Alibaba Cloudの必要なアクセス許可

機能 AlibabaのRAM権限 注記
モニタリング (読み取り専用)

カスタムポリシー (以下のアクセス許可を使用)

  • cr:Get*
  • cr:List*
  • cs:Describe*
  • cs:GetClusters
  • ecs:Describe*
  • ims:GenerateCredentialReport
  • kms:Describe*
  • kms:List*
  • oss:GetBucket*
  • oss:ListBuckets
  • ram:Get*
  • ram:List*
  • resourcecenter:ListResourceTypes
  • resourcecenter:SearchResources
  • resourcemanager:Get*
  • resourcemanager:List*
  • tag:ListTagResources
常に適用されます。Alibaba Cloud 組織を接続する場合、これらの権限は組織レベルで付与する必要があります。正確なポリシー JSON については、以下の モニタリングポリシー を参照してください。
データリソーススキャン (データ保護)

カスタムポリシー (以下のアクセス許可を使用)

  • kms:Decrypt
  • oss:GetObject
  • oss:ListObjects
詳細については データ保護 を参照してください。正確なポリシー JSON については下記 データ保護ポリシー を参照してください。
ワークロード保護

カスタムポリシー (以下のアクセス許可を使用)

  • ecs:CreateSnapshot
  • ecs:DeleteSnapshot
  • resourcesharing:AssociateResourceShare
  • resourcesharing:CreateResourceShare
  • resourcesharing:DisassociateResourceShare
  • resourcesharing:ListResourceShareAssociations
  • resourcesharing:ListResourceShares
この機能を使用するには Standard または Enterprise のライセンスが必要です。上記のスナップショットとリソース共有のアクセス許可のいくつかは、Tenable のワークロード分析用にタグ付けされたリソースにのみ適用されます。それらのタグ条件を含め、正確なポリシー JSON については、以下の ワークロード保護ポリシー を参照してください。このポリシーを付与する手順については 、ワークロードの接続 を参照してください。

モニタリングポリシー

コピー

JSON

{
  "Statement": [
    {
      "Action": [
        "cr:Get*",
        "cr:List*",
        "cs:Describe*",
        "cs:GetClusters",
        "ecs:Describe*",
        "ims:GenerateCredentialReport",
        "kms:Describe*",
        "kms:List*",
        "oss:GetBucket*",
        "oss:ListBuckets",
        "ram:Get*",
        "ram:List*",
        "resourcecenter:ListResourceTypes",
        "resourcecenter:SearchResources",
        "resourcemanager:Get*",
        "resourcemanager:List*",
        "tag:ListTagResources"
      ],
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    }
  ],
  "Version": "1"
}

データ保護ポリシー

コピー

JSON

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "kms:Decrypt",
        "oss:GetObject",
        "oss:ListObjects"
      ],
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    }
  ]
}

ワークロード保護ポリシー

コピー

JSON

{
  "Statement": [
    {
      "Action": [
        "ecs:CreateSnapshot",

      ],
      "Condition": {
        "StringEquals": {
          "acs:RequestTag/TenableContext": [
            "WorkloadAnalysis"
          ]
        }
      },
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    },
    {
      "Action": [
        "ecs:DeleteSnapshot"
      ],
      "Condition": {
        "StringEquals": {
          "acs:ResourceTag/TenableContext": [
            "WorkloadAnalysis"
          ]
        }
      },
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    },
    {
      "Action": [
        "resourcesharing:CreateResourceShare",
      ],
      "Condition": {
        "StringEquals": {
          "acs:RequestTag/TenableContext": [
            "WorkloadAnalysis"
          ]
        }
      },
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    },
    {
      "Action": [
        "resourcesharing:DeleteResourceShare"
      ],
      "Condition": {
        "StringEquals": {
          "acs:ResourceTag/TenableContext": [
            "WorkloadAnalysis"
          ]
        }
      },
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    },
    {
      "Action": [
        "resourcesharing:AssociateResourceShare",
        "resourcesharing:DisassociateResourceShare",
        "resourcesharing:ListResourceShareAssociations",
        "resourcesharing:ListResourceShares"
      ],
      "Effect": "Allow",
      "Resource": [
        "*"
      ]
    }
  ],
  "Version": "1"
}