Security Center:Best practices for managing RAM user permissions

Adım 1: Security Center için özel bir ilke oluşturun

1. Bir RAM yöneticisi olarak RAM konsolu üzerinde oturum açın.

2. Sol gezinme bölmesinde Permissions > Policies seçeneğini belirleyin.

3. Policies sayfasında Create Policy seçeneğine tıklayın.

4. Create Policy sayfasında JSON sekmesine tıklayın. Yaygın betik örnekleri aşağıda verilmiştir:

   • Yenileme ve iade

     Scenario	Script configuration
     Otomatik yenileme fiyatlarını sorgulama (bssapi:QueryAvailableInstances) ve otomatik yenileme ayarlarını yapılandırma (bssapi:SetRenewal)	{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }
     Otomatik yenileme ayarlarını değiştirme (bss:ModifyPrepaidInstanceAutoRenew)
     Yenileme ve yükseltme/düşürme siparişleri için ödeme yapma (bss:PayOrder)
     İndirimli fiyatları görüntüleme (bss:QueryPrice)
     İade talebi gönderme (bss:RefundBatchRemainRefund)

   • Asset Center'a salt okunur erişim

     {
         "Version": "1",
         "Statement": [
             {
                "Action": [
                          "yundun-sas:DescribeCloudCenterInstances",
                          "yundun-sas:DescribeFieldStatistics",
                          "yundun-sas:DescribeCriteria"
                          ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • Asset Center'da güvenlik denetimi

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "yundun-sas:ModifyPushAllTask",
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • Zafiyet yönetimine salt okunur erişim

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "yundun-sas:DescribeVulFixStatistics",
                     "yundun-sas:DescribeVulDefendCountStatistics",
                     "yundun-sas:DescribeVulMetaCountStatistics",
                     "yundun-sas:DescribeVulListPage",
                     "yundun-sas:DescribeVulNumStatistics",
                     "yundun-sas:DescribeVulConfig",
                     "yundun-sas:DescribeGroupedVul",
                     "yundun-sas:DescribeVulDetails",
                     "yundun-sas:DescribeVulList",
                     "yundun-sas:DescribeVulWhitelist",
                     "yundun-sas:DescribeAppVulScanCycle",
                     "yundun-sas:ListVulAutoRepairConfig",
                     "yundun-sas:DescribeEmgUserAgreement",
                     "yundun-sas:DescribeEmgVulItem",
                     "yundun-sas:DescribeUuidsByVulNames",
                     "yundun-sas:DescribeTarget",
                     "yundun-sas:DescribeVulTargetStatistics",
                     "yundun-sas:DescribeConcernNecessity",
                     "yundun-sas:DescribeOnceTask",
                     "yundun-sas:GetOnceTaskResultInfo",
                     "yundun-sas:DescribeCycleTaskList",
                     "yundun-sas:DescribeVulExportInfo",
                     "yundun-sas:DescribeInstanceRebootStatus",
                     "yundun-sas:DescribeMachineCanReboot"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • Zafiyet yönetimi

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "yundun-sas:OperateVuls",
                     "yundun-sas:ModifyCreateVulWhitelist",
                     "yundun-sas:DeleteVulWhitelist",
                     "yundun-sas:ModifyVulWhitelistTarget",
                     "yundun-sas:ModifyOperateVul",
                     "yundun-sas:ModifyStartVulScan",
                     "yundun-sas:ModifyVulConfig",
                     "yundun-sas:ModifyEmgVulSubmit",
                     "yundun-sas:ModifyVulTarget",
                     "yundun-sas:ModifyCycleTask",
                     "yundun-sas:ModifyAppVulScanCycle",
                     "yundun-sas:ModifyAutoDelConfig",
                     "yundun-sas:ModifyConcernNecessity",
                     "yundun-sas:DeleteVulAutoRepairConfig",
                     "yundun-sas:CreateVulAutoRepairConfig",
                     "yundun-sas:ExportVul",
                     "yundun-sas:RebootMachine",
                     "yundun-sas:DescribeVulFixStatistics",
                     "yundun-sas:DescribeVulDefendCountStatistics",
                     "yundun-sas:DescribeVulMetaCountStatistics",
                     "yundun-sas:DescribeVulListPage",
                     "yundun-sas:DescribeVulNumStatistics",
                     "yundun-sas:DescribeVulConfig",
                     "yundun-sas:DescribeGroupedVul",
                     "yundun-sas:DescribeVulDetails",
                     "yundun-sas:DescribeVulList",
                     "yundun-sas:DescribeVulWhitelist",
                     "yundun-sas:DescribeAppVulScanCycle",
                     "yundun-sas:ListVulAutoRepairConfig",
                     "yundun-sas:DescribeEmgUserAgreement",
                     "yundun-sas:DescribeEmgVulItem",
                     "yundun-sas:DescribeUuidsByVulNames",
                     "yundun-sas:DescribeTarget",
                     "yundun-sas:DescribeVulTargetStatistics",
                     "yundun-sas:DescribeConcernNecessity",
                     "yundun-sas:DescribeOnceTask",
                     "yundun-sas:GetOnceTaskResultInfo",
                     "yundun-sas:DescribeCycleTaskList",
                     "yundun-sas:DescribeVulExportInfo",
                     "yundun-sas:DescribeInstanceRebootStatus",
                     "yundun-sas:DescribeMachineCanReboot"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

   • İşletim ve bakım mühendisi izinleri

     Not

     İşletim ve bakım mühendisi izni senaryosunda bu ilke betiği, RAM kullanıcılarının zafiyet tarama, zafiyet düzeltme, temel yapılandırma denetimi ve Asset Center özelliklerini kullanmasına ve ilgili işlemleri gerçekleştirmesine olanak tanır. Bu ilkeyi attıktan sonra RAM kullanıcısının gerçekleştirebileceği belirli işlemler için Ek: Yaygın özel izin ilkeleri tablosundaki eylemlere ve açıklamalara bakın.

     {
         "Version": "1",
         "Statement": [{
                 "Action": [
                     "yundun-sas:OperateVul",
                     "yundun-sas:ModifyStartVulScan"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "yundun-sas:FixCheckWarnings",
                     "yundun-sas:IgnoreHcCheckWarnings",
                     "yundun-sas:ValidateHcWarnings"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": "ecs:RebootInstance",
                 "Effect": "Allow",
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "acs:MFAPresent": "true"
                     }
                 }
             },
             {
                 "Action": "ecs:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:ecs:*:*:*"
                 ]
             },
             {
                 "Action": "ecs:CreateSnapshot",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:ecs:*:*:*",
                     "acs:ecs:*:*:snapshot/*"
                 ]
             },
             {
                 "Action": [
                     "ecs:Describe*"
                 ],
                 "Effect": "Allow",
                 "Resource": "*"
             }, {
                 "Action": [
                     "yundun-sas:ModifyPushAllTask",
                     "yundun-sas:DeleteTagWithUuid",
                     "yundun-sas:ModifyTagWithUuid",
                     "yundun-sas:CreateOrUpdateAssetGroup",
                     "yundun-sas:DeleteGroup",
                     "yundun-sas:ModifyAssetImportant",
                     "yundun-sas:RefreshAssets"
     
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ]
     }

5. Continue To Edit Basic Information seçeneğine tıklayın ve ardından ilke için bir Name ve Note girin.

6. OK seçeneğine tıklayın.

Adım 2: RAM kullanıcısına izinleri atayın

1. Bir RAM yöneticisi olarak RAM konsolu üzerinde oturum açın.

2. Sol gezinme bölmesinde Identities > Users seçeneğini belirleyin.

3. Users sayfasında oluşturduğunuz RAM kullanıcısını bulun ve Actions sütununda Attach Policy seçeneğine tıklayın.

   Alternatif olarak, birden fazla RAM kullanıcısını seçip kullanıcı listesinin altındaki Attach Policy seçeneğine tıklayarak aynı anda birden fazla RAM kullanıcısına izin atayabilirsiniz.

4. Attach Policy panelinde RAM kullanıcısına izinleri atayın.

   1. Resource scope:

      1. Account level: İzinler, mevcut Alibaba Cloud hesabındaki tüm kaynaklar üzerinde etkili olur. Bu seçenek, kaynak grubuna göre izin yalıtımı gerektirmeyen genel senaryolar için uygundur.

      2. Resource group level: İzinler yalnızca belirtilen kaynak grubu içinde etkili olur. Bu seçenek, birden fazla ekibin tek bir Alibaba Cloud hesabını paylaştığı ve izinlerin kaynak grubuna göre yalıtılması gerektiği senaryolar için uygundur. Bir RAM kullanıcısına kaynak grubu düzeyinde izinler atanırsa, kullanıcı konsola giriş yaptıktan sonra üst gezinme çubuğunda kaynak kapsamını yetkilendirilmiş kaynak grubuna geçirmelidir. Böylece kullanıcı, kaynak grubundaki kaynaklara uygun şekilde erişebilir ve bunları yönetebilir.

         Not

         1. Sistem, AdministratorAccess ve AliyunRAMFullAccess gibi yüksek riskli sistem ilkelerini otomatik olarak işaretler. Bu ilkeler genellikle tüm cloud kaynakları üzerinde tam kontrol izinleri veya Resource Access Management (RAM) üzerinde tam yönetim izinleri içerir. Bu ilkeleri dikkatli bir şekilde atayın.

         2. Kaynak grubu yetkilendirmesi hakkında daha fazla bilgi için bkz. Belirli ECS örneklerine RAM kullanıcısı erişimini kontrol etme.

   2. Principal: Principal, izin eklemek istediğiniz RAM kullanıcısıdır. Sistem mevcut RAM kullanıcısını otomatik olarak seçer.

   3. İlkeleri seçin.

      • AliyunYundunSASReadOnlyAccess ilkesini arayın ve seçin. Bu sistem ilkesi, işletim ve bakım mühendislerine Security Center için salt okunur erişim sağlar.

      • Adım 1: Security Center için özel bir ilke oluşturma bölümünde oluşturduğunuz özel ilkeyi arayın ve seçin.

5. Confirm seçeneğine tıklayın.

Asset Center

Zafiyet yönetimi

Cloud Security Posture Management