Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l’identité d’Amazon Detective

Par défaut, IAM les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources Detective. Ils ne peuvent pas non plus effectuer de tâches à l'aide du AWS Management Console AWS CLI, ou AWS API.

Un IAM administrateur doit créer des IAM politiques qui accordent aux utilisateurs et aux rôles l'autorisation d'effectuer des API opérations spécifiques sur les ressources spécifiques dont ils ont besoin. L'administrateur associe ensuite ces politiques aux IAM utilisateurs ou aux groupes qui ont besoin de ces autorisations.

Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, voir Création de politiques dans l'JSONonglet du guide de l'IAMutilisateur.

Bonnes pratiques en matière de politiques

Les politiques basées sur l’identité déterminent si une personne peut créer, consulter ou supprimer des ressources Detective dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

Utilisation de la console Detective

Pour utiliser la console Amazon Detective, l'utilisateur ou le rôle doit avoir accès aux actions pertinentes, qui correspondent aux actions correspondantes dans leAPI.

Pour activer Detective et devenir un compte administrateur pour un graphe de comportement, l’utilisateur ou le rôle doit être autorisé à effectuer l’action CreateGraph.

Pour utiliser la console Detective afin d’effectuer des actions sur le compte administrateur, l’utilisateur ou le rôle doit être autorisé à effectuer cette action ListGraphs. Cela donne l’autorisation de récupérer les graphes de comportement dont le compte est un compte administrateur. Ils doivent également être autorisés à effectuer des actions spécifiques sur le compte administrateur.

Les actions les plus élémentaires du compte administrateur consistent à afficher la liste des comptes membres dans un graphe de comportement, et à utiliser le graphe de comportement à des fins d’enquête.

Pour utiliser la console Detective afin d’effectuer des actions sur le compte membre, l’utilisateur ou le rôle doit être autorisé à effectuer cette action ListInvitations. Cela donne l’autorisation de consulter les invitations à des graphes de comportement. L’utilisateur ou le rôle peut ensuite être autorisé à effectuer des actions spécifiques sur le compte membre.

Autoriser des utilisateurs à afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux IAM utilisateurs de consulter les politiques intégrées et gérées associées à leur identité d'utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide du AWS CLI ou. AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Compte administrateur : gestion des comptes membres dans un graphe de comportement

Cet exemple de politique est destiné aux utilisateurs de comptes administrateurs qui sont uniquement responsables de la gestion des comptes membres utilisés dans le graphe de comportement. Cette politique permet également à l’utilisateur de consulter les informations d’utilisation et de désactiver Detective. Cette politique n’autorise pas l’utilisation du graphe de comportement à des fins d’enquête.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:ListMembers","detective:CreateMembers","detective:DeleteMembers","detective:DeleteGraph","detective:Get*","detective:StartMonitoringMember"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
  },
  {
    "Effect":"Allow",
    "Action":["detective:CreateGraph","detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Compte administrateur : utilisation d’un graphe de comportement à des fins d’enquête

Cet exemple de politique est destiné aux utilisateurs de comptes administrateurs qui utilisent le graphe de comportement uniquement à des fins d’enquête. Ils ne peuvent ni consulter ni modifier la liste des comptes membres dans le graphe de comportement.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:SearchGraph"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
   },
   {
    "Effect":"Allow",
    "Action":["detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Compte membre : gestion des invitations et des adhésions basées sur des graphes de comportement

Cet exemple de politique est destiné aux utilisateurs appartenant à un compte membre. Dans l’exemple, le compte membre appartient à deux graphes de comportement. La politique accorde l’autorisation de répondre aux invitations et de supprimer le compte membre du graphe de comportement.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
   "Action":["detective:AcceptInvitation","detective:RejectInvitation","detective:DisassociateMembership"],
   "Resource":[
       "arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899",
       "arn:aws:detective:us-east-1:444455556666:graph:056d2a9521xi2bbluw1d164680eby416"
    ]
  },
  {
    "Effect":"Allow",
    "Action":["detective:ListInvitations"],
    "Resource":"*"
  }
 ]
}

Compte administrateur : restriction de l’accès en fonction des valeurs de balise

La politique suivante permet à l’utilisateur d’utiliser un graphe de comportement pour déterminer si la balise SecurityDomain du graphe de comportement correspond à la balise SecurityDomain de l’utilisateur.

{
    "Version":"2012-10-17",
    "Statement":[ {
        "Effect":"Allow",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals"{
                "aws:ResourceTag/SecurityDomain": "aws:PrincipalTag/SecurityDomain"
            }
        }
    },
    {
        "Effect":"Allow",
        "Action":["detective:ListGraphs"],
        "Resource":"*"
    } ]
}

La politique suivante empêche les utilisateurs d’utiliser un graphe de comportement pour étudier si la valeur de la balise SecurityDomain pour le graphe de comportement est Finance.

{
    "Version":"2012-10-17",
    "Statement":[ {
        "Effect":"Deny",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals": {"aws:ResourceTag/SecurityDomain": "Finance"}
        }
    } ]
}