Resource Access Management:Access Analyzer service-linked role

Arka plan

Hizmet bağlantılı rol (SLR), belirli bir Alibaba Cloud hizmetiyle ilişkilendirilmiş bir RAM rolü türüdür. Bazı senaryolarda, bulut hizmetinin işlevlerini yerine getirebilmesi için diğer bulut hizmetlerine erişim iznine ihtiyacı olur. Hizmet bağlantılı rol kullanarak, rolü manuel olarak oluşturup yönetmek zorunda kalmadan bulut hizmetinin sizin adınıza diğer kaynaklara güvenli bir şekilde erişmesini yetkilendirebilirsiniz. Daha fazla bilgi için bkz. Hizmet bağlantılı roller.

Kullanım senaryoları

Access Analyzer hizmet bağlantılı rolü (AliyunServiceRoleForAccessAnalyzer) aşağıdaki senaryolarda geçerlidir:

• Harici erişim analizi

  Hesabınızdaki harici hesaplar tarafından erişilen kaynakları belirlemek üzere harici erişim analizörü oluşturduğunuzda, Access Analyzer harici hesaplara erişilebilen kaynakları tespit etmek için hesabınızdaki paket ilkelerini, ACL'leri ve RAM rollerinin güven ilkelerini okumalıdır.

• Aşırı yetkili erişim analizi

  Aşırı izne sahip RAM kimliklerini belirlemek üzere aşırı yetkili erişim analizörü oluşturduğunuzda, Access Analyzer RAM kimliği yapılandırmalarını (kullanıcılar, roller, izin ilkeleri, oturum açma ayarları ve AccessKey çiftleri) okumalı ve bunları ActionTrail etkinlik günlükleriyle birleştirerek kimliklerin gerçek kullanımını analiz etmelidir. Bu sayede süper yöneticiler, ayrıcalıklı kimlikler, etkin olmayan kimlikler ve aşırı yetkili kimlikler keşfedilir.

Access Analyzer, izin bilgilerini ve ActionTrail etkinlik günlüklerini analiz etmek için bu salt okunur izinleri hizmet bağlantılı rol üzerinden alır.

İzin ilkesi

Rol adı: AliyunServiceRoleForAccessAnalyzer

İzin ilkesi: AliyunServiceRolePolicyForAccessAnalyzer

İlke içeriği:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetBucketPolicy",
        "oss:GetBucketAcl",
        "oss:ListBuckets",
        "oss:GetBucketPublicAccessBlock",
        "oss:GetBucketPolicyStatus",
        "ram:GetPolicy",
        "ram:GetRole",
        "ram:ListUsers",
        "ram:ListRoles",
        "ram:GetLoginProfile",
        "ram:ListAccessKeys",
        "ram:ListEntitiesForPolicy",
        "ram:ListUsersForGroup",
        "ram:GenerateServiceLastAccessedDetails",
        "ram:GetServiceLastAccessedDetails"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "actiontrail:CreateServiceTrail",
        "actiontrail:DeleteServiceTrail",
        "actiontrail:GetServiceTrail",
        "actiontrail:GetServiceTrailDeliveryStatus"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "accessanalyzer.aliyuncs.com"
        }
      }
    }
  ]
}

Yukarıdaki izin ilkesi üç grup izin içerir:

• İlk izin grubu, Access Analyzer'ın harici erişim analizi ve aşırı yetkili erişim analizi için OSS paket ilkelerini, ACL'leri ve genel erişim engelleme yapılandırmalarının yanı sıra RAM kullanıcı ve rol yapılandırmalarını (oturum açma ayarları, AccessKey çiftleri ve izin ilkesi ekleri) okumasına olanak tanır.

• İkinci izin grubu, Access Analyzer'ın kimliklerin izin kullanımını analiz etmek üzere etkinlik günlüklerini toplamak amacıyla ActionTrail hizmet izlerini oluşturmasına ve yönetmesine olanak tanır.

• Üçüncü izin grubu, tüm analizörler silindikten sonra Access Analyzer'ın hizmet bağlantılı rolünü otomatik olarak silmesine olanak tanır.

Hizmet bağlantılı rolü oluşturun

Access Analyzer hizmet bağlantılı rolü (AliyunServiceRoleForAccessAnalyzer) aşağıdaki senaryolarda otomatik olarak oluşturulur:

• Access Analyzer konsolunda ilk kez bir analizör oluşturduğunuzda hizmet bağlantılı rol otomatik olarak oluşturulur.

• Bir API işlemi çağırarak analizör oluşturduğunuzda hizmet bağlantılı rol otomatik olarak oluşturulur.

Hizmet bağlantılı rolünün oluşturma davranışı, analizörün kapsamına bağlı olarak değişir:

• Hesap kapsamlı analizörler: Sistem, hizmet bağlantılı rolünü mevcut hesapta oluşturur.

• Kaynak dizini kapsamlı analizörler: Sistem, hizmet bağlantılı rolünü kaynak dizininin tüm üye hesaplarında oluşturur.

Analizör oluşturmaya yönelik özel adımlar için bkz. Aşırı yetkili kimlikleri algılama ve Harici erişimi tanımlama.

Hizmet bağlantılı rolünü görüntüleyin

Hizmet bağlantılı rolü (AliyunServiceRoleForAccessAnalyzer) oluşturulduktan sonra, rolün temel bilgilerini, güven ilkesini ve izin ilkesini RAM konsolunda görüntüleyebilirsiniz.

1. RAM konsoluna giriş yapın.

2. Sol gezinme bölmesinde Identities > Roles seçeneğini seçin.

3. Rol listesinde AliyunServiceRoleForAccessAnalyzer araması yapın ve rol ayrıntıları sayfasına gitmek için rol adına tıklayın.

4. Rol ayrıntıları sayfasındaki temel bilgiler bölümünde rol kimliğini, oluşturma zamanını ve diğer bilgileri görüntüleyin.

5. Trust Policy Management sekmesine tıklayın ve güven ilkesindeki Service alanının accessanalyzer.aliyuncs.com değerini içerip içermediğini kontrol edin.

6. Rolün izin ilkesini görüntüleyin:

   1. Rol ayrıntıları sayfasında Permissions sekmesine tıklayın.

   2. İlke listesinde AliyunServiceRolePolicyForAccessAnalyzer öğesini bulun ve ilke adına tıklayın.

   3. Belirli yetkilendirme kapsamını anlamak için ilke içeriğini görüntüleyin.

Hizmet bağlantılı rolünü silin

AliyunServiceRoleForAccessAnalyzer (hizmet bağlantılı rolü) silmeniz gerekiyorsa, önce ilgili hizmetin artık kullanılmadığından emin olmalısınız.

SSS