特定のシナリオで、Security Center はサービスリンクロール (SLR) を使用して、他の Alibaba Cloud サービスへのアクセス権限を取得し、機能を実現します。本トピックでは、Security Center が使用する SLR について、その定義とユースケースを含めて説明します。
サービスリンクロールは、Alibaba Cloud サービスを信頼されたエンティティとする Resource Access Management (RAM) ロールです。Security Center は SLR を使用して、他の Alibaba Cloud サービスまたはクラウドリソースへのアクセス権限を取得します。
ほとんどの場合、操作を実行すると、システムが SLR を自動的に作成します。システムによる SLR の自動作成に失敗した場合、または Security Center が自動作成をサポートしていない場合は、手動で SLR を作成する必要があります。
Resource Access Management (RAM) は、各 SLR にシステムポリシーを提供します。このポリシーは変更できません。特定の SLR のシステムポリシーの詳細を表示するには、ロールの詳細ページに移動してください。詳細については、「システムポリシーリファレンス」をご参照ください。
シナリオ
次の表に、Security Center が提供する SLR を示します。
|
サービスリンクロール |
サービス識別子 |
シナリオ |
|
AliyunServiceRoleForSas |
sas.aliyuncs.com |
|
|
AliyunServiceRoleForSasCloudSiem |
cloudsiem.sas.aliyuncs.com |
Security Center が VPC や Cloud Firewall などの Alibaba Cloud サービスのリソースにアクセスできるようにします。これにより、脅威分析と対応機能を使用して、接続されている Alibaba Cloud サービスのログを検出し、ログを配信し、関連イベントを処理します。これにより、アラートの一元管理や脅威ソース分析などの機能が提供されます。 |
|
AliyunServiceRoleForSasCspm |
cspm.sas.aliyuncs.com |
Security Center が ActionTrail などの Alibaba Cloud サービスのリソースにアクセスできるようにします。これにより、クラウドセキュリティ態勢管理機能は、クラウドプラットフォームの構成チェック機能を提供します。 |
|
AliyunServiceRoleForSasRd |
rd.sas.aliyuncs.com |
マルチアカウントシナリオでは、このロールにより、Security Center の委任管理者アカウントがリソースディレクトリ内のメンバーアカウントの Security Center コンソールにアクセスできます。これにより、委任管理者アカウントは、企業の複数のメンバーアカウントのセキュリティ保護設定を一元的に構成し、各メンバーアカウントのセキュリティリスクステータスをリアルタイムで監視します。 |
|
AliyunServiceRoleForSasSecurityLake |
security-lake.sas.aliyuncs.com |
脅威分析のコールドデータ機能を使用する場合、このロールにより、機能が OSS および Data Lake Formation (DLF) のリソースにアクセスできるようになります。これにより、脅威分析と対応のログデータを管理し、データに対してインタラクティブなクエリと分析を実行します。 |
サービスリンクロールの作成
AliyunServiceRoleForSas
次のいずれかの機能を初めて使用し、必要な権限を付与すると、システムは自動的に AliyunServiceRoleForSas SLR を作成します。
|
モジュール |
機能 |
|
リスクガバナンス |
|
|
コンテナセキュリティ |
|
|
ホストセキュリティ |
|
|
その他の構成 |
|
AliyunServiceRoleForSasCloudSiem
脅威分析と対応機能を初めて使用し、必要な権限を付与すると、システムは自動的に AliyunServiceRoleForSasCloudSiem SLR を作成します。詳細については、「脅威分析と対応機能に Alibaba Cloud リソースへのアクセス権限を付与する」をご参照ください。
AliyunServiceRoleForSasCspm
クラウドセキュリティ態勢管理機能を初めて使用し、必要な権限を付与すると、システムは自動的に AliyunServiceRoleForSasCspm SLR を作成します。
2022 年 11 月 21 日 (UTC+8) 以降、クラウドセキュリティ態勢管理機能のアクセスポリシーは、AliyunServiceRoleForSas SLR から AliyunServiceRoleForSasCspm に移行されます。クラウドセキュリティ態勢管理が提供する機能を継続して使用するには、[Cloud Security Posture Management] ページに移動してください。[Role Policy Migration Reminder] ダイアログボックスで OK をクリックしてポリシーの移行を確認してください。その後、今すぐ権限付与 をクリックして、認可を完了してください。
AliyunServiceRoleForSasRd
管理アカウントまたは委任管理者アカウントがマルチアカウントセキュリティ管理機能を使用してリソースディレクトリのメンバーアカウントを監視対象アカウントリストに追加すると、AliyunServiceRoleForSasRd SLR がメンバーアカウントで自動的に作成されます。
AliyunServiceRoleForSasSecurityLake
脅威分析と対応のログ管理のためにコールドデータ機能を初めて使用し、必要な権限を付与すると、システムは自動的に AliyunServiceRoleForSasSecurityLake SLR を作成します。
サービスリンクロールの表示
SLR が作成された後、RAM コンソールの [Roles] ページでロールに関する次の情報を表示できます。
-
基本情報
ロールの詳細ページの [Basic Information] セクションで、名前、作成時刻、Alibaba Cloud リソース名 (ARN)、説明など、ロールの基本情報を表示できます。
-
アクセスポリシー
ロール詳細ページの [Permissions] タブで、アクセスポリシーの名前をクリックしてポリシードキュメントを表示してください。
説明SLR のアクセスポリシーは、ロールのページからのみ表示できます。RAM コンソールの [Policies] ページでポリシーを直接表示することはできません。
-
信頼ポリシー
ロールの詳細ページの [Trust Policy] タブで、信頼ポリシードキュメントを表示できます。信頼ポリシーは、RAM ロールの信頼されたエンティティを記述するものです。信頼されたエンティティは、RAM ロールを引き受けることができるアイデンティティです。SLR の信頼されたエンティティは Alibaba Cloud サービスです。これは、信頼ポリシーの
Serviceフィールドで確認できます。
SLR の表示方法の詳細については、「RAM ロールの表示」をご参照ください。
サービスリンクロールの削除
SLR が削除されると、そのロールに依存する機能は利用できなくなります。操作は慎重に行ってください。
長期間 Security Center を使用しなくなった場合、または Alibaba Cloud アカウントの利用を停止する前に、Resource Access Management (RAM) コンソールで SLR を手動で削除する必要がある場合があります。詳細については、「RAM ロールの削除」をご参照ください。
関連ドキュメント
SLR の詳細については、「サービスリンクロール」をご参照ください。