Compartir a través de

Roles y permisos de usuario

  • Artículo

Microsoft Defender for Cloud usa el control de acceso basado en roles de Azure (Azure RBAC) para proporcionar roles integrados. Puede asignar estos roles a usuarios, grupos y servicios en Azure para conceder a los usuarios acceso a los recursos según el acceso definido en el rol.

Defender for Cloud evalúa la configuración de los recursos para identificar problemas de seguridad y vulnerabilidades. En Defender for Cloud, solo verá información relacionada con un recurso cuando se le asigna uno de estos roles para la suscripción o para el grupo de recursos en el que se encuentra el recurso: Propietario, Colaborador o Lector.

Además de los roles integrados, hay dos roles específicos de Defender for Cloud:

  • Lector de seguridad: un usuario que pertenece a este rol tiene acceso de solo lectura en Defender for Cloud. El usuario puede ver las recomendaciones, las alertas, una directiva de seguridad y los estados de seguridad, pero no puede realizar cambios.
  • Administrador de seguridad: un usuario que pertenece a este rol tiene el mismo acceso que el lector de seguridad, y puede actualizar la directiva de seguridad y descartar las alertas y las recomendaciones.

Es recomendable que asigne el rol de menos permisos que los usuarios necesiten para realizar sus tareas. Por ejemplo, asigne el rol Lector a los usuarios que solo necesiten ver información sobre el estado de seguridad de los recursos, pero no llevar a cabo acciones como aplicar recomendaciones o editar directivas.

Roles y acciones permitidas

En la siguiente tabla se muestran los roles y las acciones permitidas en Defender for Cloud.

Acción Lector de seguridad /
Lector		 Administrador de seguridad Colaborador / Propietario Colaborador Propietario
(Nivel de grupo de recursos) (Nivel de suscripción) (Nivel de suscripción)
Agregar o asignar iniciativas (incluidas las normas de cumplimiento normativo) - ✔ - - ✔
Editar directivas de seguridad - ✔ - - ✔
Habilitar o deshabilitar planes de Microsoft Defender - ✔ - ✔ ✔
Descartar alertas - ✔ - ✔ ✔
Aplicar recomendaciones de seguridad en un recurso
(y usar el botón Corregir)		 - - ✔ ✔ ✔
Ver alertas y recomendaciones ✔ ✔ ✔ ✔ ✔
Recomendaciones de seguridad exentas - ✔ - - ✔
Configurar notificaciones por correo electrónico - ✔ ✔ ✔ ✔

Nota:

Aunque los tres roles mencionados son suficientes para habilitar y deshabilitar los planes de Defender, para habilitar todas las funcionalidades de un plan, se requiere el rol Propietario.

El rol específico necesario para implementar componentes de supervisión depende de la extensión que se va a implementar. Obtenga más información sobre la supervisión de componentes.

Roles usados para aprovisionar automáticamente agentes y extensiones

Para permitir que el rol de Administrador de seguridad aprovisione automáticamente agentes y extensiones usados en los planes de Defender for Cloud, Defender for Cloud usa la corrección de directivas de forma similar a Azure Policy. Para usar la corrección, Defender for Cloud debe crear entidades de servicio, también denominadas identidades administradas, que asignan roles en el nivel de suscripción. Por ejemplo, las entidades de servicio del plan de Defender para contenedores son:

Entidad de servicio Roles
Perfil de seguridad de AKS de aprovisionamiento de Defender para contenedores • Colaborador de la extensión de Kubernetes
• Colaborador
• Colaborador de Azure Kubernetes Service
• Colaborador de Log Analytics
Defender para contenedores que aprovisionan Kubernetes habilitados para Arc • Colaborador de Azure Kubernetes Service
• Colaborador de la extensión de Kubernetes
• Colaborador
• Colaborador de Log Analytics
Defender para contenedores que aprovisionan Azure Policy para Kubernetes • Colaborador de la extensión de Kubernetes
• Colaborador
• Colaborador de Azure Kubernetes Service
Extensión de directiva de aprovisionamiento de Defender para contenedores para Kubernetes habilitado para Arc • Colaborador de Azure Kubernetes Service
• Colaborador de la extensión de Kubernetes
• Colaborador

Permisos en AWS

Al incorporar un conector de Amazon Web Services (AWS), Defender for Cloud creará roles y asignará permisos en la cuenta de AWS. En la tabla siguiente, se muestran los roles y el permiso asignados por cada plan en la cuenta de AWS.

Plan de Defender for Cloud Rol creado Permiso asignado en la cuenta de AWS
Administración de la posición de seguridad en la nube de Defender CspmMonitorAws Para identificar los permisos de los recursos de AWS, lea todos los recursos excepto:
"consolidatedbilling:"
"freetier:"
"invoicing:"
"payments:"
"billing:"
"tax:"
"cur:*"
Administración de la posición de seguridad en la nube de Defender

Defender para servidores		 DefenderForCloud-AgentlessScanner Para crear y limpiar instantáneas de disco (con ámbito según la etiqueta) “CreatedBy”: Permisos para "Microsoft Defender for Cloud":
"ec2:DeleteSnapshot" "ec2:ModifySnapshotAttribute"
"ec2:DeleteTags"
"ec2:CreateTags"
"ec2:CreateSnapshots"
"ec2:CopySnapshot"
"ec2:CreateSnapshot"
"ec2:DescribeSnapshots"
"ec2:DescribeInstanceStatus"
Permiso para EncryptionKeyCreation "kms:CreateKey"
"kms:ListKeys"
Permisos para EncryptionKeyManagement "kms:TagResource"
"kms:GetKeyRotationStatus"
"kms:PutKeyPolicy"
"kms:GetKeyPolicy"
"kms:CreateAlias"
"kms:TagResource"
"kms:ListResourceTags"
"kms:GenerateDataKeyWithoutPlaintext"
"kms:DescribeKey"
"kms:RetireGrant"
"kms:CreateGrant"
"kms:ReEncryptFrom"
Administración de la posición de seguridad en la nube de Defender

Defender para Storage		 SensitiveDataDiscovery Permisos para detectar buckets de S3 en la cuenta de AWS, permiso para que el detector de Defender for Cloud acceda a los datos de los buckets de S3.
S3 de solo lectura; descifrado de KMS "kms:Decrypt"
CIEM DefenderForCloud-Ciem
DefenderForCloud-OidcCiem		 Permisos para Ciem Discovery
"sts:AssumeRole"
"sts:AssumeRoleWithSAML"
"sts:GetAccessKeyInfo"
"sts:GetCallerIdentity"
"sts:GetFederationToken"
"sts:GetServiceBearerToken"
"sts:GetSessionToken"
"sts:TagSession"
Defender para servidores DefenderForCloud-DefenderForServers Permisos para la configuración de acceso de red JIT:
"ec2:RevokeSecurityGroupIngress"
"ec2:AuthorizeSecurityGroupIngress"
"ec2:DescribeInstances"
"ec2:DescribeSecurityGroupRules"
"ec2:DescribeVpcs"
"ec2:CreateSecurityGroup"
"ec2:DeleteSecurityGroup"
"ec2:ModifyNetworkInterfaceAttribute"
"ec2:ModifySecurityGroupRules"
"ec2:ModifyInstanceAttribute"
"ec2:DescribeSubnets"
"ec2:DescribeSecurityGroups"
Defender para contenedores DefenderForCloud-Containers-K8s Permisos para enumerar clústeres EKS y recopilar datos de clústeres EKS.
"eks:UpdateClusterConfig"
"eks:DescribeCluster"
Defender para contenedores DefenderForCloud-DataCollection Permisos para el grupo de registros de CloudWatch creado por Defender for Cloud
“logs:PutSubscriptionFilter"
"logs:DescribeSubscriptionFilters"
"logs:DescribeLogGroups" autp "logs:PutRetentionPolicy"

Permisos para usar la cola de SQS creada por Defender for Cloud
"sqs:ReceiveMessage"
"sqs:DeleteMessage"
Defender para contenedores DefenderForCloud-Containers-K8s-cloudwatch-to-kinesis Permisos para acceder al flujo de entrega de Kinesis Data Firehose creado por Defender for Cloud
"firehose:*"
Defender para contenedores DefenderForCloud-Containers-K8s-kinesis-to-s3 Permisos para usar el bucket de SQS creado por Defender for Cloud
"s3:GetObject"
"s3:GetBucketLocation"
"s3:AbortMultipartUpload"
"s3:GetBucketLocation"
"s3:GetObject"
"s3:ListBucket"
"s3:ListBucketMultipartUploads"
"s3:PutObject"
Defender para contenedores

Administración de la posición de seguridad en la nube de Defender		 MDCContainersAgentlessDiscoveryK8sRole Permisos para recopilar datos de clústeres EKS. Actualización de clústeres EKS para admitir la restricción de IP y crear iamidentitymapping para clústeres EKS
“eks:DescribeCluster”
“eks:UpdateClusterConfig*”
Defender para contenedores

Administración de la posición de seguridad en la nube de Defender		 MDCContainersImageAssessmentRole Permisos para detectar imágenes de ECR y ECR Public.
AmazonEC2ContainerRegistryReadOnly
AmazonElasticContainerRegistryPublicReadOnly
AmazonEC2ContainerRegistryPowerUser
AmazonElasticContainerRegistryPublicPowerUser
Defender para servidores DefenderForCloud-ArcAutoProvisioning Permisos para instalar Azure Arc en todas las instancias EC2 mediante SSM
"ssm:CancelCommand"
"ssm:DescribeInstanceInformation"
"ssm:GetCommandInvocation"
"ssm:UpdateServiceSetting"
"ssm:GetServiceSetting"
"ssm:GetAutomationExecution"
"ec2:DescribeIamInstanceProfileAssociations"
"ec2:DisassociateIamInstanceProfile"
"ec2:DescribeInstances"
"ssm:StartAutomationExecution"
"iam:GetInstanceProfile"
"iam:ListInstanceProfilesForRole"
"ssm:GetAutomationExecution"
"ec2:DescribeIamInstanceProfileAssociations"
"ec2:DisassociateIamInstanceProfile"
"ec2:DescribeInstances"
"ssm:StartAutomationExecution"
"iam:GetInstanceProfile"
"iam:ListInstanceProfilesForRole"
Administración de la posición de seguridad en la nube de Defender DefenderForCloud-DataSecurityPostureDB Permiso para detectar instancias de RDS en la cuenta de AWS, crear una instantánea de instancia de RDS
- Enumeración de todas las bases de datos o clústeres de RDS
- Enumeración de todas las instantáneas de bases de datos o clústeres
- Copia de todas las instantáneas de bases de datos o clústeres
- Eliminación o actualización de la instantánea de base de datos o clúster con el prefijo defenderfordatabases
- Enumeración de todas las claves de KMS
- Uso de todas las claves de KMS solo para RDS en la cuenta de origen
- Enumeración de las claves de KMS con el prefijo de etiqueta DefenderForDatabases
- Creación de alias para claves de KMS

Permisos necesarios para detectar instancias de RDS
"rds:DescribeDBInstances"
"rds:DescribeDBClusters"
"rds:DescribeDBClusterSnapshots"
"rds:DescribeDBSnapshots"
"rds:CopyDBSnapshot"
"rds:CopyDBClusterSnapshot"
"rds:DeleteDBSnapshot"
"rds:DeleteDBClusterSnapshot"
"rds:ModifyDBSnapshotAttribute"
"rds:ModifyDBClusterSnapshotAttribute" "rds:DescribeDBClusterParameters"
"rds:DescribeDBParameters"
"rds:DescribeOptionGroups"
"kms:CreateGrant"
"kms:ListAliases"
"kms:CreateKey"
"kms:TagResource"
"kms:ListGrants"
"kms:DescribeKey"
"kms:PutKeyPolicy"
"kms:Encrypt"
"kms:CreateGrant"
"kms:EnableKey"
"kms:CancelKeyDeletion"
"kms:DisableKey"
"kms:ScheduleKeyDeletion"
"kms:UpdateAlias"
"kms:UpdateKeyDescription"

Permisos en GCP

Al incorporar un conector de Google Cloud Projects (GCP), Defender for Cloud creará roles y asignará permisos en el proyecto de GCP. En la tabla siguiente, se muestran los roles y el permiso asignados por cada plan en el proyecto de GCP.

Plan de Defender for Cloud Rol creado Permiso asignado en la cuenta de AWS
Administración de la posición de seguridad en la nube de Defender MDCCspmCustomRole Para detectar recursos de GCP
resourcemanager.folders.getIamPolicy
resourcemanager.folders.list
resourcemanager.organizations.get
resourcemanager.organizations.getIamPolicy
storage.buckets.getIamPolicy resourcemanager.folders.get
resourcemanager.projects.get
resourcemanager.projects.list
serviceusage.services.enable
iam.roles.create
iam.roles.list
iam.serviceAccounts.actAs
compute.projects.get
compute.projects.setCommonInstanceMetadata"
Defender para servidores microsoft-defender-for-servers
azure-arc-for-servers-onboard		 Acceso de solo lectura para obtener y enumerar Compute Engine
resources roles/compute.viewer
roles/iam.serviceAccountTokenCreator
roles/osconfig.osPolicyAssignmentAdmin
roles/osconfig.osPolicyAssignmentReportViewer
Defender para bases de datos defender-for-databases-arc-ap Permisos para el aprovisionamiento automático de ARC de Defender para bases de datos
roles/compute.viewer
roles/iam.workloadIdentityUser
roles/iam.serviceAccountTokenCreator
roles/osconfig.osPolicyAssignmentAdmin
roles/osconfig.osPolicyAssignmentReportViewer
Administración de la posición de seguridad en la nube de Defender

Defender para Storage		 data-security-posture-storage Permiso para que el detector de Defender for Cloud identifique depósitos de almacenamiento de GCP para acceder a los datos de los buckets de almacenamiento de GCP
storage.objects.list
storage.objects.get
storage.buckets.get
Administración de la posición de seguridad en la nube de Defender

Defender para Storage		 data-security-posture-storage Permiso para que el detector de Defender for Cloud identifique depósitos de almacenamiento de GCP para acceder a los datos de los buckets de almacenamiento de GCP
storage.objects.list
storage.objects.get
storage.buckets.get
Administración de la posición de seguridad en la nube de Defender microsoft-defender-ciem Permisos para obtener detalles sobre el recurso de la organización.
resourcemanager.folders.getIamPolicy
resourcemanager.folders.list
resourcemanager.organizations.get
resourcemanager.organizations.getIamPolicy
storage.buckets.getIamPolicy
Administración de la posición de seguridad en la nube de Defender

Defender para servidores		 MDCAgentlessScanningRole Permisos para la detección de discos sin agente:
compute.disks.createSnapshot
compute.instances.get
Administración de la posición de seguridad en la nube de Defender

Defender para servidores		 cloudkms.cryptoKeyEncrypterDecrypter Se conceden permisos a un rol de KMS de GCP existente para admitir la detección de discos cifrados con CMEK
Administración de la posición de seguridad en la nube de Defender

Defender para contenedores		 mdc-containers-artifact-assess Permiso para detectar imágenes de GAR y GCR.
Roles/artifactregistry.reader
Roles/storage.objectViewer
Defender para contenedores mdc-containers-k8s-operator Permisos para recopilar datos de clústeres GKE. Actualice los clústeres de GKE para admitir la restricción de IP.
Roles/container.viewer
MDCGkeClusterWriteRole container.clusters.update*
Defender para contenedores microsoft-defender-containers Permisos para crear y administrar el receptor de registro para enrutar los registros a un tema de Cloud Pub/Sub.
logging.sinks.list
logging.sinks.get
logging.sinks.create
logging.sinks.update
logging.sinks.delete
resourcemanager.projects.getIamPolicy
resourcemanager.organizations.getIamPolicy
iam.serviceAccounts.get
iam.workloadIdentityPoolProviders.get
Defender para contenedores ms-defender-containers-stream Permisos para permitir que el registro envíe registros a Pub/Sub:
pubsub.subscriptions.consume
pubsub.subscriptions.get

Pasos siguientes

En este artículo se ha explicado cómo usa Defender for Cloud RBAC de Azure para asignar permisos a usuarios e identificar las acciones permitidas de cada rol. Ahora que ya está familiarizado con las asignaciones de roles necesarios para supervisar el estado de seguridad de su suscripción, editar directivas de seguridad y aplicar recomendaciones, aprenderá los siguientes conceptos: