Ações, recursos e chaves de condição para a Amazon GuardDuty - Referência de autorização do serviço
AçõesTipos de recursosChaves de condição

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Ações, recursos e chaves de condição para a Amazon GuardDuty

A Amazon GuardDuty (prefixo do serviço:guardduty) fornece os seguintes recursos, ações e chaves de contexto de condições específicos do serviço para uso em IAM políticas de permissão.

Referências:

Ações definidas pela Amazon GuardDuty

Você pode especificar as seguintes ações no Action elemento de uma declaração de IAM política. Use políticas para conceder permissões para executar uma operação na AWS. Quando você usa uma ação em uma política, geralmente permite ou nega acesso à API operação ou ao CLI comando com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma declaração com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o Resource elemento em uma IAM política, deverá incluir um padrão ARN ou para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações Descrição Nível de acesso Tipos de recursos (*necessários) Chaves de condição Ações dependentes
AcceptAdministratorInvitation Concede permissão para aceitar convites para se tornar uma conta de membro GuardDuty Escrever
AcceptInvitation Concede permissão para aceitar convites para se tornar uma conta de membro GuardDuty Escrever
ArchiveFindings Concede permissão para arquivar GuardDuty descobertas Escrever
CreateDetector Concede permissão para criar um detector Escrever

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFilter Concede permissão para criar GuardDuty filtros. Um filtro define atributos e condições de descoberta usados para filtrar descobertas Escrever

filter*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateIPSet Concede permissão para criar um IPSet Escrever

aws:RequestTag/${TagKey}

aws:TagKeys

iam:DeleteRolePolicy

iam:PutRolePolicy

CreateMalwareProtectionPlan Concede permissão para criar um novo plano de proteção contra malware Escrever

aws:RequestTag/${TagKey}

aws:TagKeys

CreateMembers Concede permissão para criar contas de GuardDuty membros, em que a conta usada para criar um membro se torna a conta de GuardDuty administrador Escrever
CreatePublishingDestination Concede permissão para criar um destino de publicação Write

s3:GetObject

s3:ListBucket

CreateSampleFindings Concede permissão para criar exemplos de descobertas Escrever
CreateThreatIntelSet Concede permissão para criar GuardDuty ThreatIntelSets, onde a ThreatIntelSet consiste em endereços IP maliciosos conhecidos usados por GuardDuty para gerar descobertas Escrever

aws:RequestTag/${TagKey}

aws:TagKeys

DeclineInvitations Concede permissão para recusar convites para se tornar uma conta de membro GuardDuty Escrever
DeleteDetector Concede permissão para excluir GuardDuty detectores Escrever

detector*

DeleteFilter Concede permissão para excluir GuardDuty filtros Escrever

filter*

DeleteIPSet Concede permissão para excluir GuardDuty IPSets Escrever

ipset*

DeleteInvitations Concede permissão para excluir convites para se tornar uma conta de membro GuardDuty Escrever
DeleteMalwareProtectionPlan Concede permissão para excluir um plano de proteção contra malware Escrever

malwareprotectionplan*

DeleteMembers Concede permissão para excluir contas de GuardDuty membros Escrever
DeletePublishingDestination Concede permissão para excluir um destino de publicação Escrever

publishingDestination*

DeleteThreatIntelSet Concede permissão para excluir GuardDuty ThreatIntelSets Escrever

threatintelset*

DescribeMalwareScans Concede permissão para recuperar detalhes sobre verificações de malware Leitura
DescribeOrganizationConfiguration Concede permissão para recuperar detalhes sobre o administrador delegado associado a um detector GuardDuty Leitura
DescribePublishingDestination Concede permissão para recuperar detalhes sobre um destino de publicação Leitura

publishingDestination*

DisableOrganizationAdminAccount Concede permissão para desativar o administrador delegado da organização para GuardDuty Escrever
DisassociateFromAdministratorAccount Concede permissão para desassociar uma conta de GuardDuty membro de sua conta de GuardDuty administrador Escrever
DisassociateFromMasterAccount Concede permissão para desassociar uma conta de GuardDuty membro de sua conta de GuardDuty administrador Escrever
DisassociateMembers Concede permissão para desassociar contas de GuardDuty membros de sua conta de administrador GuardDuty Escrever
EnableOrganizationAdminAccount Concede permissão para habilitar um administrador delegado da organização para GuardDuty Escrever
GetAdministratorAccount Concede permissão para recuperar detalhes da conta de GuardDuty administrador associada a uma conta de membro Leitura
GetCoverageStatistics Concede permissão para listar as estatísticas de GuardDuty cobertura da Amazon para a GuardDuty conta especificada em uma região Leitura

detector*

GetDetector Concede permissão para recuperar detectores GuardDuty Leitura

detector*

GetFilter Concede permissão para recuperar filtros GuardDuty Leitura

filter*

GetFindings Concede permissão para recuperar descobertas GuardDuty Leitura
GetFindingsStatistics Concede permissão para recuperar uma lista de estatísticas de GuardDuty busca Leitura
GetIPSet Concede permissão para recuperar GuardDuty IPSets Leitura

ipset*

GetInvitationsCount Concede permissão para recuperar a contagem de todos os GuardDuty convites enviados para uma conta específica, que não inclui o convite aceito Leitura
GetMalwareProtectionPlan Concede permissão para recuperar os detalhes de um plano de proteção contra malware Leitura

malwareprotectionplan*

GetMalwareScanSettings Concede permissão para recuperar as configurações de verificação de malware Leitura
GetMasterAccount Concede permissão para recuperar detalhes da conta de GuardDuty administrador associada a uma conta de membro Leitura
GetMemberDetectors Concede permissão para descrever quais fontes de dados estão habilitadas para detectores de contas de membro Leitura
GetMembers Concede permissão para recuperar as contas-membro associadas a uma conta de administrador Leitura
GetOrganizationStatistics Concede permissão para recuperar estatísticas de cobertura do plano de GuardDuty proteção para contas de membros em uma região Leitura
GetRemainingFreeTrialDays Concede permissão para fornecer o número restante de dias para cada fonte de dados usada no período de teste gratuito Leitura
GetThreatIntelSet Concede permissão para recuperar GuardDuty ThreatIntelSets Leitura

threatintelset*

GetUsageStatistics Concede permissão para listar as estatísticas de GuardDuty uso da Amazon nos últimos 30 dias para o ID do detector especificado Leitura
InviteMembers Concede permissão para convidar outras AWS contas para ativar GuardDuty e se tornarem contas de GuardDuty membros Escrever
ListCoverage Concede permissão para listar todos os detalhes de recursos de determinada conta na região Listar

detector*

ListDetectors Concede permissão para recuperar uma lista de detectores GuardDuty Listar
ListFilters Concede permissão para recuperar uma lista de filtros GuardDuty Listar
ListFindings Concede permissão para recuperar uma lista de descobertas GuardDuty Listar
ListIPSets Concede permissão para recuperar uma lista de GuardDuty IPSets Listar
ListInvitations Concede permissão para recuperar uma lista de todos os convites de GuardDuty associação que foram enviados para um Conta da AWS Listar
ListMalwareProtectionPlans Concede permissão para recuperar uma lista de planos de proteção contra malware Listar
ListMembers Concede permissão para recuperar uma lista de contas de GuardDuty membros associadas a uma conta de administrador Listar
ListOrganizationAdminAccounts Concede permissão para listar detalhes sobre o administrador delegado da organização para GuardDuty Listar
ListPublishingDestinations Concede permissão para recuperar uma lista de destinos de publicação Listar
ListTagsForResource Concede permissão para recuperar uma lista de tags associadas a um recurso GuardDuty Leitura

detector

filter

ipset

malwareprotectionplan

threatintelset

ListThreatIntelSets Concede permissão para recuperar uma lista de GuardDuty ThreatIntelSets Listar
SendSecurityTelemetry Concede permissão para enviar telemetria de segurança para uma GuardDuty conta específica em uma região Escrever
StartMalwareScan Concede permissão para iniciar uma nova verificação de malware Escrever
StartMonitoringMembers Concede permissão a uma conta de GuardDuty administrador para monitorar as descobertas das contas GuardDuty dos membros Escrever
StopMonitoringMembers Concede permissão para desabilitar o monitoramento de descobertas das contas-membro Escrever
TagResource Concede permissão para adicionar tags a um GuardDuty recurso Tags

detector

filter

ipset

malwareprotectionplan

threatintelset

aws:RequestTag/${TagKey}

aws:TagKeys

UnarchiveFindings Concede permissão para desarquivar descobertas GuardDuty Escrever
UntagResource Concede permissão para remover tags de um GuardDuty recurso Tags

detector

filter

ipset

malwareprotectionplan

threatintelset

aws:TagKeys

UpdateDetector Concede permissão para atualizar GuardDuty detectores Escrever

detector*

UpdateFilter Concede permissão para atualizar GuardDuty filtros Escrever

filter*

UpdateFindingsFeedback Concede permissão para atualizar as descobertas. Feedback para marcar as GuardDuty descobertas como úteis ou não úteis Escrever
UpdateIPSet Concede permissão para atualizar GuardDuty IPSets Escrever

ipset*

iam:DeleteRolePolicy

iam:PutRolePolicy

UpdateMalwareProtectionPlan Concede permissão para atualizar o plano de proteção contra malware Escrever

malwareprotectionplan*

UpdateMalwareScanSettings Concede permissão para atualizar as configurações de verificação de malware Escrever
UpdateMemberDetectors Concede permissão para atualizar quais fontes de dados estão habilitadas para detectores de contas de membro Escrever
UpdateOrganizationConfiguration Concede permissão para atualizar a configuração do administrador delegado associada a um detector GuardDuty Escrever
UpdatePublishingDestination Concede permissão para atualizar um destino de publicação Escrever

publishingDestination*

s3:GetObject

s3:ListBucket

UpdateThreatIntelSet Concede permissão para atualizar o GuardDuty ThreatIntelSets Escrever

threatintelset*

iam:DeleteRolePolicy

iam:PutRolePolicy

Tipos de recursos definidos pela Amazon GuardDuty

Os tipos de recursos a seguir são definidos por esse serviço e podem ser usados no Resource elemento das declarações de política de IAM permissão. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos ARN Chaves de condição
detector arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}

aws:ResourceTag/${TagKey}

filter arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/filter/${FilterName}

aws:ResourceTag/${TagKey}

ipset arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/ipset/${IPSetId}

aws:ResourceTag/${TagKey}

threatintelset arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/threatintelset/${ThreatIntelSetId}

aws:ResourceTag/${TagKey}

publishingDestination arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/publishingDestination/${PublishingDestinationId}
malwareprotectionplan arn:${Partition}:guardduty:${Region}:${Account}:malware-protection-plan/${MalwareProtectionPlanId}

aws:ResourceTag/${TagKey}

Chaves de condição para a Amazon GuardDuty

A Amazon GuardDuty define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma IAM política. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para ver as chaves de condição globais que estão disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição Descrição Tipo
aws:RequestTag/${TagKey} Filtra o acesso por pares de chave-valor da etiqueta na solicitação String
aws:ResourceTag/${TagKey} Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso String
aws:TagKeys Filtra o acesso pelas chaves da etiqueta na solicitação ArrayOfString