Resource Access Management：訪問分析器的服務關聯角色

背景資訊

服務關聯角色（Service Linked Role，簡稱SLR）是與特定阿里雲服務綁定的一種RAM角色。在某些情境下，為了完成自身功能，雲端服務需要擷取訪問其他雲端服務的許可權。通過使用服務關聯角色，您可以安全地授權雲端服務代表您訪問其他資源，而無需手動建立和管理角色。更多資訊，請參見服務關聯角色。

應用情境

訪問分析器服務關聯角色（AliyunServiceRoleForAccessAnalyzer）的應用情境如下：

• 外部存取分析

  當您建立外部存取分析器以識別帳號內資源被外部帳號訪問的情況時，訪問分析器需要讀取OSS儲存桶的權限原則、ACL、RAM角色的信任策略等配置資訊，以識別哪些資源對外部帳號開放了存取權限。

• 過度許可權訪問分析

  當您建立過度授權訪問分析器以識別帳號內擁有過多許可權的RAM身份時，訪問分析器需要讀取RAM身份配置資訊（使用者、角色、權限原則、登入資訊和存取金鑰等），並結合Action Trail（ActionTrail）的活動紀錄分析身份的實際使用方式，以發現超級管理員、特權身份、不活躍身份和過度授權身份。

訪問分析器通過服務關聯角色擷取這些唯讀許可權，用於分析許可權資訊和Action Trail活動紀錄。

權限原則

角色名稱：AliyunServiceRoleForAccessAnalyzer

角色權限原則：AliyunServiceRolePolicyForAccessAnalyzer

許可權內容：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetBucketPolicy",
        "oss:GetBucketAcl",
        "oss:ListBuckets",
        "oss:GetBucketPublicAccessBlock",
        "oss:GetBucketPolicyStatus",
        "ram:GetPolicy",
        "ram:GetRole",
        "ram:ListUsers",
        "ram:ListRoles",
        "ram:GetLoginProfile",
        "ram:ListAccessKeys",
        "ram:ListEntitiesForPolicy",
        "ram:ListUsersForGroup",
        "ram:GenerateServiceLastAccessedDetails",
        "ram:GetServiceLastAccessedDetails"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "actiontrail:CreateServiceTrail",
        "actiontrail:DeleteServiceTrail",
        "actiontrail:GetServiceTrail",
        "actiontrail:GetServiceTrailDeliveryStatus"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "accessanalyzer.aliyuncs.com"
        }
      }
    }
  ]
}

上述權限原則包含了三組許可權：

• 第一組許可權允許訪問分析器讀取OSS儲存桶的權限原則、ACL和公開訪問配置，以及RAM使用者和角色的相關配置資訊（登入資訊、存取金鑰和權限原則的授權資訊等），用於外部存取分析和過度授權分析。

• 第二組許可權允許訪問分析器建立和管理Action Trail（ActionTrail）服務跟蹤，以擷取活動紀錄用於分析身份的許可權使用方式。

• 第三組許可權允許訪問分析器在刪除所有分析器後自動清理該服務關聯角色。

建立服務關聯角色

訪問分析器服務關聯角色（AliyunServiceRoleForAccessAnalyzer）會在以下情境中自動建立：

• 當您在訪問分析器控制台首次建立分析器時，會自動建立服務關聯角色。

• 當您使用API調用建立分析器時，會自動建立服務關聯角色。

建立不同類型的分析器時，服務關聯角色的建立行為如下：

• 建立“帳號範圍”的訪問分析器：系統在當前帳號中建立該服務關聯角色。

• 建立“資來源目錄範圍”的分析器：系統在資來源目錄中的所有成員帳號中建立該服務關聯角色。

如需瞭解建立分析器的具體操作，請參見識別過度授權和識別外部存取。

查看服務關聯角色

當服務關聯角色（AliyunServiceRoleForAccessAnalyzer）建立成功後，您可以在RAM控制台查看該角色的基本資料、信任策略和權限原則。

1. 登入RAM控制台。

2. 在左側導覽列，選擇身份管理 > 角色。

3. 在角色列表中搜尋AliyunServiceRoleForAccessAnalyzer，單擊角色名稱進入角色詳情頁面。

4. 在角色詳情頁面的基本資料地區，查看角色ID和建立時間等資訊。

5. 單擊信任策略管理頁簽，查看信任策略中的Service欄位是否包含accessanalyzer.aliyuncs.com。

6. 查看角色的權限原則：

   1. 在角色詳情頁面，單擊許可權管理頁簽。

   2. 在權限原則列表中尋找AliyunServiceRolePolicyForAccessAnalyzer，單擊策略名稱稱。

   3. 查看策略內容，瞭解具體的授權範圍。

刪除服務關聯角色

如果您需要刪除AliyunServiceRoleForAccessAnalyzer（服務關聯角色），需要先判斷服務關聯角色的對應服務是否已停用。

常見問題