Resource Access Management:Access Analyzer を使用した過剰な権限アクセスの管理

分析結果

分析結果は、Access Analyzer が生成するデータオブジェクトです。これには、次の主要な情報が含まれています。

• 結果タイプ: 分析結果のカテゴリ。例:

  • スーパー管理者ユーザー/ロール

  • 特権ユーザー/ロール

  • 非アクティブなユーザー/ロール

  • 過剰な権限を持つユーザー/ロール

• 結果ステータス: 処理ステータス。例: 保留中、解決済み、またはアーカイブ済み。

• リソース情報: ターゲットリソースの名前、タイプ、およびオーナー。

• 時間情報: 作成時間、分析時間、および更新時間。

• 結果 ID: 分析結果の一意の識別子。

管理提案

管理提案は、Access Analyzer が分析結果に対して生成するソリューションです。これには以下が含まれます。

• 権限の置き換え: 広範な権限を持つポリシーを、より小さな権限範囲を持つポリシーに置き換えます。たとえば、スーパー管理者権限 (AdministratorAccess) を システム管理者権限 (PowerUserAccess) に置き換えます。

• 権限の削除: 未使用のアクセスポリシーを削除します。

• ID の管理: 非アクティブな ID を無効化または削除します。

• 結果のアーカイブ: 期待どおりの権限付与動作をアーカイブします。

検出ロジック

Access Analyzer は、次のロジックを使用して過剰な権限アクセスのタイプを決定します。ID が複数の条件を満たす場合、優先度の高いものから低いものへと、単一の結果タイプに分類されます。

前提条件

開始する前に、次の条件が満たされていることを確認してください。

• アナライザの作成: Access Analyzer コンソールで、[過剰な権限アクセス] アナライザを作成します。

• 必要な権限を持つ: 管理操作を実行するには、対応する RAM 権限が必要です。オペレーターに AliyunRAMAccessAnalyzerFullAccess および AliyunRAMFullAccess 権限を付与する必要があります。

プロシージャ

1. プロファイリング結果

   1. RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[Access Analyzer] > [分析結果] をクリックします。

   3. 上部のナビゲーションバーで、アナライザインスタンスが配置されているリージョンを選択します。

   4. [分析結果] > [データ概要] タブで、[非アクティブなユーザー] タイプの保留中の結果を見つけてクリックします。
      
      
      

2. 管理提案の表示と適用

   1. [結果リスト] で、不要になったことを確認したターゲット RAM ユーザーを選択します。対応する [結果 ID] をクリックします。

   2. [分析結果] 詳細ページで、[ガバナンス提案] タブをクリックします。しばらく待つと、システムに [未使用の ID を削除] という提案が表示されます。[ガバナンスへ移動] をクリックします。

3. ページは RAM コンソールのユーザー詳細ページにリダイレクトされます。その後、必要に応じて、コンソールログインの無効化、AccessKey の無効化、またはユーザーの削除ができます。

4. 結果を検証します。Access Analyzer コンソールに戻ります。結果をアーカイブするか、次の分析サイクル後に自動的に [解決済み] としてマークされるのを待ちます。

特権ユーザー/ロールの管理 - 未使用の重要なアクセスポリシーの削除

特権ユーザー/ロールの場合、管理提案は未使用の重要なアクセスポリシーを削除することです。手順は、「スーパー管理者ユーザー/ロールの管理 - 未使用のアクセスポリシーの削除」と同じです。

非アクティブなユーザー/ロールの管理 - ID の無効化または削除

長期間使用されていない ID については、セキュリティリスクを完全に排除するために、無効化または削除することがベストプラクティスです。

1. [分析結果] > [データ概要] または [分析結果] > [結果リスト] タブで、[非アクティブなユーザー/ロール] タイプのエントリを見つけます。特定の [結果 ID] をクリックします。

2. [分析結果] 詳細ページで、[操作] 列の [管理提案] タブをクリックします。

3. [管理提案] パネルで、[未使用の ID を削除] という提案を見つけます。

4. リソース所有者に基づいて適切な操作を実行します。

   • 現在のアカウント: [管理へ移動] をクリックします。ページは RAM コンソールの対応するユーザーまたはロールの詳細ページにリダイレクトされます。必要に応じて、ログオン設定をクリアしてログオンを無効にする、AccessKey を無効化または削除する、または ID を削除することができます。

     

   • クロスアカウント: [リソース URL をコピー] をクリックします。ターゲットアカウントにログインし、URL にアクセスしてリクエストを処理します。

     

5. (オプション) アナライザが管理提案を提供しない場合は、「管理提案が空なのはなぜですか？」をご参照ください。

過剰な権限を持つユーザー/ロールの管理 - 未使用のアクセスポリシーの削除

過剰な権限を持つユーザー/ロールの場合、管理提案は未使用のアクセスポリシーを削除することです。手順は、「スーパー管理者ユーザー/ロールの管理 - 未使用のアクセスポリシーの削除」と同じです。

• アナライザタイプ: この機能は、過剰な権限アクセスタイプのアナライザインスタンスのみをサポートします。外部アクセスタイプはサポートしていません。

• サポートされる粒度: 過剰な権限アクセスアナライザは、権限監査情報に基づいて、リソースディレクトリまたは現在のアカウント内のすべての RAM ID (サービスリンクロールを除く) の権限を分析します。サポートされるポリシータイプ、Alibaba Cloud サービス、および粒度は、権限監査のものと同じです。詳細については、「権限監査をサポートする Alibaba Cloud サービス」をご参照ください。ポリシーにサポートリストにないサービスが含まれている場合、アナライザは権限を削除する提案を提供できません。

• ポリシータイプ (スーパー管理者置換のみ): スーパー管理者権限を置き換える管理提案は、システムポリシー AdministratorAccess のみをサポートします。カスタム管理者ポリシーはサポートしていません。

• ポリシーコンテンツ: ポリシーコンテンツに Deny または NotAction ステートメントが含まれている場合、アナライザは権限を削除する提案を提供できません。

• 権限付与の範囲：管理者権限の権限付与の範囲が [アカウント] ではなく [リソースグループ] である場合、その ID はスーパー管理者として識別されません。

• 権限付与メソッド: 権限は、ユーザーまたはロールに直接付与することも、ユーザーグループを介して継承することもできます。アナライザは両方のメソッドを識別できますが、ユーザーグループから継承された権限に対する自動管理提案は提供しません。管理者はこれらのケースを手動で処理する必要があります。

• データレイテンシ: 管理提案は分析結果に基づいて生成され、これらの結果の生成には最大 24 時間のレイテンシがあります。管理提案の適時性が懸念される場合は、手動で再スキャンをトリガーできます。分析結果詳細ページで、[再スキャン] をクリックし、再度管理提案を表示します。

  

よくある質問