Grant system and custom RAM policies to Security Center users - Security Center: Central de Documentação do Alibaba Cloud

Tipos de política

O Alibaba Cloud Resource Access Management (RAM) fornece políticas padrão do sistema para serviços em nuvem e oferece suporte a políticas personalizadas. As políticas do sistema são criadas pela Alibaba Cloud e não podem ser modificadas. Você pode usar políticas personalizadas para controlar com precisão o acesso e as operações dos usuários do RAM no Security Center.

Nota

As políticas padrão compatíveis com o Security Center são AliyunYundunSASFullAccess (permite que os usuários do RAM realizem operações em todos os recursos do Security Center) e AliyunYundunSASReadOnlyAccess (permite aos usuários do RAM acesso somente leitura a todos os dados do Security Center).

Criar um usuário do RAM

Para obter mais informações, consulte Criar um usuário do RAM.

Conceder uma política do sistema a um usuário do RAM

A Alibaba Cloud fornece políticas do sistema para o User Center e para acesso ou gerenciamento do Security Center. Se um usuário do RAM receber a mensagem Sem permissão ao comprar, renovar ou cancelar a assinatura de instâncias do Security Center, ou Sem permissão. Verifique suas permissões. ao acessar o Security Center, você pode conceder as políticas do sistema correspondentes a esse usuário seguindo estas etapas.

Importante

As políticas do sistema do User Center se aplicam a todos os produtos em nuvem. Depois de conceder políticas do sistema relacionadas ao User Center a um usuário do RAM, esse usuário terá permissão para comprar, renovar e cancelar a assinatura de todos os produtos em nuvem.

Faça login no RAM console como administrador do RAM.
No painel de navegação à esquerda, escolha Identidades > Usuários.
Na página Users, localize o usuário do RAM que você criou e, na coluna Actions, clique em Attach Policy.

Você também pode selecionar vários usuários do RAM e clicar em Attach Policy abaixo da lista de usuários para conceder permissões a vários usuários do RAM ao mesmo tempo.

No painel Attach Policy, conceda permissões ao usuário do RAM.

Escopo do recurso:
1. Nível da conta: as permissões entram em vigor em todos os recursos da conta atual da Alibaba Cloud. Esta opção é adequada para cenários gerais que não exigem isolamento de permissões por grupo de recursos.
2. Nível do grupo de recursos: as permissões entram em vigor apenas no grupo de recursos especificado. Esta opção é ideal para cenários em que várias equipes compartilham uma conta da Alibaba Cloud e as permissões precisam ser isoladas por grupo de recursos. Se um usuário do RAM receber permissões no nível do grupo de recursos, ele deverá alterar o escopo do recurso para o grupo de recursos autorizado na barra de navegação superior após fazer login no console. Dessa forma, o usuário do RAM poderá acessar e gerenciar adequadamente os recursos desse grupo.
  Nota
  1. O sistema marca automaticamente as políticas do sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess. Essas políticas geralmente contêm permissões de controle total sobre todos os recursos em nuvem ou permissões de gerenciamento total do Resource Access Management (RAM). Conceda essas políticas com cautela.
  2. Para obter mais informações sobre a autorização de grupos de recursos, consulte Controlar o acesso de usuários do RAM a instâncias específicas do ECS.
Principal: o principal é o usuário do RAM ao qual você deseja adicionar permissões. O sistema seleciona automaticamente o usuário do RAM atual.

Selecione a política do sistema com base no cenário e clique em Confirmar.

Cenário	Política do sistema
Comprar, renovar ou cancelar a assinatura de instâncias do Security Center	AliyunBSSOrderAccess, AliyunBSSRefundAccess
Acesso somente leitura ao Security Center	AliyunYundunSASReadOnlyAccess
Gerenciar o Security Center	AliyunYundunSASFullAccess

Revise o resultado da autorização e clique em Fechar.

Conceder uma política personalizada a um usuário do RAM

Execute as etapas a seguir para usar políticas personalizadas e controlar com precisão o acesso e as operações dos usuários do RAM no Security Center.

Etapa 1: Criar uma política personalizada para o Security Center

Faça login no RAM console como administrador do RAM.
No painel de navegação à esquerda, escolha Permissions > Policies.
Na página Policies, clique em Create Policy.

Na página Create Policy, clique na guia JSON. Veja a seguir alguns exemplos comuns de scripts:

Renovação e reembolso

Cenário	Configuração do script
Consultar os preços para renovação automática (`bssapi:QueryAvailableInstances`) e definir as configurações de renovação automática (bssapi:SetRenewal)	`{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }`
Modificar as configurações de renovação automática (`bss:ModifyPrepaidInstanceAutoRenew`)
Pagar por pedidos de renovação e upgrade/downgrade (`bss:PayOrder`)
Exibir preços com desconto (`bss:QueryPrice`)
Solicitar um reembolso (`bss:RefundBatchRemainRefund`)

Acesso somente leitura ao Asset Center

{
    "Version": "1",
    "Statement": [
        {
           "Action": [
                     "yundun-sas:DescribeCloudCenterInstances",
                     "yundun-sas:DescribeFieldStatistics",
                     "yundun-sas:DescribeCriteria"
                     ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Verificação de segurança no Asset Center

{
    "Version": "1",
    "Statement": [
        {
            "Action": "yundun-sas:ModifyPushAllTask",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Acesso somente leitura ao gerenciamento de vulnerabilidades

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "yundun-sas:DescribeVulFixStatistics",
                "yundun-sas:DescribeVulDefendCountStatistics",
                "yundun-sas:DescribeVulMetaCountStatistics",
                "yundun-sas:DescribeVulListPage",
                "yundun-sas:DescribeVulNumStatistics",
                "yundun-sas:DescribeVulConfig",
                "yundun-sas:DescribeGroupedVul",
                "yundun-sas:DescribeVulDetails",
                "yundun-sas:DescribeVulList",
                "yundun-sas:DescribeVulWhitelist",
                "yundun-sas:DescribeAppVulScanCycle",
                "yundun-sas:ListVulAutoRepairConfig",
                "yundun-sas:DescribeEmgUserAgreement",
                "yundun-sas:DescribeEmgVulItem",
                "yundun-sas:DescribeUuidsByVulNames",
                "yundun-sas:DescribeTarget",
                "yundun-sas:DescribeVulTargetStatistics",
                "yundun-sas:DescribeConcernNecessity",
                "yundun-sas:DescribeOnceTask",
                "yundun-sas:GetOnceTaskResultInfo",
                "yundun-sas:DescribeCycleTaskList",
                "yundun-sas:DescribeVulExportInfo",
                "yundun-sas:DescribeInstanceRebootStatus",
                "yundun-sas:DescribeMachineCanReboot"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Gerenciamento de vulnerabilidades

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "yundun-sas:OperateVuls",
                "yundun-sas:ModifyCreateVulWhitelist",
                "yundun-sas:DeleteVulWhitelist",
                "yundun-sas:ModifyVulWhitelistTarget",
                "yundun-sas:ModifyOperateVul",
                "yundun-sas:ModifyStartVulScan",
                "yundun-sas:ModifyVulConfig",
                "yundun-sas:ModifyEmgVulSubmit",
                "yundun-sas:ModifyVulTarget",
                "yundun-sas:ModifyCycleTask",
                "yundun-sas:ModifyAppVulScanCycle",
                "yundun-sas:ModifyAutoDelConfig",
                "yundun-sas:ModifyConcernNecessity",
                "yundun-sas:DeleteVulAutoRepairConfig",
                "yundun-sas:CreateVulAutoRepairConfig",
                "yundun-sas:ExportVul",
                "yundun-sas:RebootMachine",
                "yundun-sas:DescribeVulFixStatistics",
                "yundun-sas:DescribeVulDefendCountStatistics",
                "yundun-sas:DescribeVulMetaCountStatistics",
                "yundun-sas:DescribeVulListPage",
                "yundun-sas:DescribeVulNumStatistics",
                "yundun-sas:DescribeVulConfig",
                "yundun-sas:DescribeGroupedVul",
                "yundun-sas:DescribeVulDetails",
                "yundun-sas:DescribeVulList",
                "yundun-sas:DescribeVulWhitelist",
                "yundun-sas:DescribeAppVulScanCycle",
                "yundun-sas:ListVulAutoRepairConfig",
                "yundun-sas:DescribeEmgUserAgreement",
                "yundun-sas:DescribeEmgVulItem",
                "yundun-sas:DescribeUuidsByVulNames",
                "yundun-sas:DescribeTarget",
                "yundun-sas:DescribeVulTargetStatistics",
                "yundun-sas:DescribeConcernNecessity",
                "yundun-sas:DescribeOnceTask",
                "yundun-sas:GetOnceTaskResultInfo",
                "yundun-sas:DescribeCycleTaskList",
                "yundun-sas:DescribeVulExportInfo",
                "yundun-sas:DescribeInstanceRebootStatus",
                "yundun-sas:DescribeMachineCanReboot"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permissões de engenheiro de O&M

Nota

No cenário de permissão de engenheiro de O&M, este script de política permite que os usuários do RAM usem os recursos de verificação de vulnerabilidades, correção de vulnerabilidades, verificação de linha de base e Asset Center, além de executar operações relacionadas. Após anexar esta política, consulte as ações e descrições na tabela Anexo: Políticas de permissão personalizadas comuns para ver as operações específicas que o usuário do RAM pode realizar.

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "yundun-sas:OperateVul",
                "yundun-sas:ModifyStartVulScan"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "yundun-sas:FixCheckWarnings",
                "yundun-sas:IgnoreHcCheckWarnings",
                "yundun-sas:ValidateHcWarnings"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ecs:RebootInstance",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent": "true"
                }
            }
        },
        {
            "Action": "ecs:*",
            "Effect": "Allow",
            "Resource": [
                "acs:ecs:*:*:*"
            ]
        },
        {
            "Action": "ecs:CreateSnapshot",
            "Effect": "Allow",
            "Resource": [
                "acs:ecs:*:*:*",
                "acs:ecs:*:*:snapshot/*"
            ]
        },
        {
            "Action": [
                "ecs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }, {
            "Action": [
                "yundun-sas:ModifyPushAllTask",
                "yundun-sas:DeleteTagWithUuid",
                "yundun-sas:ModifyTagWithUuid",
                "yundun-sas:CreateOrUpdateAssetGroup",
                "yundun-sas:DeleteGroup",
                "yundun-sas:ModifyAssetImportant",
                "yundun-sas:RefreshAssets"

            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Clique em Continuar para editar informações básicas e, em seguida, insira um Nome e uma Observação para a política.
Clique em OK.

Etapa 2: Conceder permissões ao usuário RAM

Faça login no RAM console como administrador do RAM.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, localize o usuário RAM que você criou e, na coluna Actions, clique em Attach Policy.

Você também pode selecionar vários usuários RAM e clicar em Attach Policy abaixo da lista de usuários para conceder permissões a vários usuários RAM de uma só vez.
No painel Attach Policy, conceda permissões ao usuário RAM.
1. Escopo do recurso:
  1. Nível da conta: as permissões entram em vigor em todos os recursos da conta atual do Alibaba Cloud. Esta opção é adequada para cenários gerais que não exigem isolamento de permissões por grupo de recursos.
  2. Nível do grupo de recursos: as permissões entram em vigor apenas no grupo de recursos especificado. Esta opção é adequada para cenários em que várias equipes compartilham uma conta do Alibaba Cloud e as permissões precisam ser isoladas por grupo de recursos. Se um usuário RAM receber permissões no nível do grupo de recursos, ele deverá alterar o escopo do recurso para o grupo de recursos autorizado na barra de navegação superior após fazer login no console. Dessa forma, o usuário RAM poderá acessar e gerenciar corretamente os recursos no grupo de recursos.
    Nota
    
    O sistema marca automaticamente as políticas de sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess. Essas políticas geralmente contêm permissões de controle total sobre todos os recursos de nuvem ou permissões de gerenciamento total no Resource Access Management (RAM). Conceda essas políticas com cautela.
    
    Para obter mais informações sobre a autorização de grupo de recursos, consulte Controlar o acesso do usuário RAM a instâncias ECS específicas.
2. Principal: o principal é o usuário RAM ao qual você deseja adicionar permissões. O sistema seleciona automaticamente o usuário RAM atual.
3. Selecione as políticas.
  - Pesquise e selecione a política AliyunYundunSASReadOnlyAccess. Esta política do sistema concede aos engenheiros de O&M acesso somente leitura ao Security Center.
  - Pesquise e selecione a política personalizada que você criou na Etapa 1: Criar uma política personalizada para o Security Center.
Clique em Confirmar.

Apêndice: Políticas de permissão personalizadas comuns

Quando os usuários RAM utilizam recursos específicos do Security Center, você deve conceder a eles as permissões personalizadas correspondentes a esses recursos. O conteúdo a seguir descreve os scripts de políticas de permissão personalizadas compatíveis com os módulos de recursos comuns do Security Center.

Nota

Na maioria dos casos, cada ação em uma política de permissão personalizada do RAM corresponde a uma operação de API do serviço de nuvem.

Asset Center

Ação na política do RAM	Descrição	API compatível
yundun-sas:DescribeCloudCenterInstances	Consulta ativos, incluindo o tipo de ativo, o status de alerta de segurança e o status online do cliente.	DescribeCloudCenterInstances
yundun-sas:DescribeFieldStatistics	Consulta estatísticas de servidor para seus ativos.	DescribeFieldStatistics
yundun-sas:DescribeCriteria	Consulta critérios de pesquisa para a pesquisa aproximada de ativos.	DescribeCriteria - Consulta os critérios de ativos
yundun-sas:ModifyPushAllTask	Executa uma tarefa de verificação de segurança nos servidores.	ModifyPushAllTask
yundun-sas:DeleteGroup	Exclui um grupo de ativos.	DeleteGroup
yundun-sas:DescribeSearchCondition	Consulta condições de filtro para ativos.	DescribeSearchCondition
yundun-sas:DescribeImageStatistics	Consulta estatísticas de risco de ativos de imagem de contêiner.	DescribeImageStatistics
yundun-sas:DescribeGroupedTags	Consulta estatísticas de tags de ativos.	DescribeGroupedTags
yundun-sas:DescribeDomainCount	Consulta o número de ativos de nome de domínio.	DescribeDomainCount
yundun-sas:DescribeCloudProductFieldStatistics	Consulta estatísticas dos serviços do Alibaba Cloud.	DescribeCloudProductFieldStatistics
yundun-sas:DescribeCloudCenterInstances	Consulta informações de ativos.	DescribeCloudCenterInstances
yundun-sas:DescribeAllGroups	Consulta todos os grupos de servidores.	DescribeAllGroups
yundun-sas:CreateOrUpdateAssetGroup	Cria um grupo de servidores ou modifica servidores em um grupo.	CreateOrUpdateAssetGroup
yundun-sas:DescribeInstanceStatistics	Consulta estatísticas de risco de ativos.	DescribeInstanceStatistics
yundun-sas:PauseClient	Ativa ou pausa o cliente do agente.	PauseClient - Pausa ou retoma o cliente do Agente
yundun-sas:ModifyTagWithUuid	Modifica o nome de uma tag de ativo ou atualiza os ativos associados.	ModifyTagWithUuid - Modifica o nome ou os ativos associados de uma tag de ativo
yundun-sas:RefreshAssets	Sincroniza os ativos mais recentes.	RefreshAssets
yundun-sas:ExportRecord	Exporta resultados de verificações do Asset Center, Cloud Security Posture Management, Image Security Scan, Attack Analysis e AccessKey Pair Leakage Detection para um arquivo Excel.	ExportRecord
yundun-sas:DescribeExportInfo	Consulta o progresso de uma tarefa de exportação de ativos.	DescribeExportInfo - Descreve o progresso de uma exportação de lista de ativos
yundun-sas:DescribeDomainList	Consulta uma lista de ativos de nome de domínio.	DescribeDomainList
yundun-sas:DescribeDomainDetail	Consulta os detalhes de um ativo de nome de domínio.	DescribeDomainDetail
yundun-sas:DescribeAssetDetailByUuid	Consulta detalhes de ativos por UUID.	DescribeAssetDetailByUuid

Gerenciamento de vulnerabilidades

Ação na política do RAM	Descrição	API compatível
yundun-sas:DescribeVulWhitelist	Consulta a lista de permissões de vulnerabilidades com paginação.	DescribeVulWhitelist
yundun-sas:ModifyOperateVul	Corrige, verifica ou ignora vulnerabilidades.	ModifyOperateVul
yundun-sas:ModifyVulTargetConfig	Configura a detecção de vulnerabilidades para um único servidor.	ModifyVulTargetConfig
yundun-sas:DescribeConcernNecessity	Consulta a necessidade de correção para vulnerabilidades rastreadas.	DescribeConcernNecessity
yundun-sas:DescribeVulList	Consulta informações de vulnerabilidades por tipo.	DescribeVulList
yundun-sas:ModifyOperateVul	Corrige, verifica ou ignora vulnerabilidades.	ModifyOperateVul
yundun-sas:DescribeImageVulList	Lista vulnerabilidades detectadas por verificações de segurança de imagem e imagens de contêiner afetadas.	DescribeImageVulList
yundun-sas:ExportVul	Exporta uma lista de vulnerabilidades.	ExportVul
yundun-sas:DescribeVulExportInfo	Consulta o progresso de uma tarefa de exportação de vulnerabilidades.	DescribeVulExportInfo

Gerenciamento de Postura de Segurança em Nuvem

Ação na política do RAM	Descrição	API compatível
yundun-sas:FixCheckWarnings	Corrige riscos de verificação de linha de base.	FixCheckWarnings
yundun-sas:IgnoreHcCheckWarnings	Ignora ou deixa de ignorar riscos de verificação de linha de base.	IgnoreHcCheckWarnings - Ignorar ou deixar de ignorar ameaças em uma linha de base em lotes
yundun-sas:ValidateHcWarnings	Verifica riscos de verificação de linha de base.	ValidateHcWarnings

Referências

Elementos da política de permissão: O RAM utiliza políticas para descrever o conteúdo específico da autorização. Uma política é composta por elementos básicos, como Effect, Action, Resource, Condition e Principal.
Estrutura e sintaxe da política: Compreenda a sintaxe e a estrutura das políticas antes de criar ou atualizar uma política.
Gerenciar permissões para engenheiros de O&M: Se a sua empresa tiver múltiplos requisitos de O&M, use o RAM para controlar as permissões de cada tipo de engenheiro de O&M, facilitando o gerenciamento e o controle.
Usar o RAM para restringir os endereços IP que podem ser usados para acessar recursos do Alibaba Cloud: O RAM pode restringir os usuários a acessarem seus recursos na nuvem apenas a partir de endereços IP especificados, aumentando a segurança de acesso.
Usar o RAM para restringir o período em que os usuários do RAM podem acessar recursos do Alibaba Cloud: O RAM pode restringir os usuários a acessarem seus recursos na nuvem apenas dentro de um período especificado, aumentando a segurança de acesso.