Resource Access Management:Access Analyzer service-linked role

Contexto

Uma função vinculada a service (SLR) é um tipo de função do RAM associada a um service específico da Alibaba Cloud. Em determinados cenários, um service de cloud precisa de permissões para acessar outros services e executar suas funções. Com uma função vinculada a service, você autoriza com segurança um service de cloud a acessar outros recursos em seu nome, sem precisar criar e gerenciar manualmente a função. Para mais informações, consulte Service-linked roles.

Casos de uso

A função vinculada a service do Access Analyzer (AliyunServiceRoleForAccessAnalyzer) aplica-se aos seguintes cenários:

• Análise de acesso externo

  Ao criar um analisador de acesso externo para identificar recursos na sua conta acessados por contas externas, o Access Analyzer precisa ler as políticas de bucket, as ACLs e as políticas de confiança das funções do RAM na sua conta. Isso permite identificar quais recursos estão acessíveis a contas externas.

• Análise de acesso com privilégios excessivos

  Ao criar um analisador de acesso com privilégios excessivos para identificar identidades do RAM com permissões além do necessário, o Access Analyzer precisa ler as configurações das identidades do RAM (usuários, funções, políticas de permissões, configurações de login e pares de AccessKey). O service combina esses dados com os logs de atividade do ActionTrail para analisar o uso real das identidades, ajudando a descobrir superadministradores, identidades privilegiadas, identidades inativas e identidades com privilégios excessivos.

O Access Analyzer obtém essas permissões somente leitura por meio da função vinculada a service para analisar informações de permissões e logs de atividade do ActionTrail.

Política de permissões

Nome da função: AliyunServiceRoleForAccessAnalyzer

Política de permissões: AliyunServiceRolePolicyForAccessAnalyzer

Conteúdo da política:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetBucketPolicy",
        "oss:GetBucketAcl",
        "oss:ListBuckets",
        "oss:GetBucketPublicAccessBlock",
        "oss:GetBucketPolicyStatus",
        "ram:GetPolicy",
        "ram:GetRole",
        "ram:ListUsers",
        "ram:ListRoles",
        "ram:GetLoginProfile",
        "ram:ListAccessKeys",
        "ram:ListEntitiesForPolicy",
        "ram:ListUsersForGroup",
        "ram:GenerateServiceLastAccessedDetails",
        "ram:GetServiceLastAccessedDetails"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "actiontrail:CreateServiceTrail",
        "actiontrail:DeleteServiceTrail",
        "actiontrail:GetServiceTrail",
        "actiontrail:GetServiceTrailDeliveryStatus"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "accessanalyzer.aliyuncs.com"
        }
      }
    }
  ]
}

A política de permissões acima contém três grupos de permissões:

• O primeiro grupo permite que o Access Analyzer leia políticas de buckets do OSS, ACLs e configurações de bloqueio de acesso público, além de configurações de usuários e funções do RAM (configurações de login, pares de AccessKey e anexos de políticas de permissões) para analisar acessos externos e acessos com privilégios excessivos.

• O segundo grupo autoriza o Access Analyzer a crie e gerencie trails de service do ActionTrail para coletar logs de atividade, possibilitando a análise do uso de permissões pelas identidades.

• O terceiro grupo habilita o Access Analyzer a exclua automaticamente a função vinculada a service após a exclusão de todos os analisadores.

Crie a função vinculada a service

A função vinculada a service do Access Analyzer (AliyunServiceRoleForAccessAnalyzer) é criada automaticamente nos seguintes cenários:

• Ao criar um analisador pela primeira vez no console do Access Analyzer, o sistema cria a função vinculada a service automaticamente.

• Ao criar um analisador por meio de uma chamada de API, a função vinculada a service também é criada automaticamente.

O comportamento de criação da função vinculada a service varia conforme o escopo do analisador:

• Analisadores com escopo de conta: O sistema cria a função vinculada a service na conta atual.

• Analisadores com escopo de diretório de recursos: O sistema cria a função vinculada a service em todas as contas-membro do diretório de recursos.

Para consultar as etapas detalhadas de criação de um analisador, veja Detect over-privileged identities e Identify external access.

Visualize a função vinculada a service

Após a criação da função vinculada a service (AliyunServiceRoleForAccessAnalyzer), visualize as informações básicas, a política de confiança e a política de permissões da função no console do RAM.

1. Faça login no console do RAM.

2. No painel de navegação à esquerda, escolha Identities > Roles.

3. Na lista de funções, pesquise por AliyunServiceRoleForAccessAnalyzer e clique em no nome da função para acesse a página de detalhes.

4. Na seção de informações básicas da página de detalhes da função, visualize o ID da função, a data de criação e outras informações.

5. Clique em na aba Trust Policy Management e verifique se o campo Service na política de confiança contém accessanalyzer.aliyuncs.com.

6. Visualize a política de permissões da função:

   1. Na página de detalhes da função, clique em na aba Permissions.

   2. Na lista de políticas, localize AliyunServiceRolePolicyForAccessAnalyzer e clique em no nome da política.

   3. Examine o conteúdo da política para entender o escopo específico de autorização.

Exclua a função vinculada a service

Para exclua a AliyunServiceRoleForAccessAnalyzer (a função vinculada a service), garanta primeiro que o service correspondente não esteja mais em uso.

FAQ