Resource Access Management:Govern permissions with Access Analyzer

Harekete geçmeden önce araştırın

Düzeltme önerileri algoritmalar ve erişim verilerine göre oluşturulur; iş bağlamınızı tam olarak anlayamaz. Herhangi bir öneriyi uygulamadan önce, hedef kimliğin veya kaynağın söz konusu izinlere artık ihtiyaç duymadığını doğrulayın.

• Üretim açısından kritik kimlikler (operasyon rolleri, CI/CD rolleri veya çekirdek uygulamalar tarafından kullanılan RAM rolleri gibi) için onay almak üzere ilgili iş sahibine başvurun.

• İlke kaldırma önerileri için, iznin gerçekten kullanılmadığını belirlemek amacıyla bulgu ayrıntıları sayfasındaki Accessed services, Granted services ve Last accessed time bilgilerini kontrol edin.

• Harici erişim bulguları için, erişim ilişkisinin işiniz için gerekli olup olmadığını doğrulamak üzere ayrıntılar sayfasındaki belirli harici sorumluyu kontrol edin.

Uygun bir değişiklik penceresi seçin

İzin yakınsaması çalışan iş yüklerini etkileyebilir. Şunları öneririz:

• Yoğun iş saatleri veya önemli sürüm pencereleri sırasında izin değişiklikleri yapmaktan kaçının.

• Çevrimiçi üretim uygulamaları tarafından kullanılan RAM kimlikleri için, eşdeğer izin değişikliklerinin etkisini önce bir test ortamında doğrulayın.

• Hesaplar arası kaynaklar (kaynak dizini senaryoları) için, değişiklik penceresini hedef hesabın yöneticisiyle önceden koordine edin.

Geri alma prosedürlerini hazırlayın

Herhangi bir izin yakınsama işlemi yapmadan önce, hızlıca geri alabildiğinizden emin olun:

• Değişiklik öncesi durumu kaydedin: Bir ilkeyi kaldırmadan önce, hedef kimliğe şu anda ekli olan tüm ilkeleri, ilke adı ve türü (sistem veya özel) dahil olmak üzere kaydedin.

• Özel ilkelerin bir kopyasını saklayın: Özel bir ilkeyi kaldırmadan önce, ilke tanımı yanlışlıkla silinirse yeniden yetkilendirme hatasını önlemek için ilke içeriğini dışa aktarın ve yedekleyin.

• Kimlikleri hemen silmeyin: Etkin olmayan RAM kullanıcıları için önce konsol oturum açmayı ve AccessKey'leri devre dışı bırakın. Hatalar oluşursa erişimi hızla geri yükleyebilmeniz için silmeye karar vermeden önce bir süre gözlemleyin.

• Geri alma komutlarını bilin: Konsolda gerçekleştirilen yetki kaldırma işlemleri için, gerektiğinde izinleri hızla geri yüklemek amacıyla RAM OpenAPI (AttachPolicyToUser, AttachPolicyToRole) kullanabilirsiniz. Ayrıntılar için bu konudaki Geri alma ve kurtarma bölümüne bakın.

Bulgu

Access Analyzer tarafından oluşturulan bir bulgu şunları içerir:

• Bulgu türü: Bulgunun kategorisi. Örnekler:

  • super user/role

  • privileged user/role

  • inactive user/role

  • over-privileged user/role

• Durum: Bulgunun durumu. Geçerli değerler: Active, Resolved ve Archived.

• Kaynak bilgileri: Hedef kaynağın adı, türü ve sahibi.

• Zaman damgaları: Created At, Analysis Time ve Updated At.

• Bulgu Kimliği: Bulgunun benzersiz tanımlayıcısı.

Düzeltme önerisi

Access Analyzer, her bulgu için düzeltme önerileri oluşturur:

• İzin değiştirme: Geniş izinler veren bir ilkeyi daha kısıtlayıcı bir ilkeyle değiştirin. Örneğin, süper yönetici iznini (AdministratorAccess) sistem yönetici izni ile (PowerUserAccess) değiştirebilirsiniz.

• İzin kaldırma: Kullanılmayan bir ilkeyi kaldırın.

• Kimlik yönetimi: Etkin olmayan bir kimliği devre dışı bırakın veya silin.

• Bulgu arşivleme: Kasıtlı yetkilendirme davranışlarıyla ilişkili bulguları arşivleyin.

Karar mantığı

Access Analyzer, aşırı yetkili erişimi aşağıdaki önceliğe göre sınıflandırır. Bir RAM kimliği birden fazla koşulla eşleşirse en yüksek öncelikli tür uygulanır.

Önkoşullar

Aşağıdaki gereksinimlerin karşılandığından emin olun:

• Access Analyzer konsolunda Over-privileged Access türünde bir analizci mevcuttur.

• Gerekli izinlere sahipsiniz. İşletene AliyunRAMAccessAnalyzerFullAccess ve AliyunRAMFullAccess ilkelerinin verilmesini öneririz.

Yordam

1. Bir bulgu bulun

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde, Access Analysis > Findings seçeneğini belirleyin.

   3. Üst gezinme çubuğunda, analizcinin bulunduğu bölgeyi seçin.

   4. Findings > Overview sekmesinde, Inactive User türünde bir Active bulgu bulun ve sayıya tıklayın.

2. Düzeltme önerilerini görüntüleyin ve uygulayın

   1. Findings listesinde, artık ihtiyaç duyulmadığını onayladığınız bir RAM kullanıcısını seçin ve karşılık gelen Finding ID öğesine tıklayın.

   2. Findings ayrıntıları sayfasında, Actions sütunundaki Advices sekmesine tıklayın. Kısa bir beklemeden sonra sistem Remove unused identities önerisini görüntüler. Go for Governance seçeneğine tıklayın.

3. RAM konsolundaki kullanıcı ayrıntıları sayfasına yönlendirilirsiniz. İş gereksinimlerinize göre konsol oturum açmayı devre dışı bırakabilir, bir AccessKey'i devre dışı bırakabilir veya kullanıcıyı silebilirsiniz.

4. Sonucu doğrulayın. Access Analyzer konsoluna dönün. Bulguyu arşivleyebilirsiniz. Aksi takdirde, sonraki analiz döngüsünden sonra durumu otomatik olarak Resolved olarak değişir.

Privileged users/roles düzeltme: Kullanılmayan yüksek riskli ilkeleri kaldırma

Bir privileged user/role için düzeltme önerisi, kullanılmayan yüksek riskli izin ilkelerini kaldırmaktır. Yordam, Super users/roles düzeltme: Kullanılmayan izin ilkelerini kaldırma ile aynıdır.

Inactive users/roles düzeltme: Kimlikleri devre dışı bırakma veya silme

Etkin olmayan kimlikler, belirtilen kullanılmayan erişim süresi içinde hiçbir erişim etkinliğine sahip olmamıştır. Geçerli kimlik bilgilerine sahip uzun süreli boşta kalan kimlikler potansiyel bir güvenlik riskidir.

İşlem yapmadan önce şunları doğrulayın: Kimlik mevsimsel veya periyodik olarak mı kullanılıyor (ay sonu finansal ödemeler veya üç aylık denetimler gibi); yedek veya olağanüstü durum kurtarma hesabı mı (genellikle etkin değildir ancak yük devretme sırasında kritiktir); RAM rolleri için, bir arka uç hizmeti yalnızca istisnai koşullar altında (acil durum operasyonları veya uyarı işleme rolleri gibi) rolü mü çağırıyor. Bunlardan herhangi biri geçerliyse, kimliği silmek yerine bulguyu arşivleyin.

Kimliğe artık ihtiyaç duyulmadığını onaylarsanız, önce devre dışı bırakın, gözlemleyin, ardından silin:

1. Findings > Overview veya Findings > Findings sekmesinde, inactive user/role türünde bir giriş bulun ve belirli Finding ID öğesine tıklayın.

2. Findings ayrıntıları sayfasında, Actions sütunundaki Advices sekmesine tıklayın.

3. Advices panelinde, Remove Unused Principals önerisini bulun.

4. Kaynak sahibine göre uygun işlemi gerçekleştirin:

   • Geçerli hesap: Go for Governance seçeneğine tıklayın. RAM konsolundaki kullanıcı veya rol ayrıntıları sayfasına yönlendirilirsiniz. Oturum açma ayarlarını temizleyebilir, bir AccessKey'i devre dışı bırakabilir veya silebilir ya da kimliği silebilirsiniz.

   • Hesaplar arası: Copy Resource URL seçeneğine tıklayın. Hedef hesapta oturum açın ve isteği işlemek için URL'ye erişin.

     Copy Resource URL düğmesi, analiz sonucu ayrıntıları sayfasındaki Governance Suggestions sekmesinin altında yer alır.

5. (İsteğe bağlı) Analizci düzeltme önerisi sağlamazsa bkz. Bulgum için neden düzeltme önerisi yok?

Over-privileged users/roles düzeltme: Kullanılmayan ilkeleri kaldırma

Bir over-privileged user/role için düzeltme önerisi, kullanılmayan izin ilkelerini kaldırmaktır. Yordam, Super users/roles düzeltme: Kullanılmayan izin ilkelerini kaldırma ile aynıdır.

İnceleme iş akışı

Harici erişim bulgularını düzeltmeden önce aşağıdaki inceleme adımlarını izleyin:

1. Harici sorumluyu belirleyin: Bulgu ayrıntıları sayfasında, belirli harici sorumluyu kontrol edin. OSS Paketleri için anonim kullanıcılar (AllUsers) veya belirli Alibaba Cloud hesapları içerip içermediğini kontrol edin. RAM rolleri için, güven ilkesindeki güvenilir varlıkları gözden geçirin.

2. Erişimin iş gereksinimi olup olmadığını belirleyin: Harici erişimin normal iş birliğinin bir parçası olup olmadığını kontrol edin (ortak hesap erişimi, grup içindeki departmanlar arası kaynak paylaşımı veya çoklu cloud mimarisinde hesaplar arası dağıtım gibi).

3. İzin kapsamının uygun olduğunu doğrulayın: Harici erişim beklense bile, verilen izinlerin en az ayrıcalık ilkesine uyduğunu kontrol edin. Örneğin, bir ortağa aşırı geniş operasyon izinleri verilip verilmediği.

4. Hesaplar arasında koordinasyon sağlayın: Harici erişim diğer Alibaba Cloud hesaplarını içeriyorsa, ilkeleri sıkılaştırmadan önce hem erişen tarafla hem de kaynak sahibiyle iş bağımlılığını doğrulayın, böylece ortak işi bozmaktan kaçınırsınız.

OSS Bucket harici erişimini düzeltme

OSS Paketlerine harici erişim genellikle Bucket Policy, Bucket ACL yapılandırmalarından veya "Block Public Access" ayarının eksikliğinden kaynaklanır.

Harici erişim bekleniyorsa (örneğin, bir ortağın belirli bir Paketi okuması gerekiyorsa):

1. Mevcut yetkilendirmenin en az ayrıcalık ilkesine uyduğunu kontrol edin. Örneğin, yalnızca gerekli Object düzeyinde işlemlerin (örneğin GetObject) verildiğini, tam Bucket düzeyinde izinlerin verilmediğini doğrulayın.

2. Bucket Policy'deki yetkilendirme kapsamını joker karakterlerden (*) belirli hesap kimliklerine veya RAM rol ARN'lerine daraltın.

3. Tekrarlayan uyarıları önlemek için bulguyu arşivleyin.

Harici erişim beklenmiyorsa (örneğin, Bucket genel erişim için yapılandırılmışsa):

1. OSS konsoluna gidin ve Bucket düzeyinde "Block Public Access" özelliğini etkinleştirin. Bu, Pakete genel erişimi küresel olarak engeller ve en hızlı düzeltme önlemidir.

2. Bucket Policy'yi gözden geçirin ve istenmeyen hesaplar arası yetkilendirmeyi veya anonim erişimi (Principal * olarak ayarlanmış) yapılandırmalarını kaldırın.

3. Bucket ACL'yi kontrol edin ve "Public Read" veya "Public Read/Write" olarak ayarlanmadığından emin olun.

4. Değişiklikleri yaptıktan sonra, harici erişim analizcisinin yeniden analiz etmesini bekleyin (genellikle bir ilke değişikliğinden sonra 3-5 dakika) ve bulgu durumunun "Resolved" olarak değiştiğini doğrulayın.

RAM rol hesaplar arası güvenini düzeltme

Bir RAM rolünün güven ilkesi, hangi harici kimliklerin rolü üstlenebileceğini belirler. Aşırı izinli bir güven ilkesi, hesaplar arası ayrıcalık yükseltme riskleri oluşturur.

Hesaplar arası güven bekleniyorsa (çoklu cloud mimarisinde hesaplar arası yetkilendirme gibi):

1. Güven ilkesindeki Condition öğelerini gözden geçirin. Mümkün olduğunda kısıtlamalar ekleyin (örneğin, kaynak IP aralıklarını belirtme veya MFA gerektirme) böylece bir kimlik bilgisi sızıntısının etkisini azaltırsınız.

2. Role ekli izin ilkelerini gözden geçirin ve en az ayrıcalık ilkesine uyduklarından emin olun.

3. Bulguyu arşivleyin.

Hesaplar arası güven beklenmiyorsa:

1. RAM konsoluna gidin, rol ayrıntıları sayfasını açın ve güven ilkesini düzenleyin.

2. Güven ilkesindeki Principal kapsamını yalnızca gerekli hesap kimliklerini veya hizmet tanımlayıcılarını içerecek şekilde daraltın.

3. Gereksiz joker karakter yetkilendirmelerini veya süresi dolmuş hesaplar için yetkilendirmeleri kaldırın.

4. Değişiklikleri yaptıktan sonra, bağımlı iş sistemlerini izleyin. Özellikle bu rolü diğer hesaplardan üstlenen uygulamalara dikkat edin — sıkılaştırılmış güven ilkesi STS AssumeRole hatalarına neden olursa, ilkeyi hemen geri yükleyin.

Kaldırılan izin ilkelerini geri yükleme

Access Analyzer konsolunu kullanarak bir ilkeyi kaldırdıysanız, yeniden eklemek için aşağıdaki OpenAPI komutlarını kullanın:

• RAM kullanıcısı: aliyun ram AttachPolicyToUser --PolicyType <System|Custom> --PolicyName <PolicyName> --UserName <UserName>

• RAM rolü: aliyun ram AttachPolicyToRole --PolicyType <System|Custom> --PolicyName <PolicyName> --RoleName <RoleName>

• Kullanıcı grubu: aliyun ram AttachPolicyToGroup --PolicyType <System|Custom> --PolicyName <PolicyName> --GroupName <GroupName>

Devre dışı bırakılan kimlikleri geri yükleme

• RAM kullanıcısı: Yalnızca konsol oturum açmayı ve AccessKey'leri devre dışı bıraktıysanız, oturum açma yapılandırmasını yeniden oluşturun (CreateLoginProfile) ve AccessKey'leri yeniden etkinleştirin (UpdateAccessKey --Status Active).

• RAM rolü: Rolü güven ilkesi ve ekli ilke bilgilerini yedeklemeden sildiyseniz, manuel olarak yeniden oluşturmanız ve yapılandırmanız gerekir.

Değiştirilen RAM rol güven ilkesini geri yükleme

Bir güven ilkesini değiştirmek hesaplar arası iş sorunlarına neden olduysa, orijinal güven ilkesini hemen geri yükleyin:

1. RAM konsoluna gidin ve rol ayrıntıları sayfasındaki Trust Policy sekmesini açın.

2. Orijinal güven ilkesini yedeklediyseniz, doğrudan geri yapıştırın.

3. Yedeklemediyseniz, yanlışlıkla kaldırılan güvenilir varlıkları manuel olarak yeniden ekleyin. Belirsiz hesap kimlikleri için, ActionTrail'de son AssumeRole çağrı kayıtlarını sorgulayarak hangi harici kimliklerin yakın zamanda rolü meşru şekilde üstlendiğini belirleyin.

Arşivlenen bulguları geri yükleme

Bir bulgu yanlışlıkla arşivlendiyse, bulgu listesini Archived durumuna göre filtreleyin, girişi bulun ve Unarchive seçeneğine tıklayın. Bulgu Active durumuna döner.

• Analizci türü: Bu özellik yalnızca Over-privileged Access türündeki analizcileri destekler ve External Access türündeki analizcileri desteklemez.

• Desteklenen granülerlik: Aşırı yetkili erişim analizcisi, izin denetimi bilgilerine dayanarak bir kaynak dizinindeki veya geçerli hesaptaki hizmet bağlantılı roller dışındaki tüm RAM kimliklerinin izinlerini analiz eder. Desteklenen ilke türleri, cloud hizmetleri ve granülerlik, izin denetimi ile aynıdır ve İzin denetimi özelliğiyle çalışan hizmetler bölümünde listelenmiştir. Bir ilke, desteklenmeyen hizmetler için izinler içeriyorsa, analizci izinleri kaldırmak için düzeltme önerisi sağlayamaz.

• İlke türü (yalnızca süper yönetici değiştirme için): Süper yöneticilerin izinlerini değiştirmeye yönelik düzeltme önerisi yalnızca AdministratorAccess sistem ilkesini destekler. Özel yönetici ilkeleri desteklenmez.

• İlke içeriği: Bir ilke Deny veya NotAction ifadesi içeriyorsa, analizci izinleri kaldırmak için düzeltme önerisi sağlayamaz.

• Yetkilendirme kapsamı: Bir yönetici izninin yetkilendirme kapsamı bir Resource Group ise ve bir Account değilse, kimlik süper yönetici olarak tanımlanmaz.

• Yetkilendirme yöntemi: İzinler doğrudan bir kullanıcıya veya role verilebilir veya bir kullanıcı grubu aracılığıyla devralınabilir. Analizci her iki yetkilendirme yöntemini de tanımlayabilir ancak bir kullanıcı grubundan devralınan izinler için otomatik düzeltme önerisi sağlamaz. Bu bulguları manuel olarak düzeltmeniz gerekir.

• Veri gecikmesi: Düzeltme önerileri bulgulardan oluşturulur ve bulguların veri gecikmesi en fazla 24 saat olabilir. Önerinin güncelliği kritikse, bulgu ayrıntıları sayfasında Rescan seçeneğine tıklayarak manuel olarak yeniden taramayı tetikleyebilir ve ardından öneriyi tekrar kontrol edebilirsiniz.

SSS