本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
恶意软件防护的服务相关角色权限
恶意软件防护使用名为 AWSServiceRoleForAmazonGuardDutyMalwareProtection 的服务相关角色（SLR）。此 SLR 允许恶意软件防护执行无代理扫描，以检测您帐户中的恶意软件。 GuardDuty 它 GuardDuty 允许在您的账户中创建 EBS 卷快照，并与 GuardDuty 服务账户共享该快照。 GuardDuty 评估快照后，它会在恶意软件防护结果中包含检索到的 EC2 实例和容器工作负载元数据。AWSServiceRoleForAmazonGuardDutyMalwareProtection 服务相关角色信任 malware-protection.guardduty.amazonaws.com 服务来代入角色。
此角色的权限策略可帮助恶意软件防护执行以下任务：
-
使用亚马逊弹性计算云 (Amazon EC2) 操作来检索有关您的亚马逊 EC2 实例、卷和快照的信息。恶意软件防护还提供了访问 Amazon EKS 和 Amazon ECS 集群元数据的权限。
-
为
GuardDutyExcluded标签未设置为true的 EBS 卷创建快照。默认情况下，创建的快照带有GuardDutyScanId标签。请勿删除此标签，否则恶意软件防护将无法访问快照。重要
将设置为时
true，该 GuardDuty服务将来将无法访问这些快照。GuardDutyExcluded这是因为此服务相关角色中的其他语句会 GuardDuty 阻止对GuardDutyExcluded设置为的快照执行任何操作。true -
仅当
GuardDutyScanId标签存在且GuardDutyExcluded标签未设置为true时，才允许共享和删除快照。注意
不允许恶意软件防护公开快照。
-
访问客户托管的密钥（
GuardDutyExcluded标签设置为的密钥除外）true，CreateGrant以便通过与 GuardDuty 服务账户共享的加密快照创建和访问加密的 EBS 卷。有关每个地区的 GuardDuty 服务帐号列表，请参阅GuardDuty 服务账号由 Amazon Web Services 区域。 -
访问客户的 CloudWatch 日志以创建恶意软件防护日志组，并将恶意软件扫描事件日志放在
/aws/guardduty/malware-scan-events日志组下。 -
由客户决定是否要在其账户中保留检测到的恶意软件快照。如果扫描检测到恶意软件，则服务相关角色允许 GuardDuty 向快照添加两个标签-
GuardDutyFindingDetected和GuardDutyExcluded。注意
GuardDutyFindingDetected标签指定快照包含恶意软件。 -
确定卷是否使用 EBS 托管密钥加密。 GuardDuty 执行
DescribeKey操作以确定您账户中key Id由 EBS 管理的密钥。 -
从您的中获取使用加密的 EBS 卷的快照 Amazon 托管式密钥， Amazon Web Services 账户 然后将其复制到。GuardDuty 服务账号为此，我们使用权限
GetSnapshotBlock和ListSnapshotBlocks。 GuardDuty 然后将扫描服务帐户中的快照。目前， Amazon 托管式密钥 可能并非所有人都支持扫描使用加密的 EBS 卷。 Amazon Web Services 区域有关更多信息，请参阅 特定于区域的功能可用性。 -
允许 Amazon EC2 代表恶意软件保护进行呼叫 Amazon KMS ，对客户托管的密钥执行多项加密操作。共享使用客户管理密钥加密的快照，需要执行
kms:ReEncryptTo和kms:ReEncryptFrom等操作。只有那些GuardDutyExcluded标签未设置为true的密钥才可访问。
该角色使用以下 Amazon 托管策略（名为 AmazonGuardDutyMalwareProtectionServiceRolePolicy）配置。
{ "Version": "2012-10-17", "Statement": [{ "Sid": "DescribeAndListPermissions", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeVolumes", "ec2:DescribeSnapshots", "ecs:ListClusters", "ecs:ListContainerInstances", "ecs:ListTasks", "ecs:DescribeTasks", "eks:DescribeCluster" ], "Resource": "*" }, { "Sid": "CreateSnapshotVolumeConditionalStatement", "Effect": "Allow", "Action": "ec2:CreateSnapshot", "Resource": "arn:aws:ec2:*:*:volume/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } }, { "Sid": "CreateSnapshotConditionalStatement", "Effect": "Allow", "Action": "ec2:CreateSnapshot", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyScanId" } } }, { "Sid": "CreateTagsPermission", "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:*/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateSnapshot" } } }, { "Sid": "AddTagsToSnapshotPermission", "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:ResourceTag/GuardDutyScanId": "*" }, "ForAllValues:StringEquals": { "aws:TagKeys": [ "GuardDutyExcluded", "GuardDutyFindingDetected" ] } } }, { "Sid": "DeleteAndShareSnapshotPermission", "Effect": "Allow", "Action": [ "ec2:DeleteSnapshot", "ec2:ModifySnapshotAttribute" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:ResourceTag/GuardDutyScanId": "*" }, "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } }, { "Sid": "PreventPublicAccessToSnapshotPermission", "Effect": "Deny", "Action": [ "ec2:ModifySnapshotAttribute" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringEquals": { "ec2:Add/group": "all" } } }, { "Sid": "CreateGrantPermission", "Effect": "Allow", "Action": "kms:CreateGrant", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" }, "StringLike": { "kms:EncryptionContext:aws:ebs:id": "snap-*" }, "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "CreateGrant", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "RetireGrant", "DescribeKey" ] }, "Bool": { "kms:GrantIsForAWSResource": "true" } } }, { "Sid": "ShareSnapshotKMSPermission", "Effect": "Allow", "Action": [ "kms:ReEncryptTo", "kms:ReEncryptFrom" ], "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com" }, "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } }, { "Sid": "DescribeKeyPermission", "Effect": "Allow", "Action": "kms:DescribeKey", "Resource": "arn:aws:kms:*:*:key/*" }, { "Sid": "GuardDutyLogGroupPermission", "Effect": "Allow", "Action": [ "logs:DescribeLogGroups", "logs:CreateLogGroup", "logs:PutRetentionPolicy" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/guardduty/*" }, { "Sid": "GuardDutyLogStreamPermission", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/guardduty/*:log-stream:*" } ] }
以下信任策略附加到 AWSServiceRoleForAmazonGuardDutyMalwareProtection 服务相关角色：
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "malware-protection.guardduty.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
创建恶意软件防护的服务相关角色
当您首次启用恶意软件防护，或在之前未启用恶意软件防护的受支持区域中启用恶意软件防护时，会自动创建 AWSServiceRoleForAmazonGuardDutyMalwareProtection 服务相关角色。您还可以使用 IAM 控制台、IAM API 或 IAM API 创建 AWSServiceRoleForAmazonGuardDutyMalwareProtection 服务相关角色。
注意
默认情况下，如果您是 Amazon 的新用户 GuardDuty，则会自动启用恶意软件防护。
重要
为委派 GuardDuty 管理员账户创建的服务相关角色不适用于成员 GuardDuty 账户。
您必须配置权限，允许 IAM 主体（如用户、组或角色）创建、编辑或删除服务相关角色。要成功创建AWSServiceRoleForAmazonGuardDutyMalwareProtection服务相关角色，您与之配合使用的 IAM 身份必须 GuardDuty 具有所需的权限。要授予所需的权限，请将以下策略附加到此 用户、组或角色：
{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": "guardduty:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": [ "malware-protection.guardduty.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": [ "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:GetRole", "Resource": "arn:aws:iam::*:role/*AWSServiceRoleForAmazonGuardDutyMalwareProtection" } ] }
有关手动创建角色的更多信息，请参阅《IAM 用户指南》中的创建服务相关角色。
编辑恶意软件防护的服务相关角色
恶意软件防护不允许编辑 AWSServiceRoleForAmazonGuardDutyMalwareProtection 服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅《IAM 用户指南》中的编辑服务相关角色。
删除恶意软件防护的服务相关角色
如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。
重要
要删除 AWSServiceRoleForAmazonGuardDutyMalwareProtection，您必须先在启用恶意软件防护的所有区域进行禁用。
如果在尝试删除服务相关角色时未禁用恶意软件防护，删除将失败。有关更多信息，请参阅 启用或禁用 GuardDuty启动的恶意软件扫描。
当您选择禁用来停止恶意软件防护服务时，不会自动删除 AWSServiceRoleForAmazonGuardDutyMalwareProtection。如果您随后选择 “启用” 再次启动恶意软件防护服务，则 GuardDuty 将开始使用现有的AWSServiceRoleForAmazonGuardDutyMalwareProtection。
使用 IAM 手动删除服务相关角色
使用 IAM 控制台、 Amazon CLI 或 IAM API 删除AWSServiceRoleForAmazonGuardDutyMalwareProtection服务相关角色。有关更多信息，请参阅《IAM 用户指南》中的删除服务相关角色。
支持 Amazon Web Services 区域
Amazon GuardDuty 支持在所有提供恶意软件防护 Amazon Web Services 区域 的地方使用AWSServiceRoleForAmazonGuardDutyMalwareProtection服务相关角色。
有关当前可用区域的列表，请参阅中的 Amazon GuardDuty 终端节点和配额Amazon Web Services 一般参考。 GuardDuty
注意
恶意软件防护目前在 Amazon GovCloud （美国东部）和 Amazon GovCloud （美国西部）不可用。