View a markdown version of this page

Service-linked izin peran untuk pemindaian tanpa agen Amazon Inspector - Amazon Inspector

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Service-linked izin peran untuk pemindaian tanpa agen Amazon Inspector

Pemindaian tanpa agen Amazon Inspector menggunakan nama peran terkait layanan. AWSServiceRoleForAmazonInspector2Agentless SLR ini memungkinkan Amazon Inspector membuat snapshot volume Amazon EBS di akun Anda, dan kemudian mengakses data dari snapshot tersebut. Peran terkait layanan ini mempercayai agentless.inspector2.amazonaws.com layanan untuk mengambil peran tersebut.

penting

Pernyataan dalam peran terkait layanan ini mencegah Amazon Inspector melakukan pemindaian tanpa agen pada instans EC2 apa pun yang telah Anda kecualikan dari pemindaian menggunakan tag. InspectorEc2Exclusion Selain itu, pernyataan tersebut mencegah Amazon Inspector mengakses data terenkripsi dari volume ketika kunci KMS yang digunakan untuk mengenkripsinya memiliki InspectorEc2Exclusion tag. Untuk informasi selengkapnya, lihat Mengecualikan instance dari pemindaian Amazon Inspector.

Kebijakan izin untuk peran, yang diberi namaAmazonInspector2AgentlessServiceRolePolicy, memungkinkan Amazon Inspector untuk melakukan tugas-tugas seperti:

  • Gunakan tindakan Amazon Elastic Compute Cloud (Amazon EC2) untuk mengambil informasi tentang instans, volume, dan snapshot EC2 Anda.

    • Gunakan tindakan penandaan Amazon EC2 untuk menandai snapshot untuk pemindaian dengan kunci tag. InspectorScan

    • Gunakan tindakan snapshot Amazon EC2 untuk membuat snapshot, menandainya dengan kunci InspectorScan tag, lalu hapus snapshot volume Amazon EBS yang telah ditandai dengan kunci tag. InspectorScan

  • Gunakan tindakan Amazon EBS untuk mengambil informasi dari snapshot yang ditandai dengan kunci InspectorScan tag.

  • Gunakan tindakan AWS KMS dekripsi pilih untuk mendekripsi snapshot yang dienkripsi dengan kunci yang dikelola AWS KMS pelanggan. Amazon Inspector tidak mendekripsi snapshot saat kunci KMS yang digunakan untuk mengenkripsinya ditandai dengan tag. InspectorEc2Exclusion

Peran dikonfigurasi dengan kebijakan izin berikut.

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "InstanceIdentification",
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeInstances",
				"ec2:DescribeVolumes",
				"ec2:DescribeSnapshots"
			],
			"Resource": "*"
		},
		{
			"Sid": "GetSnapshotData",
			"Effect": "Allow",
			"Action": [
				"ebs:ListSnapshotBlocks",
				"ebs:GetSnapshotBlock"
			],
			"Resource": "arn:aws:ec2:*:*:snapshot/*",
			"Condition": {
				"StringLike": {
					"aws:ResourceTag/InspectorScan": "*"
				}
			}
		},
		{
			"Sid": "CreateSnapshotsAnyInstanceOrVolume",
			"Effect": "Allow",
			"Action": "ec2:CreateSnapshots",
			"Resource": [
				"arn:aws:ec2:*:*:instance/*",
				"arn:aws:ec2:*:*:volume/*"
			]
		},
		{
			"Sid": "DenyCreateSnapshotsOnExcludedInstances",
			"Effect": "Deny",
			"Action": "ec2:CreateSnapshots",
			"Resource": "arn:aws:ec2:*:*:instance/*",
			"Condition": {
				"StringEquals": {
					"ec2:ResourceTag/InspectorEc2Exclusion": "true"
				}
			}
		},
		{
			"Sid": "CreateSnapshotsOnAnySnapshotOnlyWithTag",
			"Effect": "Allow",
			"Action": "ec2:CreateSnapshots",
			"Resource": "arn:aws:ec2:*:*:snapshot/*",
			"Condition": {
				"Null": {
					"aws:TagKeys": "false"
				},
				"ForAllValues:StringEquals": {
					"aws:TagKeys": "InspectorScan"
				}
			}
		},
		{
			"Sid": "CreateOnlyInspectorScanTagOnlyUsingCreateSnapshots",
			"Effect": "Allow",
			"Action": "ec2:CreateTags",
			"Resource": "arn:aws:ec2:*:*:snapshot/*",
			"Condition": {
				"StringLike": {
					"ec2:CreateAction": "CreateSnapshots"
				},
				"Null": {
					"aws:TagKeys": "false"
				},
				"ForAllValues:StringEquals": {
					"aws:TagKeys": "InspectorScan"
				}
			}
		},
		{
			"Sid": "DeleteOnlySnapshotsTaggedForScanning",
			"Effect": "Allow",
			"Action": "ec2:DeleteSnapshot",
			"Resource": "arn:aws:ec2:*:*:snapshot/*",
			"Condition": {
				"StringLike": {
					"ec2:ResourceTag/InspectorScan": "*"
				}
			}
		},
		{
			"Sid": "DenyKmsDecryptForExcludedKeys",
			"Effect": "Deny",
			"Action": "kms:Decrypt",
			"Resource": "arn:aws:kms:*:*:key/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceTag/InspectorEc2Exclusion": "true"
				}
			}
		},
		{
			"Sid": "DecryptSnapshotBlocksVolContext",
			"Effect": "Allow",
			"Action": "kms:Decrypt",
			"Resource": "arn:aws:kms:*:*:key/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				},
				"StringLike": {
					"kms:ViaService": "ec2.*.amazonaws.com",
					"kms:EncryptionContext:aws:ebs:id": "vol-*"
				}
			}
		},
		{
			"Sid": "DecryptSnapshotBlocksSnapContext",
			"Effect": "Allow",
			"Action": "kms:Decrypt",
			"Resource": "arn:aws:kms:*:*:key/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				},
				"StringLike": {
					"kms:ViaService": "ec2.*.amazonaws.com",
					"kms:EncryptionContext:aws:ebs:id": "snap-*"
				}
			}
		},
		{
			"Sid": "DescribeKeysForEbsOperations",
			"Effect": "Allow",
			"Action": "kms:DescribeKey",
			"Resource": "arn:aws:kms:*:*:key/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				},
				"StringLike": {
					"kms:ViaService": "ec2.*.amazonaws.com"
				}
			}
		},
		{
			"Sid": "ListKeyResourceTags",
			"Effect": "Allow",
			"Action": "kms:ListResourceTags",
			"Resource": "arn:aws:kms:*:*:key/*"
		}
	]
}