委任された GuardDuty 管理者アカウントを指定するために必要なアクセス許可

GuardDuty で Amazon の使用を開始するには AWS Organizations、組織の AWS Organizations 管理アカウントがアカウントを委任 GuardDuty 管理者アカウントとして指定します。これにより、 の信頼されたサービス GuardDuty として が有効になります AWS Organizations。また、委任された GuardDuty 管理者アカウント GuardDuty に対して を有効にし、委任された管理者アカウントが現在のリージョンの組織内の他のアカウント GuardDuty に対して を有効におよび管理できるようにします。これらのアクセス許可の付与方法については、「 を他の AWS のサービスで使用する AWS Organizations」を参照してください。

AWS Organizations 管理アカウントとして、組織の委任 GuardDuty 管理者アカウントを指定する前に、次の GuardDuty アクションを実行できることを確認します。 guardduty:EnableOrganizationAdminAccountこのアクションでは、 を使用して組織の委任 GuardDuty 管理者アカウントを指定できます GuardDuty。また、組織に関する情報を取得するのに役立つ AWS Organizations アクションを実行することを許可する必要があります。

これらのアクセス許可を付与するには、アカウントの AWS Identity and Access Management （IAM) ポリシーに次のステートメントを含めます。

{
    "Sid": "PermissionsForGuardDutyAdmin",
    "Effect": "Allow",
    "Action": [
        "guardduty:EnableOrganizationAdminAccount",
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:ListAccounts"
    ],
    "Resource": "*"
}

AWS Organizations 管理アカウントを委任 GuardDuty 管理者アカウントとして指定する場合は、アカウントにも IAMアクションが必要ですCreateServiceLinkedRole。このアクションにより、管理アカウントの GuardDuty を初期化できます。ただし、アクセス許可を追加する GuardDuty で を使用するための考慮事項と推奨事項 AWS Organizations前に確認してください。

管理アカウントを委任 GuardDuty 管理者アカウントとして指定し続けるには、次のステートメントをIAMポリシーに追加して置き換えます。111122223333 組織の管理アカウントの AWS アカウント ID を使用して：

{
	"Sid": "PermissionsToEnableGuardDuty"
	"Effect": "Allow",
	"Action": [
		"iam:CreateServiceLinkedRole"
	],
	"Resource": "arn:aws:iam::111122223333:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
	"Condition": {
		"StringLike": {
			"iam:AWSServiceName": "guardduty.amazonaws.com"
		}
	}
}