本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
的服务权限的权限的权限的权限的权限 GuardDuty
GuardDuty 使用名为相关角色 (SLR) 用于 SLRAWSServiceRoleForAmazonGuardDuty
。SLR GuardDuty 允许执行以下任务。它还允许 GuardDuty 将检索到的属于 EC2 实例的元数据包含在 GuardDuty 可能生成的有关潜在威胁的调查结果中。AWSServiceRoleForAmazonGuardDuty
服务相关角色信任 guardduty.amazonaws.com
服务来代入角色。
使用此权限策略, GuardDuty 可以执行以下任务:
-
使用 Amazon EC2 操作管理和检索有关您的 EC2 实例、映像和网络组件(例如 VPC、子网、传输网关和安全组)的信息。
-
使用Amazon Organizations操作描述关联账户。
-
使用 Amazon S3 操作检索有关 S3 存储桶和对象的信息。
-
使用Amazon Lambda操作检索有关您的 Lambda 函数和标签的信息。
-
使用 Amazon EKS 操作管理和检索有关 EKS 集群的信息,并管理 EK S 集群上的 Amazon EKS 插件。EKS 操作还会检索与关联的标签的相关信息 GuardDuty。
-
启用恶意软件保护 GuardDuty 恶意软件保护的服务权限,用于防护后,使用 IAM 创建。
该角色使用以下名为的Amazon托管策略进行配置AmazonGuardDutyServiceRolePolicy
。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeImages", "ec2:DescribeVpcEndpoints", "ec2:DescribeSubnets", "ec2:DescribeVpcPeeringConnections", "ec2:DescribeTransitGatewayAttachments", "organizations:ListAccounts", "organizations:DescribeAccount", "s3:GetBucketPublicAccessBlock", "s3:GetEncryptionConfiguration", "s3:GetBucketTagging", "s3:GetAccountPublicAccessBlock", "s3:ListAllMyBuckets", "s3:GetBucketAcl", "s3:GetBucketPolicy", "s3:GetBucketPolicyStatus", "lambda:GetFunctionConfiguration", "lambda:ListTags", "eks:ListClusters", "eks:DescribeCluster", "ec2:DescribeVpcEndpointServices", "ec2:DescribeSecurityGroups" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringEquals": { "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com" } } }, { "Effect": "Allow", "Action": "ec2:CreateVpcEndpoint", "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" }, "StringLike": { "ec2:VpceServiceName": [ "com.amazonaws.*.guardduty-data", "com.amazonaws.*.guardduty-data-fips" ] } } }, { "Effect": "Allow", "Action": [ "ec2:ModifyVpcEndpoint", "ec2:DeleteVpcEndpoints" ], "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyManaged": false } } }, { "Effect": "Allow", "Action": [ "ec2:CreateVpcEndpoint", "ec2:ModifyVpcEndpoint" ], "Resource": [ "arn:aws:ec2:*:*:vpc/*", "arn:aws:ec2:*:*:security-group/*", "arn:aws:ec2:*:*:subnet/*" ] }, { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateVpcEndpoint" }, "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } }, { "Effect": "Allow", "Action": [ "ec2:AuthorizeSecurityGroupIngress", "ec2:AuthorizeSecurityGroupEgress", "ec2:RevokeSecurityGroupIngress", "ec2:RevokeSecurityGroupEgress", "ec2:DeleteSecurityGroup" ], "Resource": "arn:aws:ec2:*:*:security-group/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyManaged": false } } }, { "Effect": "Allow", "Action": "ec2:CreateSecurityGroup", "Resource": "arn:aws:ec2:*:*:security-group/*", "Condition": { "StringLike": { "aws:RequestTag/GuardDutyManaged": "*" } } }, { "Effect": "Allow", "Action": "ec2:CreateSecurityGroup", "Resource": "arn:aws:ec2:*:*:vpc/*" }, { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:security-group/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateSecurityGroup" }, "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } }, { "Effect": "Allow", "Action": "eks:CreateAddon", "Resource": "arn:aws:eks:*:*:cluster/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } }, { "Effect": "Allow", "Action": [ "eks:DeleteAddon", "eks:UpdateAddon", "eks:DescribeAddon" ], "Resource": "arn:aws:eks:*:*:addon/*/aws-guardduty-agent/*" }, { "Effect": "Allow", "Action": "eks:TagResource", "Resource": "arn:aws:eks:*:*:cluster/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyManaged" } } } ] }
下面是附加到 AWSServiceRoleForAmazonGuardDuty
服务相关角色的信任策略:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "guardduty.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
为相关角色 GuardDuty
AWSServiceRoleForAmazonGuardDuty
服务关联角色是在您首次启用时自动创建 GuardDuty 的,或者 GuardDuty 在之前未启用该角色的受支持区域启用该角色时。您还可以使用 IAM 控制台、或 IAM API 手动创建服务相关角色,使用 IAM 控制台Amazon CLI、或 IAM API。
为 GuardDuty 委托管理员账户创建的服务关联角色不适用于成员 GuardDuty 账户。
您必须配置权限,允许 IAM 委托人(如用户、组或角色)创建、编辑或删除服务相关角色。要成功创建AWSServiceRoleForAmazonGuardDuty
服务相关角色,您使用的 IAM 委托人必须 GuardDuty 具有所需的权限。要授予所需的权限,请将以下策略附加到此 用户、组或角色:
将以下示例中的示例账户 ID
替换为您的实际Amazon账户 ID。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "guardduty:*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::
123456789012
:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty", "Condition": { "StringLike": { "iam:AWSServiceName": "guardduty.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "iam:PutRolePolicy", "iam:DeleteRolePolicy" ], "Resource": "arn:aws:iam::123456789012
:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty" } ] }
有关手动创建角色的更多信息,请参阅 IAM 用户指南中的创建服务相关角色。
为相关角色 GuardDuty
GuardDuty 不允许您为AWSServiceRoleForAmazonGuardDuty
服务相关角色。在创建服务相关角色后,您将无法更改角色的名称,因为可能有多种实体引用该角色。不过,您可以使用 IAM 编辑角色的说明。有关更多信息,请参阅 IAM 用户指南中的编辑服务相关角色。
为相关角色 GuardDuty
如果您不再需要使用某个需要服务相关角色的功能或服务,我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。
如果您启用了恶意软件防护,则删除AWSServiceRoleForAmazonGuardDuty
不会自动删除AWSServiceRoleForAmazonGuardDutyMalwareProtection
。如果要删除AWSServiceRoleForAmazonGuardDutyMalwareProtection
,请参阅删除 GuardDuty 恶意软件防护的服务关联角色。
您必须先 GuardDuty 在所有启用该功能的区域中禁用,才能删除AWSServiceRoleForAmazonGuardDuty
。如果您在尝试删除 GuardDuty 服务相关角色时未禁用该服务,删除将失败。有关更多信息,请参阅暂停或禁用 GuardDuty:
禁用时 GuardDuty,AWSServiceRoleForAmazonGuardDuty
不会自动删除。如果你 GuardDuty 再次启用,它将开始使用现有的AWSServiceRoleForAmazonGuardDuty
。
使用 IAM 手动删除服务相关角色
使用 IAM 控制台、Amazon CLI 或 IAM API 删除 AWSServiceRoleForAmazonGuardDuty
服务相关角色。有关更多信息,请参阅 IAM 用户指南中的删除服务相关角色。
支持 Amazon Web Services 区域
亚马逊 GuardDuty 支持在所有可用Amazon Web Services 区域的地 GuardDuty 方使用AWSServiceRoleForAmazonGuardDuty
服务相关角色。有关当前可用区域的列表, GuardDuty 请参阅《Amazon Web Services 一般参考》中的 Amazon GuardDuty 端点和配额。