ECS 暗号化ディスクのエージェントレス検出用 RAM ロールの権限付与 - Security Center

Security Center が Elastic Compute Service (ECS) の暗号化ディスクをスキャンするためには、アカウント内の暗号化されたスナップショットおよびイメージにアクセスできるよう、RAM ロールに権限を付与する必要があります。本トピックでは、権限付与を完了する手順について説明します。

背景情報

Agentic エージェントレス検出を有効にした後、Security Center がアカウント内の暗号化されたスナップショットおよびイメージにアクセスできるように、RAM で暗号化スナップショット共有ロールと暗号化イメージ共有ロールを作成する必要があります。権限付与が完了して初めて、エージェントレス検出で暗号化ディスクをスキャンできるようになります。

暗号化ディスク検出の権限付与

権限付与リソース

エージェントレス検出が暗号化されたスナップショットおよびイメージにアクセスするには、お使いのアカウントに以下のリソースが必要です。

リソース名	説明
`AliyunECSShareEncryptSnapshotDefaultRole`	暗号化スナップショット共有ロール。ECS が Security Center と暗号化されたスナップショットを共有し、スナップショットデータを復号化するための KMS キーへのアクセスを許可するものです。
`AliyunECSShareEncryptImageDefaultRole`	暗号化イメージ共有ロール。ECS が Security Center と暗号化されたイメージを共有し、イメージデータを復号化するための KMS キーへのアクセスを許可するものです。

説明

アカウントには RAM の管理権限 (AliyunRAMFullAccess または同等の権限) が必要です。
ECS の暗号化リソース共有権限の詳細については、「暗号化権限」をご参照ください。

操作手順

ステップ 1：暗号化スナップショット共有ロールの作成

[RAM コンソール][RAM コンソール]にログインします。
左側のナビゲーションペインで [ID] > [ロール] を選択し、[ロールを作成] をクリックします。
[ロールを作成] ダイアログボックスで、[信頼されたエンティティタイプ] を [Alibaba Cloud サービス] に設定し、[次へ] をクリックします。
[信頼されたサービス] を [Elastic Compute Service] に設定し、[次へ] をクリックします。
ロール名に AliyunECSShareEncryptSnapshotDefaultRole を入力し、[完了] をクリックします。
[閉じる] をクリックしてロールリストに戻り、 AliyunECSShareEncryptSnapshotDefaultRole をクリックしてその詳細ページを開きます。
[信頼ポリシー管理] タブで [信頼ポリシーを編集] をクリックし、ポリシーを以下の JSON に置き換えて、[保存] をクリックします。
説明
Security Center サービスプロバイダーの UID 1699778034952274 は、以下に事前に入力されています。追加の UID を承認するには、Service 配列に追加します。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "1699778034952274@ecs.aliyuncs.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
[権限] タブで、[権限の付与] をクリックします。[ポリシータイプ] を [システムポリシー] に設定し、AliyunKMSFullAccess を検索して選択し、[確認] をクリックします。

ステップ 2：暗号化イメージ共有ロールの作成

この手順はステップ 1 と同様です。以下では主な相違点のみを示します。

RAM コンソールRAM コンソールにログインします。
左側のナビゲーションペインで [ID] > [ロール] を選択し、[ロールを作成] をクリックします。
[ロールを作成] ダイアログボックスで、[信頼されたエンティティタイプ] を [Alibaba Cloud サービス] に設定し、[次へ] をクリックします。
[信頼されたサービス] を [Elastic Compute Service] に設定し、[次へ] をクリックします。
ロール名に AliyunECSShareEncryptImageDefaultRole (ステップ 1 のロール名とは異なります) を入力し、[完了] をクリックします。
[閉じる] をクリックしてロールリストに戻り、AliyunECSShareEncryptImageDefaultRole をクリックしてその詳細ページを開きます。
[信頼ポリシー管理] タブで [信頼ポリシーを編集] をクリックし、ポリシーを以下の JSON に置き換えて、[保存] をクリックします。
説明
信頼ポリシーはステップ 1 と同一です。サービスプロバイダー UID も 1699778034952274 です。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "1699778034952274@ecs.aliyuncs.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
[権限] タブで、[権限を付与] をクリックします。 [ポリシータイプ] を [システムポリシー] に設定し、 AliyunKMSFullAccess を検索して選択し、[確認] をクリックします。

ステップ 3：ロール作成の確認

[ID] > [ロール] に移動し、両方のロールが存在することを確認します。

AliyunECSShareEncryptSnapshotDefaultRole
AliyunECSShareEncryptImageDefaultRole

次のステップ

ECS の承認が完了したら、「リスクを検出して修復する」を参照して、検出タスクを作成します。スキャン範囲 を設定する際、承認済みの ECS インスタンスを選択します。

よくある質問

暗号化ディスク検出にはどのような条件を満たす必要がありますか?
この承認に加えて、暗号化されたディスクで使用される KMS キーでセキュリティセンターへのアクセスを許可する必要があります。AliyunECSShareEncryptSnapshotDefaultRole と AliyunECSShareEncryptImageDefaultRole の両方に AliyunKMSFullAccess ポリシーがアタッチされていることを確認してください。
権限付与が有効になるまでにどのくらいの時間がかかりますか?
権限付与は即座に有効になります。Security Center コンソールを更新して、更新されたステータスを確認してください。