーカイブします。

決定ロジック

Access Analyzer は、以下の優先度に従って過剰権限アクセスを分類します。RAM アイデンティティが複数の条件に一致する場合、最も優先度の高いタイプが適用されます。

前提条件

以下の要件が満たされていることを確認します。

• Access Analyzer コンソールに、タイプが [過剰な委任] のアナライザーが存在すること。

• 必要な権限を持っていること。オペレーターには、AliyunRAMAccessAnalyzerFullAccess と AliyunRAMFullAccess ポリシーを付与することを推奨します。

操作手順

1. 検出結果の特定

   1. RAM コンソールにログインします。

   2. 左側メニューで、Access Analyzing > Findings を選択します。

   3. 上部メニューで、アナライザーが配置されているリージョンを選択します。

   4. Findings > データの概要 タブで、タイプが [非アクティブなユーザー] のアクティブな検出結果を見つけ、件数をクリックします。
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      

2. 修復アドバイスの表示と適用

   1. [Findings] リストで、不要であることを確認した RAM ユーザーを選択し、対応する [Finding ID] をクリックします。

   2. [Findings] の詳細ページで、[操作] 列で [Advices] タブをクリックします。しばらく待つと、システムに [未使用のアイデンティティを削除] の提案が表示されます。[ガバナンスに進む] をクリックします。

3. RAM コンソールのユーザー詳細ページにリダイレクトされます。ビジネス要件に応じて、コンソールログインの無効化、AccessKey の無効化、またはユーザーの削除ができます。

4. 結果を検証します。Access Analyzer コンソールに戻ります。検出結果をアーカイブできます。そうしない場合、そのステータスは次の分析サイクルの後に自動的に [Resolved] に変わります。

特権ユーザー/ロールの修復：未使用の高リスクポリシーの削除

特権ユーザー/ロール の場合、修復アドバイスは未使用の高リスクな権限ポリシーを削除することです。手順は、「スーパーユーザー/ロールの修復：未使用ポリシーの削除」と同じです。

非アクティブなユーザー/ロールの修復：アイデンティティの無効化または削除

長期間非アクティブなアイデンティティを無効化または削除して、セキュリティリスクを排除します。

1. Findings > データの概要 または Findings > Findings タブで、タイプが [非アクティブなユーザー/ロール] のエントリを見つけ、特定の [Finding ID] をクリックします。

2. [Findings] の詳細ページで、[操作] 列で [Advices] タブをクリックします。

3. [Advices] パネルで、[Remove Unused Principals] のアドバイスを見つけます。

4. リソースの所有者に基づいて、該当する操作を実行します。

   • 現在のアカウント：[Go for Governance] をクリックします。RAM コンソールのユーザーまたはロールの詳細ページにリダイレクトされます。ログオン設定のクリア、AccessKey の無効化または削除、あるいはアイデンティティの削除ができます。

     

   • クロスアカウント：[Copy Resource URL] をクリックします。ターゲットアカウントにログインし、URL にアクセスしてリクエストを処理します。

     

5. (オプション) アナライザーが修復アドバイスを提供しない場合は、「修復アドバイスが表示されないのはなぜですか？」をご参照ください。

過剰権限ユーザー/ロールの修復：未使用ポリシーの削除

過剰権限ユーザー/ロール の場合、修復アドバイスは未使用の権限ポリシーを削除することです。手順は、「スーパーユーザー/ロールの修復：未使用ポリシーの削除」と同じです。

• アナライザーのタイプ：この機能は、過剰権限アクセス タイプのアナライザーのみをサポートし、外部アクセス タイプのアナライザーはサポートしていません。

• サポートされている粒度：過剰権限アクセスアナライザーは、権限監査情報に基づいて、リソースディレクトリまたは現在のアカウント内のサービスにリンクされたロールを除くすべての RAM アイデンティティの権限を分析します。サポートされているポリシータイプ、クラウドサービス、および粒度は、権限監査と同じです (「権限監査機能と連携するサービス」をご参照ください)。ポリシーにサポートされていないサービスの権限が含まれている場合、アナライザーは権限削除の修復アドバイスを提供できません。

• ポリシータイプ (スーパー管理者置換のみ)：スーパー管理者の権限を置き換えるための修復アドバイスは、AdministratorAccess システムポリシーのみをサポートします。カスタムの管理者ポリシーはサポートされていません。

• ポリシーの内容：ポリシーに Deny または NotAction ステートメントが含まれている場合、アナライザーは権限削除の修復アドバイスを提供できません。

• 認可スコープ：管理者権限の認可スコープが [Resource Group] ではなく [アカウント] である場合、そのアイデンティティはスーパー管理者として識別されません。

• 認可方法：権限はユーザーまたはロールに直接付与することも、ユーザーグループを通じて継承することもできます。アナライザーは両方の認可方法を識別できますが、ユーザーグループから継承された権限に対する自動的な修復アドバイスは提供しません。これらの検出結果は手動で修復する必要があります。

• データ遅延：修復アドバイスは検出結果から生成され、最大で 24 時間のデータ遅延が発生する可能性があります。アドバイスの適時性が重要な場合は、検出結果の詳細ページで [Rescan] をクリックして手動で再スキャンをトリガーし、再度アドバイスを確認できます。

  

よくある質問