Security Center:RAM ユーザー権限管理のベストプラクティス

ステップ1：Security Center のカスタムポリシーの作成

1. RAM 管理者としてRAM コンソールにログインします。

2. 左側のナビゲーションペインで、権限管理 > ポリシーを選択します。

3. ポリシー ページで、ポリシーの作成 をクリックします。

4. ポリシーの作成 ページで、[JSON] タブをクリックします。一般的なスクリプトの例は次のとおりです。

   • 更新と返金

     シナリオ	スクリプト設定
     自動更新の価格照会 (bssapi:QueryAvailableInstances) と自動更新の設定 (bssapi:SetRenewal)	{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }
     自動更新設定の変更 (bss:ModifyPrepaidInstanceAutoRenew)
     更新およびアップグレード/ダウングレード注文の支払い (bss:PayOrder)
     割引価格の表示 (bss:QueryPrice)
     返金のリクエスト (bss:RefundBatchRemainRefund)

   • 資産センターへの読み取り専用アクセス

     {
         "Version": "1",
         "Statement": [
             {
                "Action": [
                          "yundun-sas:DescribeCloudCenterInstances",
                          "yundun-sas:DescribeFieldStatistics",
                          "yundun-sas:DescribeCriteria"
                          ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 資産センターでのセキュリティチェック

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "yundun-sas:ModifyPushAllTask",
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 脆弱性管理への読み取り専用アクセス

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "yundun-sas:DescribeVulFixStatistics",
                     "yundun-sas:DescribeVulDefendCountStatistics",
                     "yundun-sas:DescribeVulMetaCountStatistics",
                     "yundun-sas:DescribeVulListPage",
                     "yundun-sas:DescribeVulNumStatistics",
                     "yundun-sas:DescribeVulConfig",
                     "yundun-sas:DescribeGroupedVul",
                     "yundun-sas:DescribeVulDetails",
                     "yundun-sas:DescribeVulList",
                     "yundun-sas:DescribeVulWhitelist",
                     "yundun-sas:DescribeAppVulScanCycle",
                     "yundun-sas:ListVulAutoRepairConfig",
                     "yundun-sas:DescribeEmgUserAgreement",
                     "yundun-sas:DescribeEmgVulItem",
                     "yundun-sas:DescribeUuidsByVulNames",
                     "yundun-sas:DescribeTarget",
                     "yundun-sas:DescribeVulTargetStatistics",
                     "yundun-sas:DescribeConcernNecessity",
                     "yundun-sas:DescribeOnceTask",
                     "yundun-sas:GetOnceTaskResultInfo",
                     "yundun-sas:DescribeCycleTaskList",
                     "yundun-sas:DescribeVulExportInfo",
                     "yundun-sas:DescribeInstanceRebootStatus",
                     "yundun-sas:DescribeMachineCanReboot"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 脆弱性管理

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "yundun-sas:OperateVuls",
                     "yundun-sas:ModifyCreateVulWhitelist",
                     "yundun-sas:DeleteVulWhitelist",
                     "yundun-sas:ModifyVulWhitelistTarget",
                     "yundun-sas:ModifyOperateVul",
                     "yundun-sas:ModifyStartVulScan",
                     "yundun-sas:ModifyVulConfig",
                     "yundun-sas:ModifyEmgVulSubmit",
                     "yundun-sas:ModifyVulTarget",
                     "yundun-sas:ModifyCycleTask",
                     "yundun-sas:ModifyAppVulScanCycle",
                     "yundun-sas:ModifyAutoDelConfig",
                     "yundun-sas:ModifyConcernNecessity",
                     "yundun-sas:DeleteVulAutoRepairConfig",
                     "yundun-sas:CreateVulAutoRepairConfig",
                     "yundun-sas:ExportVul",
                     "yundun-sas:RebootMachine",
                     "yundun-sas:DescribeVulFixStatistics",
                     "yundun-sas:DescribeVulDefendCountStatistics",
                     "yundun-sas:DescribeVulMetaCountStatistics",
                     "yundun-sas:DescribeVulListPage",
                     "yundun-sas:DescribeVulNumStatistics",
                     "yundun-sas:DescribeVulConfig",
                     "yundun-sas:DescribeGroupedVul",
                     "yundun-sas:DescribeVulDetails",
                     "yundun-sas:DescribeVulList",
                     "yundun-sas:DescribeVulWhitelist",
                     "yundun-sas:DescribeAppVulScanCycle",
                     "yundun-sas:ListVulAutoRepairConfig",
                     "yundun-sas:DescribeEmgUserAgreement",
                     "yundun-sas:DescribeEmgVulItem",
                     "yundun-sas:DescribeUuidsByVulNames",
                     "yundun-sas:DescribeTarget",
                     "yundun-sas:DescribeVulTargetStatistics",
                     "yundun-sas:DescribeConcernNecessity",
                     "yundun-sas:DescribeOnceTask",
                     "yundun-sas:GetOnceTaskResultInfo",
                     "yundun-sas:DescribeCycleTaskList",
                     "yundun-sas:DescribeVulExportInfo",
                     "yundun-sas:DescribeInstanceRebootStatus",
                     "yundun-sas:DescribeMachineCanReboot"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • 運用保守エンジニアの権限

     説明

     運用保守エンジニアの権限シナリオでは、このポリシースクリプトにより、RAM ユーザーは脆弱性スキャン、脆弱性修正、ベースラインチェック、および資産センターの機能を使用し、関連する操作を実行できます。このポリシーをアタッチした後、RAM ユーザーが実行できる特定の操作については、「付録：一般的なカスタム権限ポリシー」の表にあるアクションと説明をご参照ください。

     {
         "Version": "1",
         "Statement": [{
                 "Action": [
                     "yundun-sas:OperateVul",
                     "yundun-sas:ModifyStartVulScan"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "yundun-sas:FixCheckWarnings",
                     "yundun-sas:IgnoreHcCheckWarnings",
                     "yundun-sas:ValidateHcWarnings"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": "ecs:RebootInstance",
                 "Effect": "Allow",
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "acs:MFAPresent": "true"
                     }
                 }
             },
             {
                 "Action": "ecs:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:ecs:*:*:*"
                 ]
             },
             {
                 "Action": "ecs:CreateSnapshot",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:ecs:*:*:*",
                     "acs:ecs:*:*:snapshot/*"
                 ]
             },
             {
                 "Action": [
                     "ecs:Describe*"
                 ],
                 "Effect": "Allow",
                 "Resource": "*"
             }, {
                 "Action": [
                     "yundun-sas:ModifyPushAllTask",
                     "yundun-sas:DeleteTagWithUuid",
                     "yundun-sas:ModifyTagWithUuid",
                     "yundun-sas:CreateOrUpdateAssetGroup",
                     "yundun-sas:DeleteGroup",
                     "yundun-sas:ModifyAssetImportant",
                     "yundun-sas:RefreshAssets"
     
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

5. [Continue To Edit Basic Information] をクリックし、ポリシーの [Name] と [Note] を入力します。

6. [OK] をクリックします。

ステップ2：RAM ユーザーへの権限の付与

1. RAM 管理者としてRAM コンソールにログインします。

2. 左側メニューで、[Identities] > [Users] を選択します。

3. ユーザー ページで作成した RAM ユーザーを見つけ、操作 列の ポリシーのアタッチ をクリックします。

   また、複数の RAM ユーザーを選択し、ユーザーリストの下にある ポリシーのアタッチ をクリックして、一度に複数の RAM ユーザーに権限を付与することもできます。

4. ポリシーのアタッチ パネルで、RAM ユーザーに権限を付与します。

   1. リソース範囲：

      1. アカウントレベル：権限は、現在の Alibaba Cloud アカウント内のすべてのリソースに有効になります。このオプションは、リソースグループによる権限分離を必要としない一般的なシナリオに適しています。

      2. リソースグループレベル：権限は、指定されたリソースグループ内でのみ有効になります。このオプションは、複数のチームが Alibaba Cloud アカウントを共有し、リソースグループごとに権限を分離する必要があるシナリオに適しています。RAM ユーザーにリソースグループレベルの権限が付与されている場合、RAM ユーザーはコンソールにログインした後、上部メニューでリソース範囲を承認されたリソースグループに切り替える必要があります。これにより、RAM ユーザーはリソースグループ内のリソースに適切にアクセスし、管理できます。

         説明

         1. システムは、AdministratorAccess や AliyunRAMFullAccess などの高リスクのシステムポリシーを自動的にマークします。これらのポリシーには通常、すべてのクラウドリソースに対する完全な制御権限、または Resource Access Management (RAM) に対する完全な管理権限が含まれています。これらのポリシーは慎重に付与してください。

         2. リソースグループの承認の詳細については、「特定のECSインスタンスへのRAM ユーザーアクセスの制御」をご参照ください。

   2. プリンシパル：プリンシパルは、権限を付与する対象の RAM ユーザーです。システムは現在の RAM ユーザーを自動的に選択します。

   3. ポリシーを選択します。

      • AliyunYundunSASReadOnlyAccess ポリシーを検索して選択します。このシステムポリシーは、運用保守エンジニアに Security Center への読み取り専用アクセスを付与します。

      • 「ステップ1：Security Center のカスタムポリシーの作成」で作成したカスタムポリシーを検索して選択します。

5. [Confirm] をクリックします。

資産センター

脆弱性管理

クラウドセキュリティ態勢管理