权限及授权项
如果您需要对您所拥有的NDR进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，IAM），如果账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用NDR的其它功能。
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。
角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。
支持的授权项
策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。
- 权限：允许或拒绝某项操作。
- 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。
类别 | 权限 | 授权项 |
|---|---|---|
只读权限 | 导出拦截规则 | ndr:blockRule:export |
查询安全分析报告总体数据 | ndr:system:getReportOverview | |
查询攻击者列表 | ndr:system:listAttackerProfileAttacker | |
查询拦截规则列表 | ndr:blockRule:list | |
导出攻击日志 | ndr:system:exportAttackLog | |
查询ips配置 | ndr:system:getIpsConfig | |
查询租户流量 | ndr:system:getStatisticsFlow | |
查看拦截规则详情 | ndr:blockRule:get | |
查询流量日志 | ndr:system:listflowLog | |
获取所有的告警信息 | ndr:system:listAlarm | |
出入口的流量统计 | ndr:system:getStatisticsFlowTime | |
查询安全分析报告检测总览数据 | ndr:system:getReportDetection | |
查询关联IP组列表 | ndr:system:listAttackerSet | |
查询拦截日志 | ndr:system:listBlockLog | |
查询攻击关系图 | ndr:system:getAttackerProfileDiagram | |
获取Attck矩阵 | ndr:system:getattckMatrix | |
导出流量日志 | ndr:system:exportFlowLog | |
查询租户攻击信息 | ndr:system:getStatisticsAttack | |
查询IP组 | ndr:ipGroup:list | |
以PCAP格式导出载荷内容文件 | ndr:system:exportLogPacket | |
获取攻击日志的报表信息 | ndr:system:getStatisticsAttackTime | |
查询攻击者时间线 | ndr:system:getAttackerProfileTimeline | |
导出拦截规则 | ndr:system:ListAdmissionTags | |
导出拦截日志 | ndr:system:exportBlockLog | |
查询单个关联IP组详情 | ndr:system:getAttackerSet | |
查询当前特别关注 | ndr:system:listLabelSpecialAttentionIp | |
下载拦截规则模板 | ndr:blockRule:getTemplate | |
查询攻击者信息图表 | ndr:system:listAttackerProfileChart | |
任务规则描述列表 | ndr:system:listipsRule | |
查询EIP列表 | ndr:eip:list | |
查询端口组 | ndr:portGroup:list | |
查询安全分析报告响应总览数据 | ndr:system:getReportResponse | |
查询用户配置 | ndr:system:getUserConfiguration | |
查询服务开通状态 | ndr:system:getSubscription | |
查询IP配置设置 | ndr:system:geAttackertLabel | |
查询攻击日志 | ndr:system:listAttackLog | |
查询攻击者信息标题 | ndr:system:getAttackerProfileTitle | |
写权限 | 修改IP配置 | ndr:system:putAttackerLabel |
修改端口组 | ndr:portGroup:put | |
开通服务 | ndr:system:createSubscription | |
批量停用EIP防护 | ndr:eip:disableProtection | |
导入拦截规则 | ndr:blockRule:import | |
禁用基础防御规则 | ndr:system:disableIpsRule | |
修改单个关联IP组 | ndr:system:putAttackerSet | |
规则批量取消关联EIP | ndr:blockRule:disassociateEip | |
批量禁用关联IP | ndr:system:disableAttackerSetMember | |
修改用户配置 | ndr:system:putUserConfiguration | |
EIP批量取消关联规则 | ndr:eip:disassociateRule | |
删除拦截规则 | ndr:blockRule:delete | |
创建端口组 | ndr:portGroup:create | |
启用基础防御规则 | ndr:system:enableIpsRule | |
EIP批量关联规则 | ndr:eip:associateRule | |
新增关联IP组中的成员 | ndr:system:createAttackerSetMember | |
规则批量关联EIP | ndr:blockRule:associateEip | |
删除端口组 | ndr:portGroup:delete | |
同步EIP | ndr:eip:synchronization | |
批量启用EIP防护 | ndr:eip:enableProtection | |
修改告警信息 | ndr:system:putAlarm | |
批量删除关联IP组中的成员 | ndr:system:batchDeleteAttackerSetMember | |
删除关联IP组 | ndr:system:deleteAttackerSet | |
编辑拦截规则 | ndr:blockRule:put | |
批量删除特别关注 | ndr:system:batchDeleteLabelSpecialAttentionIp | |
批量启用关联IP | ndr:system:enableAttackerSetMember | |
修改IP组 | ndr:ipGroup:put | |
删除特别关注 | ndr:system:deleteLabelSpecialAttentionIp | |
更改ips配置 | ndr:system:updateIpsConfig | |
创建IP组 | ndr:ipGroup:create | |
取消开通服务 | ndr:system:deleteSubscription | |
删除关联IP组中的成员 | ndr:system:deleteAttackerSetMember | |
创建拦截规则 | ndr:blockRule:create | |
删除IP组 | ndr:ipGroup:delete | |
新增关联IP组设置 | ndr:system:createAttackerSet | |
新增IP配置 | ndr:system:createAttackerLabel |
