背景信息

為了向您提供云上資產流量接入與檢測能力，需要您授權允許NDR需要訪問您的云服務器 ECS、負載均衡SLB、日志服務SLS等云服務資源，您可通過系統自動創建的NDR服務關聯角色AliyunServiceRoleForCloudNDR進行訪問授權。服務關聯角色無需您手動創建或做任何修改。相關內容，請參見服務關聯角色。

前提條件

使用阿里云賬號或具備創建與刪除服務關聯角色權限的RAM用戶賬號。

如何為RAM用戶授予操作服務關聯角色的權限，請參見RAM用戶無法自動創建全流量威脅檢測與響應NDR服務關聯角色AliyunServiceRoleForCloudNDR？。

操作步驟

1. 登錄全流量威脅檢測與響應控制臺。

2. 單擊立即授權。

   

完成后，阿里云將自動為您創建NDR服務關聯角色AliyunServiceRoleForCloudNDR。

您可以在RAM控制臺的角色頁面，查看阿里云為NDR自動創建的服務關聯角色。只有創建服務關聯角色AliyunServiceRoleForCloudNDR后，NDR實例才能訪問ECS、SLB、SLS等資源，使用該權限查詢實例、管理SLS等。

AliyunServiceRoleForCloudNDR權限說明

AliyunServiceRoleForCloudNDR默認擁有AliyunServiceRolePolicyForCloudNDR系統權限策略的授權。

AliyunServiceRolePolicyForCloudNDR中定義的權限如下所示。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:DescribeInstances",
        "ecs:DescribeNetworkInterfaces"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "slb:DescribeLoadBalancers"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "nlb:ListLoadBalancers"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "alb:GetLoadBalancerAttribute",
        "alb:ListLoadBalancers"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "vpc:DescribeEipAddresses",
        "vpc:DescribeNatGateways",
        "vpc:DescribeIpv6Addresses"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:DescribeService",
        "log:EnableService"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:ListProject",
        "log:ListLogStores"
      ],
      "Resource": "acs:log:*:*:project/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:PostLogStoreLogs",
        "log:GetProject",
        "log:GetLogStore",
        "log:CreateLogStore",
        "log:CreateProject",
        "log:GetIndex",
        "log:CreateIndex",
        "log:UpdateIndex",
        "log:CreateDashboard",
        "log:ClearLogStoreStorage",
        "log:UpdateLogStore",
        "log:UpdateDashboard",
        "log:DeleteProject",
        "log:CreateSavedSearch",
        "log:UpdateSavedSearch",
        "log:DeleteLogStore"
      ],
      "Resource": "acs:log:*:*:project/ndr*",
      "Effect": "Allow"
    },
    {
      "Action": "yundun-aegis:DescribeAccesskeyLeakList",
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "ndr.aliyuncs.com"
        }
      }
    }
  ]
}

關于權限策略語法的詳細說明，請參見權限策略基本元素。

刪除服務關聯角色

如果不再使用全流量威脅檢測與響應，您可以刪除全流量威脅檢測與響應服務關聯角色AliyunServiceRoleForCloudNDR。只有當全流量威脅檢測與響應實例已經過期并自動釋放后，您才可以刪除服務關聯角色。具體操作，請參見刪除RAM角色。

相關問題

您在使用主賬號下的子用戶進行產品登錄與操作期間，彈窗提示沒有權限怎么辦？

您需要提前使用主賬號對子用戶進行授權，如果使用未授權的子用戶登錄后訪問NDR產品時則會彈窗提示沒有權限。具體操作步驟請參見賬號開通與授權。

RAM用戶無法自動創建全流量威脅檢測與響應NDR服務關聯角色AliyunServiceRoleForCloudNDR？

您需要擁有指定的權限才能自動創建或刪除AliyunServiceRoleForCloudNDR。在RAM用戶無法自動創建AliyunServiceRoleForCloudNDR時，您需為RAM用戶添加以下權限策略。具體步驟，請參見為RAM用戶授權。

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:主賬號ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "ndr.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}