Security Center:RAM ユーザー権限を管理するためのベストプラクティス

ステップ 1: Security Center のカスタムポリシーを作成する

1. RAM コンソールに RAM 管理者としてログオンします。

2. 左側のナビゲーションウィンドウで、[権限] > [ポリシー] を選択します。

3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   

4. [ポリシーの作成] ページで、[スクリプト] タブをクリックします。次のリストに、一般的なスクリプトの例を示します。

   • 更新と返金

     シナリオ	スクリプト設定
     自動更新に利用可能なインスタンスのクエリ (bssapi:QueryAvailableInstances) と自動更新の設定 (bssapi:SetRenewal)	{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }
     自動更新設定の変更 (bss:ModifyPrepaidInstanceAutoRenew)
     更新およびスペックアップ/スペックダウン注文の支払い (bss:PayOrder)
     割引価格の表示 (bss:QueryPrice)
     返金のリクエスト (bss:RefundBatchRemainRefund)

   • 資産センターへの読み取り専用アクセス

     {
         "Version": "1",
         "Statement": [
             {
                "Action": [
                          "yundun-sas:DescribeCloudCenterInstances",
                          "yundun-sas:DescribeFieldStatistics",
                          "yundun-sas:DescribeCriteria"
                          ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 資産センターでのセキュリティチェック

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "yundun-sas:ModifyPushAllTask",
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 脆弱性管理への読み取り専用アクセス

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "yundun-sas:DescribeVulFixStatistics",
                     "yundun-sas:DescribeVulDefendCountStatistics",
                     "yundun-sas:DescribeVulMetaCountStatistics",
                     "yundun-sas:DescribeVulListPage",
                     "yundun-sas:DescribeVulNumStatistics",
                     "yundun-sas:DescribeVulConfig",
                     "yundun-sas:DescribeGroupedVul",
                     "yundun-sas:DescribeVulDetails",
                     "yundun-sas:DescribeVulList",
                     "yundun-sas:DescribeVulWhitelist",
                     "yundun-sas:DescribeAppVulScanCycle",
                     "yundun-sas:ListVulAutoRepairConfig",
                     "yundun-sas:DescribeEmgUserAgreement",
                     "yundun-sas:DescribeEmgVulItem",
                     "yundun-sas:DescribeUuidsByVulNames",
                     "yundun-sas:DescribeTarget",
                     "yundun-sas:DescribeVulTargetStatistics",
                     "yundun-sas:DescribeConcernNecessity",
                     "yundun-sas:DescribeOnceTask",
                     "yundun-sas:GetOnceTaskResultInfo",
                     "yundun-sas:DescribeCycleTaskList",
                     "yundun-sas:DescribeVulExportInfo",
                     "yundun-sas:DescribeInstanceRebootStatus",
                     "yundun-sas:DescribeMachineCanReboot"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 脆弱性管理

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "yundun-sas:OperateVuls",
                     "yundun-sas:ModifyCreateVulWhitelist",
                     "yundun-sas:DeleteVulWhitelist",
                     "yundun-sas:ModifyVulWhitelistTarget",
                     "yundun-sas:ModifyOperateVul",
                     "yundun-sas:ModifyStartVulScan",
                     "yundun-sas:ModifyVulConfig",
                     "yundun-sas:ModifyEmgVulSubmit",
                     "yundun-sas:ModifyVulTarget",
                     "yundun-sas:ModifyCycleTask",
                     "yundun-sas:ModifyAppVulScanCycle",
                     "yundun-sas:ModifyAutoDelConfig",
                     "yundun-sas:ModifyConcernNecessity",
                     "yundun-sas:DeleteVulAutoRepairConfig",
                     "yundun-sas:CreateVulAutoRepairConfig",
                     "yundun-sas:ExportVul",
                     "yundun-sas:RebootMachine",
                     "yundun-sas:DescribeVulFixStatistics",
                     "yundun-sas:DescribeVulDefendCountStatistics",
                     "yundun-sas:DescribeVulMetaCountStatistics",
                     "yundun-sas:DescribeVulListPage",
                     "yundun-sas:DescribeVulNumStatistics",
                     "yundun-sas:DescribeVulConfig",
                     "yundun-sas:DescribeGroupedVul",
                     "yundun-sas:DescribeVulDetails",
                     "yundun-sas:DescribeVulList",
                     "yundun-sas:DescribeVulWhitelist",
                     "yundun-sas:DescribeAppVulScanCycle",
                     "yundun-sas:ListVulAutoRepairConfig",
                     "yundun-sas:DescribeEmgUserAgreement",
                     "yundun-sas:DescribeEmgVulItem",
                     "yundun-sas:DescribeUuidsByVulNames",
                     "yundun-sas:DescribeTarget",
                     "yundun-sas:DescribeVulTargetStatistics",
                     "yundun-sas:DescribeConcernNecessity",
                     "yundun-sas:DescribeOnceTask",
                     "yundun-sas:GetOnceTaskResultInfo",
                     "yundun-sas:DescribeCycleTaskList",
                     "yundun-sas:DescribeVulExportInfo",
                     "yundun-sas:DescribeInstanceRebootStatus",
                     "yundun-sas:DescribeMachineCanReboot"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • O&M エンジニアの権限

     説明

     O&M エンジニアの権限シナリオでは、このポリシースクリプトにより、RAM ユーザーは脆弱性スキャン、脆弱性修正、ベースラインチェック、および資産センター機能を使用し、関連する操作を実行できます。このポリシーを追加した後、RAM ユーザーが実行できる特定の操作については、このトピックの 付録: 特定の機能の一般的なカスタムポリシー の表にある操作とその説明をご参照ください。

     {
         "Version": "1",
         "Statement": [{
                 "Action": [
                     "yundun-sas:OperateVul",
                     "yundun-sas:ModifyStartVulScan"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "yundun-sas:FixCheckWarnings",
                     "yundun-sas:IgnoreHcCheckWarnings",
                     "yundun-sas:ValidateHcWarnings"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": "ecs:RebootInstance",
                 "Effect": "Allow",
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "acs:MFAPresent": "true"
                     }
                 }
             },
             {
                 "Action": "ecs:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:ecs:*:*:*"
                 ]
             },
             {
                 "Action": "ecs:CreateSnapshot",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:ecs:*:*:*",
                     "acs:ecs:*:*:snapshot/*"
                 ]
             },
             {
                 "Action": [
                     "ecs:Describe*"
                 ],
                 "Effect": "Allow",
                 "Resource": "*"
             }, {
                 "Action": [
                     "yundun-sas:ModifyPushAllTask",
                     "yundun-sas:DeleteTagWithUuid",
                     "yundun-sas:ModifyTagWithUuid",
                     "yundun-sas:CreateOrUpdateAssetGroup",
                     "yundun-sas:DeleteGroup",
                     "yundun-sas:ModifyAssetImportant",
                     "yundun-sas:RefreshAssets"
     
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

5. [ポリシー情報の編集へ] をクリックし、ポリシーの [名前] と [メモ] を入力します。

6. [OK] をクリックします。

ステップ 2: RAM ユーザーに権限を付与する

1. RAM コンソールに RAM 管理者としてログオンします。

2. 左側のナビゲーションウィンドウで、[権限] > [権限付与] を選択します。

3. [権限] ページで、[権限の付与] をクリックします。

   

4. [権限の付与] パネルで、RAM ユーザーに権限を付与します。

   デフォルトでは、新しく作成された RAM ユーザーには権限がありません。

   1. リソース範囲パラメーターを設定します。

      • [アカウント]: 権限付与は現在の Alibaba Cloud アカウントで有効になります。

      • [リソースグループ]: 権限付与は特定のリソースグループで有効になります。

        重要

        [リソース範囲] パラメーターに [リソースグループ] を選択した場合は、必要なクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、「リソースグループと連携するサービス」をご参照ください。リソースグループで権限を付与する方法の詳細については、「リソースグループを使用して RAM ユーザーに特定の ECS インスタンスを管理する権限を付与する」をご参照ください。

   2. プリンシパルパラメーターを設定します。

      プリンシパルは、権限を付与する RAM ユーザーです。一度に複数の RAM ユーザーを選択できます。

   3. ポリシーを選択します。

      • AliyunYundunSASReadOnlyAccess ポリシーを検索して選択します。このシステムポリシーは、O&M エンジニアに Security Center への読み取り専用アクセスを付与します。

      • ステップ 1: Security Center のカスタムポリシーを作成する で作成したカスタムポリシーを検索して選択します。

5. [OK] をクリックします。

資産センター

脆弱性管理

クラウドセキュリティポスチャ管理