Web Application Firewall:WAF のクラウドリソースへのアクセス承認

仕組み

WAF は、お客様に代わって ECS、SLB、ALB、VPC、CDN、Simple Log Service (SLS)、および証明書サービスと対話するために、AliyunServiceRoleForWAF サービスリンクロールを使用します。このロールは、WAF コンソールで初めて Log Service、アセットディスカバリー、または透過型プロキシモードを有効化した際に自動的に作成されます。

このロールは、AliyunServiceRolePolicyForWAF という名前のシステム管理ポリシーを使用します。ポリシー名と内容は固定されており、変更できません。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:DescribeInstances",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:AttachNetworkInterface",
                "ecs:DetachNetworkInterface",
                "ecs:DescribeNetworkInterfacePermissions",
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DeleteNetworkInterfacePermission",
                "ecs:DescribeSecurityGroups",
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:CreateSecurityGroup",
                "ecs:DeleteSecurityGroup",
                "ecs:AuthorizeSecurityGroup",
                "ecs:RevokeSecurityGroup",
                "ecs:DescribeDisks"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "slb:DescribeServerCertificates",
                "slb:DescribeDomainExtensions",
                "slb:DescribeLoadBalancers",
                "slb:DescribeListenerAccessControlAttribute",
                "slb:DescribeLoadBalancerAttribute",
                "slb:DescribeLoadBalancerHTTPListenerAttribute",
                "slb:DescribeLoadBalancerHTTPSListenerAttribute",
                "slb:DescribeLoadBalancerTCPListenerAttribute",
                "slb:DescribeLoadBalancerUDPListenerAttribute",
                "slb:DescribeTLSCipherPolicies",
                "slb:ListTLSCipherPolicies",
                "slb:DescribeLoadBalancers"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "alb:ListLoadBalancers",
                "alb:GetLoadBalancerAttribute",
                "alb:ListListeners",
                "alb:GetListenerAttribute",
                "alb:ListListenerCertificates",
                "alb:DescribeRegions",
                "alb:ListSystemSecurityPolicies",
                "alb:ListSecurityPolicies"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeEipAddresses"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "cdn:DescribeUserDomains",
                "cdn:DescribeCdnDomainDetail",
                "cdn:DescribeDomainsBySource",
                "cdn:DescribeUserVipsByDomain"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "yundun-cert:DescribeUserCertificateList"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "log:PostLogStoreLogs",
                "log:GetProject",
                "log:ListProject",
                "log:GetLogStore",
                "log:ListLogStores",
                "log:CreateLogStore",
                "log:CreateProject",
                "log:GetIndex",
                "log:CreateIndex",
                "log:UpdateIndex",
                "log:CreateDashboard",
                "log:ClearLogStoreStorage",
                "log:UpdateLogStore",
                "log:UpdateDashboard",
                "log:DeleteProject",
                "log:CreateSavedSearch",
                "log:UpdateSavedSearch",
                "log:DeleteLogStore"
            ],
            "Resource": "acs:log:*:*:project/waf*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "waf.aliyuncs.com"
                }
            }
        }
    ]
}

ポリシー構文の詳細については、「ポリシー要素」をご参照ください。

前提条件

開始する前に、以下を確認してください。

• WAF インスタンス

• サービスリンクロールを作成および削除する権限を持つ Alibaba Cloud アカウントまたは RAM ユーザー

AliyunServiceRoleForWAF ロールの作成

このロールは、以下のいずれかの機能を有効にすると自動的に作成されます。最初に利用する予定の機能を選択してください。

AliyunServiceRoleForWAF ロールの削除

ロールを削除するには、次の手順を実行します。

1. ご利用の WAF インスタンスをリリースし、自動的にリリースされるまで待ちます。

2. RAM コンソールにログインし、左側のナビゲーションウィンドウで [ID] > [ロール] を選択します。

3. AliyunServiceRoleForWAF を見つけて、[操作] 列の [削除ロール] をクリックします。

4. ダイアログで、ロール名を入力し、[ロールの削除] をクリックします。

Resource Access Management (RAM) は、WAF インスタンスがまだロールを使用しているかどうかを確認します。

• インスタンスがロールを使用していない場合、ロールは削除されます。

• インスタンスがまだロールを使用している場合、削除は失敗します。RAM は、ロールを使用している WAF インスタンスを一覧表示します。再試行する前に、それらのインスタンスをリリースしてください。

RAM ロールの削除に関する一般的な手順については、「RAM ロールの削除」をご参照ください。

よくある質問

RAM ユーザーに対して AliyunServiceRoleForWAF が自動的に作成されないのはなぜですか？

RAM ユーザーは、サービスリンクロールを作成するための明示的な権限を必要とします。ご利用の RAM ユーザーに以下のポリシーをアタッチし、<account-ID> をご利用の Alibaba Cloud アカウント ID に置き換えてください。

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:<account-ID>:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "waf.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}

RAM ユーザーにポリシーをアタッチする手順については、「RAM ロールに権限を付与する」をご参照ください。