Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Contoh kebijakan berbasis identitas Detektif Amazon

Secara default, IAM pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya Detektif. Mereka juga tidak dapat melakukan tugas menggunakan AWS Management Console, AWS CLI, atau AWS API.

IAMAdministrator harus membuat IAM kebijakan yang memberikan izin kepada pengguna dan peran untuk melakukan API operasi tertentu pada sumber daya tertentu yang mereka butuhkan. Administrator kemudian melampirkan kebijakan tersebut ke IAM pengguna atau grup yang memerlukan izin tersebut.

Untuk mempelajari cara membuat kebijakan IAM berbasis identitas menggunakan contoh dokumen kebijakan ini, lihat Membuat JSON Kebijakan di JSON Tab di Panduan Pengguna. IAM

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya Detektif di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik diIAM, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Menggunakan konsol Detective

Untuk menggunakan konsol Detektif Amazon, pengguna atau peran harus memiliki akses ke tindakan yang relevan, yang cocok dengan tindakan terkait di. API

Untuk mengaktifkan Detektif dan menjadi akun administrator untuk grafik perilaku, pengguna atau peran harus diberikan izin untuk tindakan tersebutCreateGraph.

Untuk menggunakan konsol Detektif untuk melakukan tindakan akun administrator, pengguna atau peran harus diberikan izin untuk tindakan tersebutListGraphs. Ini memberikan izin untuk mengambil grafik perilaku akun mereka sebagai akun administrator. Mereka juga harus diberikan izin untuk melakukan tindakan akun administrator tertentu.

Tindakan akun administrator yang paling dasar adalah melihat daftar akun anggota dalam grafik perilaku, dan menggunakan grafik perilaku untuk penyelidikan.

Untuk menggunakan konsol Detektif untuk melakukan tindakan akun anggota, pengguna atau peran harus diberikan izin untuk tindakan tersebutListInvitations. Ini memberikan izin untuk melihat undangan grafik perilaku. Mereka kemudian dapat diberikan izin untuk tindakan akun anggota tertentu.

Memungkinkan pengguna untuk melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Akun administrator: Mengelola akun anggota dalam grafik perilaku

Kebijakan contoh ini ditujukan untuk pengguna akun administrator yang hanya bertanggung jawab untuk mengelola akun anggota yang digunakan dalam grafik perilaku. Kebijakan ini juga memungkinkan pengguna untuk melihat informasi penggunaan dan menonaktifkan Detektif. Kebijakan tidak memberikan izin untuk menggunakan grafik perilaku untuk penyelidikan.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:ListMembers","detective:CreateMembers","detective:DeleteMembers","detective:DeleteGraph","detective:Get*","detective:StartMonitoringMember"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
  },
  {
    "Effect":"Allow",
    "Action":["detective:CreateGraph","detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Akun administrator: Menggunakan grafik perilaku untuk penyelidikan

Kebijakan contoh ini ditujukan untuk pengguna akun administrator yang menggunakan grafik perilaku hanya untuk penyelidikan. Mereka tidak dapat melihat atau mengedit daftar akun anggota dalam grafik perilaku.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:SearchGraph"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
   },
   {
    "Effect":"Allow",
    "Action":["detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Akun anggota: Mengelola undangan grafik perilaku dan keanggotaan

Kebijakan contoh ini ditujukan untuk pengguna yang termasuk dalam akun anggota. Dalam contoh, akun anggota termasuk dalam dua grafik perilaku. Kebijakan memberikan izin untuk menanggapi undangan dan menghapus akun anggota dari grafik perilaku.

{"Version":"2012-10-17",
  "Statement":[
   {
    "Effect":"Allow",
   "Action":["detective:AcceptInvitation","detective:RejectInvitation","detective:DisassociateMembership"],
   "Resource":[
       "arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899",
       "arn:aws:detective:us-east-1:444455556666:graph:056d2a9521xi2bbluw1d164680eby416"
    ]
  },
  {
    "Effect":"Allow",
    "Action":["detective:ListInvitations"],
    "Resource":"*"
  }
 ]
}

Akun administrator: Membatasi akses berdasarkan nilai tag

Kebijakan berikut memungkinkan pengguna menggunakan grafik perilaku untuk penyelidikan jika SecurityDomain tag grafik perilaku cocok dengan SecurityDomain tag pengguna.

{
    "Version":"2012-10-17",
    "Statement":[ {
        "Effect":"Allow",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals"{
                "aws:ResourceTag/SecurityDomain": "aws:PrincipalTag/SecurityDomain"
            }
        }
    },
    {
        "Effect":"Allow",
        "Action":["detective:ListGraphs"],
        "Resource":"*"
    } ]
}

Kebijakan berikut mencegah pengguna menggunakan grafik perilaku untuk penyelidikan jika nilai SecurityDomain tag untuk grafik perilaku adalahFinance.

{
    "Version":"2012-10-17",
    "Statement":[ {
        "Effect":"Deny",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals": {"aws:ResourceTag/SecurityDomain": "Finance"}
        }
    } ]
}