共用方式為

使用者角色和權限

  • 發行項

適用於雲端的 Microsoft Defender 會使用 Azure 角色型存取控制 (Azure RBAC)，以提供內建角色。 您可以將這些角色指派給 Azure 中的使用者、群組和服務，以根據角色中定義的存取權，為使用者提供資源存取權。

適用於雲端的 Defender 會評估資源的設定，以識別安全性問題與弱點。 在適用於雲端的 Defender，只有當您獲指派為資源所屬的訂用帳戶或資源群組的其中一個角色時，才能看到與資源相關的資訊：擁有者、參與者或讀者。

除了這些內建角色，還有兩個特定的「適用於雲端的 Defender」角色：

  • 安全性讀者：屬於此角色的使用者擁有適用於雲端的 Defender 的唯讀權限。 使用者可以檢視建議、警示、安全性原則和安全性狀態，但無法進行變更。
  • 安全性管理員：屬於此角色的使用者具有與「安全性讀者」相同的存取權，而且還能更新安全性原則，以及解除警示和建議。

我們建議您指派所需的最寬鬆角色，以便使用者完成其工作。 例如，將「讀取者」角色指派給只需要檢視資源安全性狀態的相關資訊，但不採取行動的使用者，例如套用建議或編輯原則。

角色和允許的動作

下表會顯示適用於雲端的 Microsoft Defender 的角色和允許的動作。

動作 安全性讀取者 /
讀取者		 安全性系統管理員 參與者 / 擁有者 參與者 負責人
(資源群組層級) (訂閱層級) (訂閱層級)
新增/指派方案 (包括法規遵循標準) - ✔ - - ✔
編輯安全性原則 - ✔ - - ✔
啟用/停用 Microsoft Defender 方案 - ✔ - ✔ ✔
解除警示 - ✔ - ✔ ✔
針對資源
套用安全性建議 (使用修正)		 - - ✔ ✔ ✔
檢視警示和建議 ✔ ✔ ✔ ✔ ✔
豁免安全性建議 - ✔ - - ✔
設定電子郵件通知 - ✔ ✔ ✔ ✔

注意

若要啟用和停用 Defender 方案，上述三個角色應已足夠，但若要啟用方案的所有功能，則需要擁有者角色。

部署監視元件所需的特定角色取決於您要部署的延伸模組。 深入了解監視元件。

用來自動佈建代理程式和延伸模組的角色

若要允許安全性管理員角色自動佈建適用於雲端的 Defender 方案中使用的代理程式和延伸模組，適用於雲端的 Defender 會以與 Azure 原則類似的方式使用原則補救。 若要使用補救，適用於雲端的 Defender 必須建立服務主體，服務主體也稱為在訂用帳戶層級指派角色的受控識別。 例如，適用於容器的 Defender 方案之服務主體如下：

Service Principal 角色
佈建 AKS 安全性設定檔之適用於容器的 Defender • Kube 延伸模組參與者
• 參與者
• Azure Kubernetes Service 參與者
• Log Analytics 參與者
佈建已啟用 Arc 的 Kube 所需的適用於容器的 Defender • Azure Kubernetes Service 參與者
• Kube 延伸模組參與者
• 參與者
• Log Analytics 參與者
佈建 Kubernetes 的 Azure 原則時所需的適用於容器的 Defender • Kube 延伸模組參與者
• 參與者
• Azure Kubernetes Service 參與者
為已啟用 Arc 的 Kubernetes 佈建原則延伸模組之適用於容器的 Defender • Azure Kubernetes Service 參與者
• Kube 延伸模組參與者
• 參與者

AWS 的權限

當您將 Amazon Web Services (AWS) 連接器上線時，適用於雲端的 Defender 將會建立角色，並在 AWS 帳戶上指派權限。 下表顯示 AWS 帳戶上每個方案所指派的角色和權限。

適用於雲端的 Defender 方案 已建立角色 在 AWS 帳戶上指派的權限
Defender CSPM CspmMonitorAws 若要探索 AWS 資源權限，請閱讀下列所有資源：
合併帳單：
免費方案：
開立發票：
付款：
計費：
稅金：
cur:*
Defender CSPM

適用於伺服器的 Defender		 DefenderForCloud-AgentlessScanner 若要建立和清除磁碟快照集（以標記為範圍）「CreatedBy」：「適用於雲端的 Microsoft Defender」權限：
ec2:DeleteSnapshot ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshot
ec2:CreateSnapshot
ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
EncryptionKeyCreation kms:CreateKey 的權限
kms:ListKeys
EncryptionKeyManagement kms:TagResource 的權限
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:TagResource
kms:ListResourceTags
kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Defender CSPM

適用於儲存體的 Defender		 SensitiveDataDiscovery 在 AWS 帳戶中探索 S3 貯體的權限、適用於雲端的 Defender 掃描程式存取 S3 貯體資料的權限。
S3 唯讀；KMS 解密 kms:Decrypt
CIEM DefenderForCloud-Ciem
DefenderForCloud-OidcCiem		 Ciem Discovery 的權限
sts:AssumeRole
sts:AssumeRoleWithSAML
sts:GetAccessKeyInfo
sts:GetCallerIdentity
sts:GetFederationToken
sts:GetServiceBearerToken
sts:GetSessionToken
sts:TagSession
適用於伺服器的 Defender DefenderForCloud-DefenderForServers 設定 JIT 網路存取的權限：
ec2:RevokeSecurityGroupIngress
ec2:AuthorizeSecurityGroupIngress
ec2:DescribeInstances
ec2:DescribeSecurityGroupRules
ec2:DescribeVpcs
ec2:CreateSecurityGroup
ec2:DeleteSecurityGroup
ec2:ModifyNetworkInterfaceAttribute
ec2:ModifySecurityGroupRules
ec2:ModifyInstanceAttribute
ec2:DescribeSubnets
ec2:DescribeSecurityGroups
適用於容器的 Defender DefenderForCloud-Containers-K8s 列出 EKS 叢集和從 EKS 叢集收集資料的權限。
eks:UpdateClusterConfig
eks:DescribeCluster
適用於容器的 Defender DefenderForCloud-DataCollection 適用於雲端的 Defender 所建立之 CloudWatch 記錄群組的權限
“logs:PutSubscriptionFilter
logs:DescribeSubscriptionFilters
logs:DescribeLogGroups autp logs:PutRetentionPolicy

使用適用於雲端的 Defender 所建立之 SQS 佇列的權限
sqs:ReceiveMessage
sqs:DeleteMessage
適用於容器的 Defender DefenderForCloud-Containers-K8s-cloudwatch-to-kinesis 存取適用於雲端的 Defender 所建立的 Kinesis Data Firehose 傳遞資料流的權限
firehose:*
適用於容器的 Defender DefenderForCloud-Containers-K8s-kinesis-to-s3 使用適用於雲端的 Defender 所建立之存取 S3 貯體的權限
s3:GetObject
s3:GetBucketLocation
s3:AbortMultipartUpload
s3:GetBucketLocation
s3:GetObject
s3:ListBucket
s3:ListBucketMultipartUploads
s3:PutObject
適用於容器的 Defender

Defender CSPM		 MDCContainersAgentlessDiscoveryK8sRole 從 EKS 叢集收集資料的權限。 更新 EKS 叢集以支援 IP 限制，並建立 EKS 叢集的 intitymapping
“eks:DescribeCluster”
“eks:UpdateClusterConfig*”
適用於容器的 Defender

Defender CSPM		 MDCContainersImageAssessmentRole 從 ECR 和 ECR 公用掃描影像的權限。
AmazonEC2ContainerRegistryReadOnly
AmazonElasticContainerRegistryPublicReadOnly
AmazonEC2ContainerRegistryPowerUser
AmazonElasticContainerRegistryPublicPowerUser
適用於伺服器的 Defender DefenderForCloud-ArcAutoProvisioning 使用 SSM 在所有 EC2 執行個體上安裝 Azure Arc 的權限
ssm:CancelCommand
ssm:DescribeInstanceInformation
ssm:GetCommandInvocation
ssm:UpdateServiceSetting
ssm:GetServiceSetting
ssm:GetAutomationExecution
ec2:DescribeIamInstanceProfileAssociations
ec2:DisassociateIamInstanceProfile
ec2:DescribeInstances
ssm:StartAutomationExecution
iam:GetInstanceProfile
iam:ListInstanceProfilesForRole
ssm:GetAutomationExecution
ec2:DescribeIamInstanceProfileAssociations
ec2:DisassociateIamInstanceProfile
ec2:DescribeInstances
ssm:StartAutomationExecution
iam:GetInstanceProfile
iam:ListInstanceProfilesForRole
Defender CSPM DefenderForCloud-DataSecurityPostureDB 在 AWS 帳戶中探索 RDS 執行個體的權限、建立 RDS 執行個體快照集，
- 列出所有 RDS DB/叢集
- 列出所有 DB/叢集快照集
- 複製所有 DB/叢集快照集
- 使用 defenderfordatabases 前置詞以刪除/更新 DB/叢集快照集
- 列出所有 KMS 金鑰
- 僅針對來源帳戶上的 RDS 使用所有 KMS 金鑰
- 列出具有標籤前置詞 DefenderForDatabases 的 KMS 金鑰
- 建立 KMS 金鑰的別名

探索所需的權限，RDS 執行個體
rds:DescribeDBInstances
rds:DescribeDBClusters
rds:DescribeDBClusterSnapshots
rds:DescribeDBSnapshots
rds:CopyDBSnapshot
rds:CopyDBClusterSnapshot
rds:DeleteDBSnapshot
rds:DeleteDBClusterSnapshot
rds:ModifyDBSnapshotAttribute
rds:ModifyDBClusterSnapshotAttribute rds:DescribeDBClusterParameters
rds:DescribeDBParameters
rds:DescribeOptionGroups
kms:CreateGrant
kms:ListAliases
kms:CreateKey
kms:TagResource
kms:ListGrants
kms:DescribeKey
kms:PutKeyPolicy
kms:Encrypt
kms:CreateGrant
kms:EnableKey
kms:CancelKeyDeletion
kms:DisableKey
kms:ScheduleKeyDeletion
kms:UpdateAlias
kms:UpdateKeyDescription

GCP 的權限

當您將 Google Cloud Projects (GCP) 連接器上線時，適用於雲端的 Defender 將會建立角色，並在您的 GCP 專案上指派權限。 下表顯示 GCP 專案上每個方案所指派的角色和權限。

適用於雲端的 Defender 方案 已建立角色 在 AWS 帳戶上指派的權限
Defender CSPM MDCCspmCustomRole 這些權限可讓 CSPM 角色探索及掃描組織內的資源：

允許角色檢視和組織、專案和資料夾：
resourcemanager.folders.get
resourcemanager.folders.list resourcemanager.folders.getIamPolicy
resourcemanager.organizations.get
resourcemanager.organizations.getIamPolicy
storage.buckets.getIamPolicy

允許新專案的自動佈建程序，以及移除已刪除的專案：
resourcemanager.projects.get
resourcemanager.projects.list

允許角色啟用用於探索資源的 Google Cloud 服務：
serviceusage.services.enable

用來建立及列出 IAM 角色：
iam.roles.create
iam.roles.list

允許角色作為服務帳戶，並取得資源的權限：
iam.serviceAccounts.actAs

允許角色檢視專案詳細資料並設定一般執行個體中繼資料：
compute.projects.get
compute.projects.setCommonInstanceMetadata
適用於伺服器的 Defender microsoft-defender-for-servers
azure-arc-for-servers-onboard		 Read-only access to get and list Compute Engine
resources compute.viewer
iam.serviceAccountTokenCreator
osconfig.osPolicyAssignmentAdmin
osconfig.osPolicyAssignmentReportViewer
適用於資料庫的 Defender defender-for-databases-arc-ap 適用於資料庫 ARC 自動佈建的 Defender 權限
compute.viewer
iam.workloadIdentityUser
iam.serviceAccountTokenCreator
osconfig.osPolicyAssignmentAdmin
osconfig.osPolicyAssignmentReportViewer
Defender CSPM

適用於儲存體的 Defender		 data-security-posture-storage 適用於雲端的 Defender 掃描程式探索 GCP 儲存體貯體的權限，以存取 GCP 儲存體貯體中的資料
storage.objects.list
storage.objects.get
storage.buckets.get
Defender CSPM

適用於儲存體的 Defender		 data-security-posture-storage 適用於雲端的 Defender 掃描程式探索 GCP 儲存體貯體的權限，以存取 GCP 儲存體貯體中的資料
storage.objects.list
storage.objects.get
storage.buckets.get
Defender CSPM microsoft-defender-ciem 取得組織資源詳細資料的權限。
resourcemanager.folders.getIamPolicy
resourcemanager.folders.list
resourcemanager.organizations.get
resourcemanager.organizations.getIamPolicy
storage.buckets.getIamPolicy
Defender CSPM

適用於伺服器的 Defender		 MDCAgentlessScanningRole 無代理程式磁碟掃描的權限：
compute.disks.createSnapshot
compute.instances.get
Defender CSPM

適用於伺服器的 Defender		 cloudkms.cryptoKeyEncrypterDecrypter 授與現有 GCP KMS 角色權限，以支援掃描使用 CMEK 加密的磁碟
Defender CSPM

適用於容器的 Defender		 mdc-containers-artifact-assess 從 GAR 和 GCR 掃描影像的權限。
artifactregistry.reader
storage.objectViewer
適用於容器的 Defender mdc-containers-k8s-operator 從 GKE 叢集收集資料的權限。 更新 GKE 叢集以支援 IP 限制。
container.viewer
MDCGkeClusterWriteRole container.clusters.update*
適用於容器的 Defender microsoft-defender-containers 建立和管理記錄接收的權限，以將記錄路由傳送至 Cloud Pub/Sub 主題。
logging.sinks.list
logging.sinks.get
logging.sinks.create
logging.sinks.update
logging.sinks.delete
resourcemanager.projects.getIamPolicy
resourcemanager.organizations.getIamPolicy
iam.serviceAccounts.get
iam.workloadIdentityPoolProviders.get
適用於容器的 Defender ms-defender-containers-stream 允許記錄傳送記錄至 pub 子帳戶的權限：
pubsub.subscriptions.consume
pubsub.subscriptions.get

下一步

本文說明適用於雲端的 Microsoft Defender 如何使用 Azure RBAC，將權限指派給使用者，並識別每個角色允許的動作。 現在，您已熟悉監視您的訂用帳戶的安全性狀態所需的角色指派，編輯安全性原則和套用建議，接著了解如何︰