本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon亚马逊的托管政策 GuardDuty
要向用户、组和角色添加权限,与自己编写策略相比,使用 Amazon 托管策略更简单。创建仅为团队提供所需权限的 IAM 客户托管策略需要时间和专业知识。要快速入门,您可以使用我们的 Amazon 托管式策略。这些策略涵盖常见使用案例,可在您的 Amazon Web Services 账户 中使用。有关 Amazon 托管策略的更多信息,请参阅 IAM 用户指南中的Amazon 托管策略。
Amazon 服务负责维护和更新 Amazon 托管策略。您无法更改 Amazon 托管策略中的权限。服务偶尔会向 Amazon 托管式策略添加额外权限以支持新功能。此类更新会影响附加策略的所有身份(用户、组和角色)。当启动新功能或新操作可用时,服务最有可能会更新 Amazon 托管式策略。服务不会从 Amazon 托管式策略中删除权限,因此策略更新不会破坏您的现有权限。
此外,Amazon 还支持跨多种服务的工作职能的托管式策略。例如,ReadOnlyAccessAmazon托管策略提供对所有Amazon服务和资源的只读访问权限。当服务启动新功能时,Amazon 会为新操作和资源添加只读权限。有关工作职能策略的列表和说明,请参阅 IAM 用户指南中的适用于工作职能的 Amazon 托管策略。
Amazon 托管策略:AmazonGuardDutyFullAccess
您可以将 AmazonGuardDutyFullAccess
策略附加得到 IAM 身份。
此策略授予管理权限,允许用户完全访问所有 GuardDuty 操作。
权限详细信息
此策略包含以下权限。
-
GuardDuty
— 允许用户完全访问所有 GuardDuty操作。 -
IAM
— 允许用户创建 GuardDuty 服务相关角色。这允许 GuardDuty 管理员 GuardDuty 为成员账户启用。 -
Organizations
— 允许用户指定委派管理员和管理 GuardDuty 组织的成员。
对账户执行iam:GetRole
操作的权限AWSServiceRoleForAmazonGuardDutyMalwareProtection
确定了恶意软件防护的服务关联角色 (SLR) 是否存在。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "guardduty:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": [ "guardduty.amazonaws.com", "malware-protection.guardduty.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": [ "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:GetRole", "Resource": "arn:aws:iam::*:role/*AWSServiceRoleForAmazonGuardDutyMalwareProtection" } ] }
Amazon托管策略:AmazonGuardDutyReadOnlyAccess
您可以将 AmazonGuardDutyReadOnlyAccess
策略附加得到 IAM 身份。
此策略授予只读权限,允许用户查看您 GuardDuty 组织的 GuardDuty 调查结果和详细信息。
权限详细信息
此策略包含以下权限。
-
GuardDuty
— 允许用户查看 GuardDuty 发现结果并执行以Get
、List
或开头的 API 操作Describe
。 -
Organizations
— 允许用户检索有关您的 GuardDuty 组织配置的信息,包括委派管理员帐户的详细信息。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "guardduty:Describe*", "guardduty:Get*", "guardduty:List*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" } ] }
Amazon托管策略:AWSServiceRoleForAmazonGuardDuty
您不能将 AWSServiceRoleForAmazonGuardDuty
附加到自己的 IAM 实体。此Amazon托管策略附加到服务相关角色的策略允许 GuardDuty 代表您执行操作。有关更多信息,请参阅使用服务相关角色。
GuardDuty Amazon托管策略的更新
查看有关 GuardDuty 自Amazon此服务开始跟踪这些更改起。有关此页面更改的自动提示,请订阅 GuardDuty 文档历史记录页面上的 RSS 源。
更改 | 说明 | 日期 |
---|---|---|
AmazonGuardDutyFullAccess – 对现有策略的更新 |
GuardDuty 已将的 ARN 更新 |
2022 年 7 月 26 日 |
AmazonGuardDutyFullAccess – 对现有策略的更新 |
GuardDuty 添加了一个新功能, GuardDuty 现在可以执行 |
2022 |
AWSServiceRoleForAmazonGuardDuty – 对现有策略的更新 |
GuardDuty 添加了新的权限, GuardDuty 允许使用 Amazon EC2 联网操作来改进调查结果。 GuardDuty 现在可以执行以下 EC2 操作来获取有关您的 EC2 实例通信方式的信息。此信息用于提高查找精度。
|
2021 |
GuardDuty 开始跟踪更改 |
GuardDuty 开始跟踪其Amazon托管策略的更改。 |
2021 |