本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
的服务权限的权限的权限的权限的权限 GuardDuty
GuardDuty 使用名为相关角色 (SLR) 用于 SLRAWSServiceRoleForAmazonGuardDuty。SLR GuardDuty 允许执行以下任务。它还允许 GuardDuty 将检索到的属于 EC2 实例的元数据包含在 GuardDuty 可能生成的有关潜在威胁的调查结果中。AWSServiceRoleForAmazonGuardDuty 服务相关角色信任 guardduty.amazonaws.com 服务来代入角色。
使用此权限策略， GuardDuty 可以执行以下任务：
-
使用 Amazon EC2 操作管理和检索有关您的 EC2 实例、映像和网络组件（例如 VPC、子网、传输网关和安全组）的信息。
-
使用Amazon Organizations操作描述关联账户。
-
使用 Amazon S3 操作检索有关 S3 存储桶和对象的信息。
-
使用Amazon Lambda操作检索有关您的 Lambda 函数和标签的信息。
-
使用 Amazon EKS 操作管理和检索有关 EKS 集群的信息，并管理 EK S 集群上的 Amazon EKS 插件。EKS 操作还会检索与关联的标签的相关信息 GuardDuty。
-
启用恶意软件保护 GuardDuty 恶意软件保护的服务权限，用于防护后，使用 IAM 创建。
该角色使用以下名为的Amazon托管策略进行配置AmazonGuardDutyServiceRolePolicy。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeImages", "ec2:DescribeVpcEndpoints", "ec2:DescribeSubnets", "ec2:DescribeVpcPeeringConnections", "ec2:DescribeTransitGatewayAttachments", "organizations:ListAccounts", "organizations:DescribeAccount", "s3:GetBucketPublicAccessBlock", "s3:GetEncryptionConfiguration", "s3:GetBucketTagging", "s3:GetAccountPublicAccessBlock", "s3:ListAllMyBuckets", "s3:GetBucketAcl", "s3:GetBucketPolicy", "s3:GetBucketPolicyStatus", "lambda:GetFunctionConfiguration", "lambda:ListTags", "eks:ListClusters", "eks:DescribeCluster", "ec2:DescribeVpcEndpointServices", "ec2:DescribeSecurityGroups" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringEquals": { "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com" } } }, { "Effect": "Allow", "Action": "ec2:CreateVpcEndpoint", "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" }, "StringLike": { "ec2:VpceServiceName": [ "com.amazonaws.*.guardduty-data", "com.amazonaws.*.guardduty-data-fips" ] } } }, { "Effect": "Allow", "Action": [ "ec2:ModifyVpcEndpoint", "ec2:DeleteVpcEndpoints" ], "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyManaged": false } } }, { "Effect": "Allow", "Action": [ "ec2:CreateVpcEndpoint", "ec2:ModifyVpcEndpoint" ], "Resource": [ "arn:aws:ec2:*:*:vpc/*", "arn:aws:ec2:*:*:security-group/*", "arn:aws:ec2:*:*:subnet/*" ] }, { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateVpcEndpoint" }, "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } }, { "Effect": "Allow", "Action": [ "ec2:AuthorizeSecurityGroupIngress", "ec2:AuthorizeSecurityGroupEgress", "ec2:RevokeSecurityGroupIngress", "ec2:RevokeSecurityGroupEgress", "ec2:DeleteSecurityGroup" ], "Resource": "arn:aws:ec2:*:*:security-group/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyManaged": false } } }, { "Effect": "Allow", "Action": "ec2:CreateSecurityGroup", "Resource": "arn:aws:ec2:*:*:security-group/*", "Condition": { "StringLike": { "aws:RequestTag/GuardDutyManaged": "*" } } }, { "Effect": "Allow", "Action": "ec2:CreateSecurityGroup", "Resource": "arn:aws:ec2:*:*:vpc/*" }, { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:security-group/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateSecurityGroup" }, "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } }, { "Effect": "Allow", "Action": "eks:CreateAddon", "Resource": "arn:aws:eks:*:*:cluster/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } }, { "Effect": "Allow", "Action": [ "eks:DeleteAddon", "eks:UpdateAddon", "eks:DescribeAddon" ], "Resource": "arn:aws:eks:*:*:addon/*/aws-guardduty-agent/*" }, { "Effect": "Allow", "Action": "eks:TagResource", "Resource": "arn:aws:eks:*:*:cluster/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } } ] }
下面是附加到 AWSServiceRoleForAmazonGuardDuty 服务相关角色的信任策略：
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "guardduty.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
为相关角色 GuardDuty
AWSServiceRoleForAmazonGuardDuty服务关联角色是在您首次启用时自动创建 GuardDuty 的，或者 GuardDuty 在之前未启用该角色的受支持区域启用该角色时。您还可以使用 IAM 控制台、或 IAM API 手动创建服务相关角色，使用 IAM 控制台Amazon CLI、或 IAM API。
为 GuardDuty 委托管理员账户创建的服务关联角色不适用于成员 GuardDuty 账户。
您必须配置权限，允许 IAM 委托人（如用户、组或角色）创建、编辑或删除服务相关角色。要成功创建AWSServiceRoleForAmazonGuardDuty服务相关角色，您使用的 IAM 委托人必须 GuardDuty 具有所需的权限。要授予所需的权限，请将以下策略附加到此 用户、组或角色：
将以下示例中的示例账户 ID 替换为您的实际Amazon账户 ID。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "guardduty:*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty", "Condition": { "StringLike": { "iam:AWSServiceName": "guardduty.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "iam:PutRolePolicy", "iam:DeleteRolePolicy" ], "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty" } ] }
有关手动创建角色的更多信息，请参阅 IAM 用户指南中的创建服务相关角色。
为相关角色 GuardDuty
GuardDuty 不允许您为AWSServiceRoleForAmazonGuardDuty服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅 IAM 用户指南中的编辑服务相关角色。
为相关角色 GuardDuty
如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。
如果您启用了恶意软件防护，则删除AWSServiceRoleForAmazonGuardDuty不会自动删除AWSServiceRoleForAmazonGuardDutyMalwareProtection。如果要删除AWSServiceRoleForAmazonGuardDutyMalwareProtection，请参阅删除 GuardDuty 恶意软件防护的服务关联角色。
您必须先 GuardDuty 在所有启用该功能的区域中禁用，才能删除AWSServiceRoleForAmazonGuardDuty。如果您在尝试删除 GuardDuty 服务相关角色时未禁用该服务，删除将失败。有关更多信息，请参阅暂停或禁用 GuardDuty：
禁用时 GuardDuty，AWSServiceRoleForAmazonGuardDuty不会自动删除。如果你 GuardDuty 再次启用，它将开始使用现有的AWSServiceRoleForAmazonGuardDuty。
使用 IAM 手动删除服务相关角色
使用 IAM 控制台、Amazon CLI 或 IAM API 删除 AWSServiceRoleForAmazonGuardDuty 服务相关角色。有关更多信息，请参阅 IAM 用户指南中的删除服务相关角色。
支持 Amazon Web Services 区域
亚马逊 GuardDuty 支持在所有可用Amazon Web Services 区域的地 GuardDuty 方使用AWSServiceRoleForAmazonGuardDuty服务相关角色。有关当前可用区域的列表， GuardDuty 请参阅《Amazon Web Services 一般参考》中的 Amazon GuardDuty 端点和配额。