Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Beispiele für identitätsbasierte Amazon-Detective-Richtlinien

Standardmäßig sind IAM Benutzer und Rollen nicht berechtigt, Detective-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mit dem AWS Management Console AWS CLI, oder ausführen AWS API.

Ein IAM Administrator muss IAM Richtlinien erstellen, die Benutzern und Rollen die Berechtigung gewähren, bestimmte API Operationen mit den angegebenen Ressourcen auszuführen, die sie benötigen. Der Administrator fügt diese Richtlinien dann den IAM Benutzern oder Gruppen zu, für die diese Berechtigungen erforderlich sind.

Informationen zum Erstellen einer IAM identitätsbasierten Richtlinie anhand dieser JSON Beispieldokumente finden Sie unter Richtlinien auf der JSON Registerkarte erstellen im IAM Benutzerhandbuch.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Detective-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

Weitere Informationen zu bewährten Methoden finden Sie unter Bewährte Sicherheitsmethoden IAM im IAM Benutzerhandbuch. IAM

Verwenden der Detective-Konsole

Um die Amazon Detective-Konsole verwenden zu können, muss der Benutzer oder die Rolle Zugriff auf die entsprechenden Aktionen haben, die den entsprechenden Aktionen in der entsprechenAPI.

Um Detective zu aktivieren und Administratorkonto für ein Verhaltensdiagramm zu werden, muss dem Benutzer oder der Rolle die Berechtigung für die Aktion CreateGraph erteilt werden.

Um mit der Detective-Konsole Aktionen eines Administratorkontos ausführen zu können, muss dem Benutzer oder der Rolle die Berechtigung für die Aktion ListGraphs erteilt werden. Dadurch wird die Berechtigung zum Abrufen der Verhaltensdiagramme erteilt, für die ihr Konto ein Administratorkonto ist. Außerdem muss ihnen die Berechtigung erteilt werden, bestimmte Administratorkonto-Aktionen durchzuführen.

Die grundlegendsten Aktionen für Administratorkonten bestehen darin, eine Liste der Mitgliedskonten in einem Verhaltensdiagramm anzuzeigen und das Verhaltensdiagramm zur Untersuchung zu verwenden.

Um mit der Detective-Konsole Aktionen eines Mitgliedskontos ausführen zu können, muss dem Benutzer oder der Rolle die entsprechende Berechtigung für die Aktion ListInvitations erteilt werden. Dadurch wird die Berechtigung zum Anzeigen von Einladungen in Verhaltensdiagrammen erteilt. Anschließend kann ihnen die Erlaubnis für bestimmte Aktionen im Mitgliedskonto erteilt werden.

Benutzern die Berechtigung zur Anzeige eigener Berechtigungen erteilen

Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen könnten, die es IAM Benutzern ermöglicht, die internen und verwalteten Richtlinien einzusehen, die mit ihrer Benutzeridentität verknüpft sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe von oder. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Administratorkonto: Verwaltung der Mitgliedskonten in einem Verhaltensdiagramm

Diese Beispielrichtlinie richtet sich an Benutzer von Administratorkonten, die nur für die Verwaltung der im Verhaltensdiagramm verwendeten Mitgliedskonten verantwortlich sind. Die Richtlinie ermöglicht dem Benutzer auch das Anzeigen der Nutzungsinformationen und das Deaktivieren von Detective. Die Richtlinie gewährt nicht die Erlaubnis, das Verhaltensdiagramm für Untersuchungen zu verwenden.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:ListMembers","detective:CreateMembers","detective:DeleteMembers","detective:DeleteGraph","detective:Get*","detective:StartMonitoringMember"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
  },
  {
    "Effect":"Allow",
    "Action":["detective:CreateGraph","detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Administratorkonto: Verwendung eines Verhaltensdiagramms zur Untersuchung

Diese Beispielrichtlinie ist für Benutzer von Administratorkonten vorgesehen, die das Verhaltensdiagramm nur zur Untersuchung verwenden. Sie können die Liste der Mitgliedskonten im Verhaltensdiagramm nicht anzeigen oder bearbeiten.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:SearchGraph"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
   },
   {
    "Effect":"Allow",
    "Action":["detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Mitgliedskonto: Verwaltung von Einladungen und Mitgliedschaften im Verhaltensdiagramm

Diese Beispielrichtlinie richtet sich an Benutzer, die zu einem Mitgliedskonto gehören. Im Beispiel gehört das Mitgliedskonto zu zwei Verhaltensdiagrammen. Die Richtlinie gewährt die Erlaubnis, auf Einladungen zu antworten und das Mitgliedskonto aus dem Verhaltensdiagramm zu entfernen.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
   "Action":["detective:AcceptInvitation","detective:RejectInvitation","detective:DisassociateMembership"],
   "Resource":[
       "arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899",
       "arn:aws:detective:us-east-1:444455556666:graph:056d2a9521xi2bbluw1d164680eby416"
    ]
  },
  {
    "Effect":"Allow",
    "Action":["detective:ListInvitations"],
    "Resource":"*"
  }
 ]
}

Administratorkonto: Zugriff auf der Grundlage von Tag-Werten einschränken

Die folgende Richtlinie ermöglicht es dem Benutzer, ein Verhaltensdiagramm zur Untersuchung zu verwenden, wenn das SecurityDomain-Tag des Verhaltensdiagramms mit dem SecurityDomain-Tag des Benutzers übereinstimmt.

{
    "Version":"2012-10-17",
    "Statement":[ {
        "Effect":"Allow",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals"{
                "aws:ResourceTag/SecurityDomain": "aws:PrincipalTag/SecurityDomain"
            }
        }
    },
    {
        "Effect":"Allow",
        "Action":["detective:ListGraphs"],
        "Resource":"*"
    } ]
}

Die folgende Richtlinie verhindert, dass Benutzer ein Verhaltensdiagramm für Untersuchungen verwenden, wenn der Wert des SecurityDomain-Tags für das Verhaltensdiagramm Finance lautet.

{
    "Version":"2012-10-17",
    "Statement":[ {
        "Effect":"Deny",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals": {"aws:ResourceTag/SecurityDomain": "Finance"}
        }
    } ]
}