Security Center service-linked roles - scenarios and permissions - Security Center: Central de Documentação do Alibaba Cloud

O Security Center utiliza funções vinculadas a serviço (SLRs) para acessar outros services da Alibaba Cloud em cenários específicos. Conheça cada SLR, seus casos de uso e como criar, visualizar ou excluir essas funções.

Uma função vinculada a serviço (SLR) é uma função do RAM cuja entidade confiável é um service da Alibaba Cloud. O Security Center usa SLRs para acessar outros services e resources da cloud.

Geralmente, as SLRs são criadas automaticamente quando você executa uma operação relacionada. Se a criação automática falhar ou se o Security Center não oferecer suporte à criação automática de uma SLR específica, será necessário criá-la manualmente.

O RAM atribui uma política de sistema imutável a cada SLR. Consulte os detalhes da política na {{XREF_0}}.

Cenários

O Security Center fornece as seguintes SLRs.

Função vinculada a serviço	Identificador do service	Cenários
AliyunServiceRoleForSas	sas.aliyuncs.com	Acessa o Container Registry e o ApsaraDB RDS para detectar riscos de segurança em ativos de contêiner. Utiliza resources de VPC e ECS no recurso de honeypot na cloud para detectar ataques e rastrear suas origens. Acessa resources do ECS para proteção contra ataques de força bruta. Conecta-se ao Simple Log Service para consulta e análise de logs. Acessa instâncias do ECS e imagens do ECS. O recurso de detecção sem agente compartilha imagens com a conta de service do Security Center para realizar varreduras de segurança. Integra-se ao Cloud Backup e ao ECS para proteção antirransomware e backup de dados. Acessa o Resource Directory para contas de gerenciamento e administradores delegados. Habilita o recurso de gerenciamento de segurança de múltiplas contas, permitindo a gestão centralizada de riscos de segurança nas contas membro. Utiliza resources do OSS para detecção de arquivos maliciosos, realizando varredura de vírus nos arquivos. Acessa resources do Key Management Service (KMS) para descriptografar e verificar arquivos do OSS protegidos com SSE-KMS.
AliyunServiceRoleForSasCloudSiem	cloudsiem.sas.aliyuncs.com	Interage com resources de VPC e Cloud Firewall para análise e resposta a ameaças, coletando e entregando logs, tratando eventos e analisando ameaças. Isso possibilita funcionalidades como gerenciamento centralizado de alertas e análise da origem de ameaças.
AliyunServiceRoleForSasCspm	cspm.sas.aliyuncs.com	Consulta resources do ActionTrail para verificações de configuração do Cloud Security Posture Management (CSPM).
AliyunServiceRoleForSasRd	rd.sas.aliyuncs.com	Em cenários de múltiplas contas, permite que uma conta de administrador delegado acesse os consoles das contas membro em um diretório de resources. Facilita a configuração centralizada de segurança e o monitoramento de riscos em tempo real entre as contas membro.
AliyunServiceRoleForSasSecurityLake	security-lake.sas.aliyuncs.com	Acessa resources do OSS e do Data Lake Formation (DLF) para o recurso de dados frios de análise de ameaças, gerenciando dados de log e executando consultas interativas.

Criar uma função vinculada a serviço

AliyunServiceRoleForSas

O sistema cria essa SLR automaticamente quando você usa pela primeira vez um dos recursos abaixo e concede as permissões necessárias.

Módulo	Recursos
Governança de riscos	Detecção de arquivos maliciosos Análise de logs
Segurança de contêineres	Ativos de contêiner Varredura de imagens de contêiner Assinatura de imagens de contêiner Detecção de ameaças para Kubernetes
Segurança do host	Honeypot na cloud Proteção contra ataques de força bruta Detecção sem agente Antirransomware Varredura de vírus Detecção adaptativa de ameaças
Outras configurações	Task Hub Gerenciamento de segurança de múltiplas contas

AliyunServiceRoleForSasCloudSiem

Criada automaticamente ao usar pela primeira vez a análise e resposta a ameaças e conceder as permissões.{{XREF_1}}.

AliyunServiceRoleForSasCspm

Criada automaticamente ao utilizar pela primeira vez o Cloud Security Posture Management e conceder as permissões.

Nota

Desde 21 de novembro de 2022 (UTC+8), a política de acesso do CSPM migrou de AliyunServiceRoleForSas para AliyunServiceRoleForSasCspm. Para realizar a migração, acesse a página Cloud Security Posture Management. Na caixa de diálogo Role Policy Migration Reminder, clique em OK e, em seguida, clique em Authorize Now para autorizar.

AliyunServiceRoleForSasRd

Criada automaticamente em uma conta membro quando uma conta de gerenciamento ou de administrador delegado usa o gerenciamento de segurança de múltiplas contas para adicionar o membro à lista de monitoramento.

AliyunServiceRoleForSasSecurityLake

Criada automaticamente ao usar pela primeira vez o recurso de dados frios de análise de ameaças e conceder as permissões.

Visualizar uma função vinculada a serviço

Após criar uma SLR, visualize seus detalhes na página Funções do console RAM:

Informações básicas

A seção Basic Information exibe o nome da função, horário de criação, ARN e descrição.
Política de acesso

Na aba Permissions, clique no nome da política para visualizar o documento da política.

Nota
As políticas de acesso da SLR ficam visíveis apenas na página de detalhes da função, e não na página Policies.
Política de confiança

A aba Trust Policy indica qual service da Alibaba Cloud pode assumir a função. Verifique o campo Service.

{{XREF_2}}.

Excluir uma função vinculada a serviço

A AliyunServiceRoleForSas segue o princípio do menor privilégio. Ela contém apenas a política de sistema AliyunServiceRolePolicyForSas, que concede as permissões exigidas pelo Security Center para seus recursos de segurança. A política de confiança dessa função permite que apenas o service sas.aliyuncs.com a assuma. Nenhum outro service ou identidade pode assumir essa função, portanto, mantê-la não introduz riscos de segurança.

Importante

A exclusão de uma SLR desativa todos os recursos que dependem dela.

Caso deixe de usar o Security Center por um longo período ou antes de encerrar sua conta da Alibaba Cloud, talvez seja necessário excluir a SLR manualmente. Para excluir uma SLR, acesse o console RAM. {{XREF_3}}.

Referências

{{XREF_4}}.