翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AmazonGuardDutyMalwareProtectionServiceRolePolicy
**説明**: GuardDuty マルウェア保護は、AWSServiceRoleForAmazonGuardDutyMalwareProtection というサービスリンクロール (SLR) を使用します。この サービスリンクロールにより、GuardDuty マルウェア保護はエージェントレススキャンを実行してマルウェアを検出できます。これにより、GuardDuty はアカウントにスナップショットを作成し、そのスナップショットを GuardDuty サービスアカウントと共有し、マルウェアをスキャンできます。共有したこれらのスナップショットを評価し、取得された EC2 インスタンスのメタデータが GuardDuty Malware Protection の検出結果に含まれます。AWSServiceRoleForAmazonGuardDutyMalwareProtection サービスリンクロールは、ロールを継承するために malware-protection.guardduty.amazonaws.com サービスを信頼します。
`AmazonGuardDutyMalwareProtectionServiceRolePolicy` は [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)です。
## このポリシーを使用すると
このポリシーは、ユーザーに代わってサービスがアクションを実行することを許可する、サービスリンクロールにアタッチされます。ユーザー、グループおよびロールにこのポリシーはアタッチできません。
## ポリシーの詳細
+ **タイプ**: サービスリンクロールポリシー
+ **作成日時**: 2022 年 7 月 19 日 19:06 UTC
+ **編集日時:** 2024 年 1 月 25 日 22:24 UTC
+ **ARN**: `arn:aws:iam::aws:policy/aws-service-role/AmazonGuardDutyMalwareProtectionServiceRolePolicy`
## ポリシーのバージョン
**ポリシーのバージョン:** v2 (デフォルト)
ポリシーのデフォルトバージョンは、ポリシーのアクセス許可を定義するバージョンです。ポリシーを持つユーザーまたはロールが AWS リソースへのアクセスをリクエストすると、 はポリシーのデフォルトバージョン AWS をチェックして、リクエストを許可するかどうかを決定します。
## JSON ポリシードキュメント
```
{
"Version" : "2012-10-17",
"Statement" : [
{
"Sid" : "DescribeAndListPermissions",
"Effect" : "Allow",
"Action" : [
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"ec2:DescribeSnapshots",
"ecs:ListClusters",
"ecs:ListContainerInstances",
"ecs:ListTasks",
"ecs:DescribeTasks",
"eks:DescribeCluster"
],
"Resource" : "*"
},
{
"Sid" : "CreateSnapshotVolumeConditionalStatement",
"Effect" : "Allow",
"Action" : "ec2:CreateSnapshot",
"Resource" : "arn:aws:ec2:*:*:volume/*",
"Condition" : {
"Null" : {
"aws:ResourceTag/GuardDutyExcluded" : "true"
}
}
},
{
"Sid" : "CreateSnapshotConditionalStatement",
"Effect" : "Allow",
"Action" : "ec2:CreateSnapshot",
"Resource" : "arn:aws:ec2:*:*:snapshot/*",
"Condition" : {
"ForAnyValue:StringEquals" : {
"aws:TagKeys" : "GuardDutyScanId"
}
}
},
{
"Sid" : "CreateTagsPermission",
"Effect" : "Allow",
"Action" : "ec2:CreateTags",
"Resource" : "arn:aws:ec2:*:*:*/*",
"Condition" : {
"StringEquals" : {
"ec2:CreateAction" : "CreateSnapshot"
}
}
},
{
"Sid" : "AddTagsToSnapshotPermission",
"Effect" : "Allow",
"Action" : "ec2:CreateTags",
"Resource" : "arn:aws:ec2:*:*:snapshot/*",
"Condition" : {
"StringLike" : {
"ec2:ResourceTag/GuardDutyScanId" : "*"
},
"ForAllValues:StringEquals" : {
"aws:TagKeys" : [
"GuardDutyExcluded",
"GuardDutyFindingDetected"
]
}
}
},
{
"Sid" : "DeleteAndShareSnapshotPermission",
"Effect" : "Allow",
"Action" : [
"ec2:DeleteSnapshot",
"ec2:ModifySnapshotAttribute"
],
"Resource" : "arn:aws:ec2:*:*:snapshot/*",
"Condition" : {
"StringLike" : {
"ec2:ResourceTag/GuardDutyScanId" : "*"
},
"Null" : {
"aws:ResourceTag/GuardDutyExcluded" : "true"
}
}
},
{
"Sid" : "PreventPublicAccessToSnapshotPermission",
"Effect" : "Deny",
"Action" : [
"ec2:ModifySnapshotAttribute"
],
"Resource" : "arn:aws:ec2:*:*:snapshot/*",
"Condition" : {
"StringEquals" : {
"ec2:Add/group" : "all"
}
}
},
{
"Sid" : "CreateGrantPermission",
"Effect" : "Allow",
"Action" : "kms:CreateGrant",
"Resource" : "arn:aws:kms:*:*:key/*",
"Condition" : {
"Null" : {
"aws:ResourceTag/GuardDutyExcluded" : "true"
},
"StringLike" : {
"kms:EncryptionContext:aws:ebs:id" : "snap-*"
},
"ForAllValues:StringEquals" : {
"kms:GrantOperations" : [
"Decrypt",
"CreateGrant",
"GenerateDataKeyWithoutPlaintext",
"ReEncryptFrom",
"ReEncryptTo",
"RetireGrant",
"DescribeKey"
]
},
"Bool" : {
"kms:GrantIsForAWSResource" : "true"
}
}
},
{
"Sid" : "ShareSnapshotKMSPermission",
"Effect" : "Allow",
"Action" : [
"kms:ReEncryptTo",
"kms:ReEncryptFrom"
],
"Resource" : "arn:aws:kms:*:*:key/*",
"Condition" : {
"StringLike" : {
"kms:ViaService" : "ec2.*.amazonaws.com"
},
"Null" : {
"aws:ResourceTag/GuardDutyExcluded" : "true"
}
}
},
{
"Sid" : "DescribeKeyPermission",
"Effect" : "Allow",
"Action" : "kms:DescribeKey",
"Resource" : "arn:aws:kms:*:*:key/*"
},
{
"Sid" : "GuardDutyLogGroupPermission",
"Effect" : "Allow",
"Action" : [
"logs:DescribeLogGroups",
"logs:CreateLogGroup",
"logs:PutRetentionPolicy"
],
"Resource" : "arn:aws:logs:*:*:log-group:/aws/guardduty/*"
},
{
"Sid" : "GuardDutyLogStreamPermission",
"Effect" : "Allow",
"Action" : [
"logs:CreateLogStream",
"logs:PutLogEvents",
"logs:DescribeLogStreams"
],
"Resource" : "arn:aws:logs:*:*:log-group:/aws/guardduty/*:log-stream:*"
},
{
"Sid" : "EBSDirectAPIPermissions",
"Effect" : "Allow",
"Action" : [
"ebs:GetSnapshotBlock",
"ebs:ListSnapshotBlocks"
],
"Resource" : "arn:aws:ec2:*:*:snapshot/*",
"Condition" : {
"StringLike" : {
"aws:ResourceTag/GuardDutyScanId" : "*"
},
"Null" : {
"aws:ResourceTag/GuardDutyExcluded" : "true"
}
}
}
]
}
```
## 詳細情報
+ [IAM ポリシーのバージョニングについて理解する](https://docs.aws.amazon.com//IAM/latest/UserGuide/access_policies_managed-versioning.html)
+ [AWS 管理ポリシーの使用を開始し、最小特権のアクセス許可に移行する](https://docs.aws.amazon.com//IAM/latest/UserGuide/best-practices.html#bp-use-aws-defined-policies)