Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS politiques gérées pour Amazon Detective

Une politique AWS gérée est une politique autonome créée et administrée par AWS. AWS les politiques gérées sont conçues pour fournir des autorisations pour de nombreux cas d'utilisation courants afin que vous puissiez commencer à attribuer des autorisations aux utilisateurs, aux groupes et aux rôles.

N'oubliez pas que les politiques AWS gérées peuvent ne pas accorder d'autorisations de moindre privilège pour vos cas d'utilisation spécifiques, car elles sont accessibles à tous les AWS clients. Nous vous recommandons de réduire encore les autorisations en définissant des politiques gérées par le client qui sont propres à vos cas d’utilisation.

Vous ne pouvez pas modifier les autorisations définies dans les politiques AWS gérées. Si les autorisations définies dans une politique AWS gérée sont AWS mises à jour, la mise à jour affecte toutes les identités principales (utilisateurs, groupes et rôles) auxquelles la politique est attachée. AWS est le plus susceptible de mettre à jour une politique AWS gérée lorsqu'une nouvelle politique Service AWS est lancée ou lorsque de nouvelles opérations d'API sont disponibles pour les services existants.

Pour plus d’informations, consultez la section Politiques gérées par AWS dans le Guide de l’utilisateur IAM.

AWS politique gérée : AmazonDetectiveFullAccess

Vous pouvez associer la politique AmazonDetectiveFullAccess à vos identités IAM.

Cette politique accorde des autorisations administratives qui permettent à un principal d’accéder pleinement à toutes les actions Amazon Detective. Vous pouvez attacher cette politique à un principal avant qu’il n’active Detective pour son compte. Il doit également être associé au rôle utilisé pour exécuter les scripts Python Detective afin de créer et de gérer un graphe de comportement.

Les principaux disposant de ces autorisations peuvent gérer les comptes des membres, ajouter des balises à leur graphe de comportement et utiliser Detective pour leurs enquêtes. Ils peuvent également archiver GuardDuty les résultats. La politique fournit les autorisations dont la console Detective a besoin pour afficher les noms des comptes enregistrés AWS Organizations.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "detective:*",
                "organizations:DescribeOrganization",
                "organizations:ListAccounts"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "guardduty:ArchiveFindings"
            ],
            "Resource": "arn:aws:guardduty:*:*:detector/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "guardduty:GetFindings",
                "guardduty:ListDetectors"
                
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                 "securityHub:GetFindings"
            ],
            "Resource": "*"
         } 
    ]
}

AWS politique gérée : AmazonDetectiveMemberAccess

Vous pouvez également associer la politique AmazonDetectiveMemberAccess à vos entités IAM.

Cette politique fournit aux membres un accès à Amazon Detective et un accès limité à la console.

Grâce à cette politique, vous pouvez :

Cette politique accorde des autorisations qui permettent d’accéder en lecture seule à la console Detective.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "detective:AcceptInvitation",
        "detective:BatchGetMembershipDatasources",
        "detective:DisassociateMembership",
        "detective:GetFreeTrialEligibility",
        "detective:GetPricingInformation",
        "detective:GetUsageInformation",
        "detective:ListInvitations",
        "detective:RejectInvitation"
      ],
      "Resource": "*"
    }
  ]
}
      

Politique gérée par AWS  : AmazonDetectiveInvestigatorAccess

Vous pouvez associer la politique AmazonDetectiveInvestigatorAccess à vos entités IAM.

Cette politique fournit aux enquêteurs un accès au service Detective et un accès limité aux dépendances de l’interface utilisateur de la console Detective. Cette politique accorde des autorisations permettant d’activer les enquêtes Detective dans Detective pour les rôles et utilisateurs IAM. Vous pouvez mener une enquête pour identifier les indicateurs de compromission, tels que les résultats, à l’aide d’un rapport d’enquête, qui fournit des analyses et des informations sur les indicateurs de sécurité. Le rapport est classé par gravité, qui est déterminée à l’aide de l’analyse comportementale et du machine learning de Detective. Vous pouvez utiliser le rapport pour prioriser la correction des ressources.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DetectivePermissions",
      "Effect": "Allow",
      "Action": [ 
        "detective:BatchGetGraphMemberDatasources",
        "detective:BatchGetMembershipDatasources",
        "detective:DescribeOrganizationConfiguration",
        "detective:GetFreeTrialEligibility",
        "detective:GetGraphIngestState",
        "detective:GetMembers",
        "detective:GetPricingInformation",
        "detective:GetUsageInformation",
        "detective:ListDatasourcePackages",
        "detective:ListGraphs",
        "detective:ListHighDegreeEntities",
        "detective:ListInvitations",
        "detective:ListMembers",
        "detective:ListOrganizationAdminAccount",
        "detective:ListTagsForResource",
        "detective:SearchGraph",
        "detective:StartInvestigation",
        "detective:GetInvestigation",
        "detective:ListInvestigations",
        "detective:UpdateInvestigationState",
        "detective:ListIndicators",
        "detective:InvokeAssistant"
      ],
      "Resource": "*"
    },
    {
      "Sid": "OrganizationsPermissions",
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeOrganization",
        "organizations:ListAccounts"
      ],
      "Resource": "*"
    },
    {
      "Sid": "GuardDutyPermissions",
      "Effect": "Allow",
      "Action": [
        "guardduty:ArchiveFindings",
        "guardduty:GetFindings",
        "guardduty:ListDetectors"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecurityHubPermissions",
      "Effect": "Allow",
      "Action": [
        "securityHub:GetFindings"
      ],
      "Resource": "*"
    }
  ]
}
      

AWS politique gérée : AmazonDetectiveOrganizationsAccess

Vous pouvez associer la politique AmazonDetectiveOrganizationsAccess à vos entités IAM.

Cette politique autorise l’activation et la gestion d’Amazon Detective au sein d’une organisation. Vous pouvez activer Detective dans l’ensemble de l’organisation et déterminer le compte administrateur délégué pour Detective.

Détails des autorisations

Cette politique inclut les autorisations suivantes :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "detective:DisableOrganizationAdminAccount",
        "detective:EnableOrganizationAdminAccount",
        "detective:ListOrganizationAdminAccount"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "detective.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:DeregisterDelegatedAdministrator"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "organizations:ServicePrincipal": [
            "detective.amazonaws.com"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:ListAccounts"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:ListDelegatedAdministrators"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "organizations:ServicePrincipal": [
            "detective.amazonaws.com",
            "guardduty.amazonaws.com",
            "macie.amazonaws.com",
            "securityhub.amazonaws.com"
          ]
        }
      }
    }
  ]
}

Politique gérée par AWS  : AmazonDetectiveServiceLinkedRole

Vous ne pouvez pas associer AmazonDetectiveServiceLinkedRole à vos entités IAM. Cette politique est associée à un rôle lié au service qui permet à Detective d’effectuer des actions en votre nom. Pour plus d’informations, consultez Utilisation des rôles liés aux services pour Detective.

Cette politique accorde des autorisations administratives qui permettent au rôle lié au service de récupérer des informations de compte pour une organisation.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes :

{
  "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
              "organizations:DescribeAccount",
              "organizations:ListAccounts"
            ],
            "Resource": "*"
        }
    ]
}

Mises à jour détectives des politiques AWS gérées

Consultez les détails des mises à jour apportées aux politiques AWS gérées pour Detective depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS sur la Page historique du document .