Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat Peran IAM untuk AWS Security Agent

AWS Security Agent menggunakan Peran IAM dalam tiga cara:

Peran Aplikasi

Peran Aplikasi digunakan saat membuat aplikasi AWS Security Agent Anda di layanan. Untuk skenario autentikasi Pusat Identitas IAM dan tautan akses admin, layanan AWS Security Agent mengasumsikan peran ini untuk memberikan WebApp pengguna izin yang diperlukan untuk berinteraksi dengan AWS Security Agent API.

Izin yang Diperlukan

Peran ini membutuhkan izin untuk:

Kebijakan Kepercayaan

Kebijakan kepercayaan harus mengizinkan layanan AWS Security Agent untuk mengambil peran ini:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Kebijakan Izin

Peran harus mencakup izin untuk:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "securityagent:GetApplication",
        "securityagent:UpdateApplication",
        "securityagent:ListAgentInstances",
        "securityagent:CreatePentestSession"
      ],
      "Resource": "arn:aws:securityagent:*:*:application/*"
    }
  ]
}

Peran Layanan Uji Penetrasi

Peran Layanan Uji Penetrasi ditentukan saat membuat spasi agen sebagai daftar peran yang tersedia. Saat WebApp pengguna membuat tes penetrasi, mereka memilih salah satu peran ini. Layanan AWS Security Agent kemudian mengasumsikan peran ini untuk mengakses dan menguji sumber daya AWS Anda.

Izin yang Diperlukan

Peran ini memerlukan izin untuk mengakses dan menganalisis sumber daya AWS Anda selama pengujian penetrasi:

Kebijakan Kepercayaan

Kebijakan kepercayaan harus memungkinkan layanan AWS Security Agent untuk mengambil peran ini untuk operasi pengujian penetrasi:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

Kebijakan Izin

Peran tersebut harus mencakup akses hanya-baca ke sumber daya AWS Anda. Pertimbangkan untuk menggunakan kebijakan terkelola ini:

Atau buat kebijakan khusus dengan izin tertentu:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "vpc:Describe*",
        "iam:Get*",
        "iam:List*",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "*"
    }
  ]
}

Peran Aktor

Peran Aktor digunakan untuk mengautentikasi dan mengotorisasi permintaan ke aplikasi web target Anda selama pengujian penetrasi. Peran ini disediakan selama pembuatan ruang agen, dan agen Agen Keamanan AWS mengasumsikan peran tersebut berinteraksi dengan titik akhir aplikasi target Anda (seperti API AWS API Gateway, URL fungsi Lambda, atau aplikasi lainnya). AWS-hosted

Izin yang Diperlukan

Peran ini membutuhkan izin untuk:

Kebijakan Kepercayaan

Kebijakan kepercayaan harus mengizinkan layanan agen AWS Security Agent untuk mengambil peran ini:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

Kebijakan Izin

Izin bergantung pada arsitektur aplikasi target Anda. Berikut adalah contoh untuk skenario umum:

Untuk Aplikasi API Gateway

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"
      ],
      "Resource": "arn:aws:execute-api:us-east-1:*:your-api-id/*"
    }
  ]
}

Untuk URL Fungsi Lambda

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunctionUrl",
        "lambda:InvokeFunction"
      ],
      "Resource": "arn:aws:lambda:us-east-1:*:function:your-function-name"
    }
  ]
}

Untuk Application Load Balancer dengan Otentikasi Cognito

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cognito-idp:InitiateAuth",
        "cognito-idp:RespondToAuthChallenge"
      ],
      "Resource": "arn:aws:cognito-idp:us-east-1:*:userpool/your-user-pool-id"
    }
  ]
}