기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS Security Agent에 대한 IAM 역할 생성

AWS Security Agent는 다음 세 가지 방법으로 IAM 역할을 사용합니다.

애플리케이션 역할

Application Role은 서비스에서 AWS Security Agent 애플리케이션을 생성할 때 사용됩니다. IAM Identity Center 및 관리자 액세스 링크 인증 시나리오의 경우 AWS Security Agent 서비스는이 역할을 수임하여 WebApp 사용자에게 AWS Security Agent APIs와 상호 작용하는 데 필요한 권한을 부여합니다.

필수 권한

이 역할에는 다음과 같은 권한이 필요합니다.

신뢰 정책

신뢰 정책은 AWS Security Agent 서비스가이 역할을 수임하도록 허용해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

권한 정책

역할에는 다음에 대한 권한이 포함되어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "securityagent:GetApplication",
        "securityagent:UpdateApplication",
        "securityagent:ListAgentInstances",
        "securityagent:CreatePentestSession"
      ],
      "Resource": "arn:aws:securityagent:*:*:application/*"
    }
  ]
}

침투 테스트 서비스 역할

침투 테스트 서비스 역할은 에이전트 공간을 사용 가능한 역할 목록으로 생성할 때 지정됩니다. WebApp 사용자는 침투 테스트를 생성할 때 이러한 역할 중 하나를 선택합니다. 그런 다음 AWS Security Agent 서비스는이 역할을 수임하여 AWS 리소스에 액세스하고 테스트합니다.

필수 권한

이 역할에는 침투 테스트 중에 AWS 리소스에 액세스하고 분석할 수 있는 권한이 필요합니다.

신뢰 정책

신뢰 정책은 AWS Security Agent 서비스가 침투 테스트 작업을 위해이 역할을 수임하도록 허용해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

권한 정책

역할에는 AWS 리소스에 대한 읽기 전용 액세스가 포함되어야 합니다. 다음 관리형 정책을 사용하는 것이 좋습니다.

또는 특정 권한이 있는 사용자 지정 정책을 생성합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "vpc:Describe*",
        "iam:Get*",
        "iam:List*",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "*"
    }
  ]
}

액터 역할

액터 역할은 침투 테스트 중에 대상 웹 애플리케이션에 대한 요청을 인증하고 승인하는 데 사용됩니다. 이러한 역할은 에이전트 공간 생성 중에 제공되며 AWS Security Agent 에이전트는 이러한 역할이 대상 애플리케이션 엔드포인트(예: AWS API Gateway APIs, Lambda 함수 URLs 또는 기타 AWS 호스팅 애플리케이션)와 상호 작용한다고 가정합니다.

필수 권한

이 역할에는 다음과 같은 권한이 필요합니다.

신뢰 정책

신뢰 정책은 AWS Security Agent 에이전트 서비스가이 역할을 수임하도록 허용해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

권한 정책

권한은 대상 애플리케이션 아키텍처에 따라 다릅니다. 다음은 일반적인 시나리오의 예입니다.

API Gateway 애플리케이션의 경우

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"
      ],
      "Resource": "arn:aws:execute-api:us-east-1:*:your-api-id/*"
    }
  ]
}

Lambda 함수 URLs 경우

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunctionUrl",
        "lambda:InvokeFunction"
      ],
      "Resource": "arn:aws:lambda:us-east-1:*:function:your-function-name"
    }
  ]
}

Cognito 인증을 사용하는 Application Load Balancer의 경우

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cognito-idp:InitiateAuth",
        "cognito-idp:RespondToAuthChallenge"
      ],
      "Resource": "arn:aws:cognito-idp:us-east-1:*:userpool/your-user-pool-id"
    }
  ]
}