Ações, recursos e chaves de condição para AWS Agente de segurança

AWS O Security Agent (prefixo do serviço:securityagent) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso nas políticas de permissão do IAM.

Referências:

Saiba como configurar este serviço.
Visualize uma lista das operações de API disponíveis para este serviço.
Saiba como proteger esse serviço e seus recursos usando políticas de permissão do IAM.

Tópicos

Ações definidas por AWS Agente de segurança
Tipos de recursos definidos por AWS Agente de segurança
Chaves de condição para AWS Agente de segurança

Ações definidas por AWS Agente de segurança

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Nível de acesso da tabela Ações descreve como a ação é classificada (lista, leitura, gravação, gerenciamento de permissões ou marcação). Esta classificação pode ajudar você a compreender o nível de acesso que uma ação concede quando a usa em uma política. Para obter mais informações sobre níveis de acesso, consulte Níveis de acesso em resumos de políticas.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

A coluna Ações dependentes da tabela Ações mostra permissões adicionais que podem ser necessárias para chamar uma ação com êxito. Essas permissões podem ser necessárias além da permissão para a ação em si. Quando uma ação especifica ações dependentes, essas dependências podem se aplicar a recursos adicionais definidos para essa ação, não somente ao primeiro recurso listado na tabela.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AddArtifact	Concede permissão para adicionar um Artifato ao Espaço do Agente determinado	Gravar	AgentSpace*
BatchCreateSecurityRequirements	Concede permissão para criar em lote os requisitos de segurança em um pacote gerenciado pelo cliente	Gravar	SecurityRequirementPack*		kms:Decrypt kms:GenerateDataKeyWithoutPlaintext kms:ReEncryptFrom kms:ReEncryptTo
BatchDeleteCodeReviews	Concede permissão para excluir várias revisões de código em uma única solicitação	Gravar	AgentSpace*		kms:Decrypt
BatchDeletePentests	Concede permissão para excluir vários testes de penetração em uma única solicitação	Gravar	AgentSpace*		kms:Decrypt
BatchDeleteSecurityRequirements	Concede permissão para excluir em lote os requisitos de segurança de um pacote gerenciado pelo cliente	Gravar	SecurityRequirementPack*
BatchDeleteThreatModels	Concede permissão para excluir vários modelos de ameaças em uma única solicitação	Gravar	AgentSpace*		kms:Decrypt
BatchDeleteThreats	Concede permissão para excluir várias ameaças	Gravar	AgentSpace*		kms:Decrypt
BatchGetAgentSpaces	Concede permissão para recuperar vários espaços de agente em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetArtifactMetadata	Concede permissão para recuperar um ou mais registros de Metadados do Artifact para um determinado Espaço do Agente	Ler	AgentSpace*
BatchGetCodeReviewJobTasks	Concede permissão para recuperar várias tarefas de revisão de código em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetCodeReviewJobs	Concede permissão para recuperar vários trabalhos de revisão de código em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetCodeReviews	Concede permissão para recuperar várias revisões de código em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetFindings	Concede permissão para recuperar várias descobertas de testes de segurança em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetPentestJobContentMetadata	Concede permissão para recuperar vários metadados do conteúdo do trabalho de pentest em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetPentestJobTasks	Concede permissão para recuperar várias tarefas de trabalho de pentest em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetPentestJobs	Concede permissão para recuperar vários trabalhos de teste de segurança em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetPentests	Concede permissão para recuperar vários testes de penetração em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetSecurityRequirements	Concede permissão para recuperar vários requisitos de segurança em uma única solicitação	Ler	SecurityRequirementPack*		kms:Decrypt kms:GenerateDataKeyWithoutPlaintext kms:ReEncryptFrom kms:ReEncryptTo
BatchGetTargetDomains	Concede permissão para recuperar vários domínios de destino em uma única solicitação	Ler	TargetDomain*
BatchGetThreatModelJobTasks	Concede permissão para recuperar várias tarefas para um trabalho de modelo de ameaça em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetThreatModelJobs	Concede permissão para recuperar detalhes de um ou mais trabalhos do modelo de ameaças	Ler	AgentSpace*		kms:Decrypt
BatchGetThreatModels	Concede permissão para recuperar vários modelos de ameaças em uma única solicitação	Ler	AgentSpace*		kms:Decrypt
BatchGetThreats	Concede permissão para recuperar detalhes de uma ou mais ameaças	Ler	AgentSpace*		kms:Decrypt
BatchUpdateSecurityRequirements	Concede permissão para atualizar em lote os requisitos de segurança em um pacote gerenciado pelo cliente	Gravar	SecurityRequirementPack*		kms:Decrypt kms:GenerateDataKeyWithoutPlaintext kms:ReEncryptFrom kms:ReEncryptTo
CreateAgentSpace	Concede permissão para criar um registro de espaço do agente	Gravar		aws:RequestTag/${TagKey} aws:TagKeys	kms:Decrypt kms:DescribeKey kms:GenerateDataKeyWithoutPlaintext
CreateApplication	Concede permissão para criar uma nova aplicação	Gravar		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole kms:DescribeKey sso:CreateApplication
CreateCodeReview	Concede permissão para criar uma nova configuração de revisão de código	Gravar	AgentSpace*		kms:Decrypt
CreateDesignReview	Concede permissão para criar uma revisão de design	Gravar	AgentSpace*
CreateIntegration	Concede permissão para criar uma integração de testes de segurança	Gravar		aws:RequestTag/${TagKey} aws:TagKeys
CreateMembership	Concede permissão para adicionar um único membro a um espaço de agente com a função especificada	Gravar	AgentSpace*
CreateOneTimeLoginSession	Concede permissão para criar uma sessão de login única	Gravar	AgentSpace*
CreatePentest	Concede permissão para criar uma nova configuração de teste de penetração	Gravar	AgentSpace*		kms:Decrypt
CreatePrivateConnection	Concede permissão para criar uma conexão privada para integração com o VPC Lattice	Gravar		aws:RequestTag/${TagKey} aws:TagKeys
CreateSecurityRequirement	Concede permissão para adicionar um requisito de segurança gerenciado pelo cliente	Gravar	SecurityRequirementPack*
CreateSecurityRequirementPack	Concede permissão para criar um pacote de requisitos de segurança gerenciado pelo cliente	Gravar		aws:RequestTag/${TagKey} aws:TagKeys	kms:Decrypt kms:DescribeKey kms:GenerateDataKeyWithoutPlaintext kms:ReEncryptFrom kms:ReEncryptTo
CreateTargetDomain	Concede permissão para criar um registro de domínio de destino	Gravar
CreateThreat	Concede permissão para criar uma ameaça em um modelo de ameaça	Gravar	AgentSpace*		kms:Decrypt
CreateThreatModel	Concede permissão para criar uma nova configuração de modelo de ameaça	Gravar	AgentSpace*		kms:Decrypt
DeleteAgentSpace	Concede permissão para excluir um registro de espaço do agente	Gravar	AgentSpace*		kms:Decrypt
DeleteApplication	Concede permissão para excluir o aplicativo	Gravar	Application*
DeleteArtifact	Concede permissão para excluir um Artefato	Gravar	AgentSpace*
DeleteDesignReview	Concede permissão para excluir uma revisão de design	Gravar	AgentSpace*
DeleteIntegration	Concede permissão para excluir a integração de um aplicativo	Gravar	Integration*
DeleteMembership	Concede permissão para remover um único membro associado a um espaço de agente	Gravar	AgentSpace*
DeletePrivateConnection	Concede permissão para excluir uma conexão privada	Gravar	PrivateConnection*
DeleteSecurityRequirement	Concede permissão para excluir um requisito de segurança gerenciado pelo cliente	Gravar	SecurityRequirementPack*
DeleteSecurityRequirementPack	Concede permissão para excluir um pacote de requisitos de segurança gerenciado pelo cliente e todos os requisitos de segurança associados	Gravar	SecurityRequirementPack*
DeleteTargetDomain	Concede permissão para excluir um registro de domínio de destino	Gravar	TargetDomain*
DescribePrivateConnection	Concede permissão para descrever uma conexão privada	Ler	PrivateConnection*
GetApplication	Concede permissão para obter detalhes do aplicativo por ID do aplicativo	Ler	Application*
GetArtifact	Concede permissão para recuperar um Artifato para o Espaço do Agente fornecido	Ler	AgentSpace*
GetDesignReview	Concede permissão para obter o status da revisão do design do espaço do agente associado	Ler	AgentSpace*
GetDesignReviewArtifact	Concede permissão para obter artefato de revisão de design para um documento específico	Ler	AgentSpace*
GetDesignReviewFeedback	Concede permissão para receber feedback sobre um comentário de revisão de design	Ler	AgentSpace*
GetIntegration	Concede permissão para obter os metadados de integração por ID	Ler	Integration*
GetProviderRegistrationManifest	Concede permissão para recuperar o manifesto de registro do provedor usado para o registro de integração baseado em navegador	Ler
GetSecurityRequirement	Concede permissão para recuperar um requisito de segurança	Ler	SecurityRequirementPack*
GetSecurityRequirementPack	Concede permissão para recuperar um pacote de requisitos de segurança	Ler	SecurityRequirementPack*
HandleProviderRegistrationCallback	Concede permissão para lidar com o retorno de chamada de registro OAuth do provedor que conclui a configuração da integração	Gravar
ImportSecurityRequirements	Concede permissão para importar requisitos de segurança de documentos carregados para um pacote de requisitos de segurança gerenciado pelo cliente	Gravar	SecurityRequirementPack*		kms:Decrypt kms:GenerateDataKeyWithoutPlaintext kms:ReEncryptFrom kms:ReEncryptTo
InitiateProviderRegistration	Concede permissão para iniciar o registro do Security Agent App para o determinado provedor (por exemplo: GitHub)	Gravar
ListAgentSpaces	Concede permissão para listar espaços de agentes	Lista
ListApplications	Concede permissão para listar todos os aplicativos na conta	Lista
ListArtifacts	Concede permissão para listar todos os artefatos de um determinado espaço de agente	Lista	AgentSpace*
ListCodeReviewJobTasks	Concede permissão para listar tarefas associadas a um trabalho de revisão de código	Lista	AgentSpace*		kms:Decrypt
ListCodeReviewJobsForCodeReview	Concede permissão para listar trabalhos de revisão de código associados a uma revisão de código	Lista	AgentSpace*		kms:Decrypt
ListCodeReviews	Concede permissão para listar revisões de código com filtragem opcional por status	Lista	AgentSpace*		kms:Decrypt
ListDesignReviewComments	Concede permissão para listar comentários de revisão de design	Lista	AgentSpace*
ListDesignReviews	Concede permissão para listar todas as revisões de design para o espaço de agente específico	Lista	AgentSpace*
ListDiscoveredEndpoints	Concede permissão para listar endpoints descobertos associados a uma tarefa de pentest com filtragem opcional de prefixo de URI	Lista	AgentSpace*		kms:Decrypt
ListFindings	Concede permissão para listar descobertas com suporte para filtragem e paginação	Lista	AgentSpace*		kms:Decrypt
ListIntegratedResources	Concede permissão para listar recursos integrados para um espaço de agente	Lista	AgentSpace*
ListIntegrations	Concede permissão para obter as integrações de propriedade do chamador Conta da AWS	Lista
ListMemberships	Concede permissão para listar todos os membros associados a um espaço de agente com suporte à paginação	Lista	AgentSpace*
ListPentestJobTasks	Concede permissão para listar tarefas de pentest associadas a uma tarefa de pentest	Lista	AgentSpace*		kms:Decrypt
ListPentestJobsForPentest	Concede permissão para listar trabalhos de teste de penetração associados a um teste de penetração	Lista	AgentSpace*		kms:Decrypt
ListPentests	Concede permissão para listar testes de penetração com filtragem opcional por status	Lista	AgentSpace*		kms:Decrypt
ListPrivateConnections	Concede permissão para listar conexões privadas na conta	Lista
ListResourcesFromIntegration	Concede permissão para listar recursos da Integration	Lista	Integration*
ListSecurityRequirementPacks	Concede permissão para listar todos os pacotes de requisitos de segurança na conta	Lista
ListSecurityRequirements	Concede permissão para listar todos os requisitos de segurança	Lista	SecurityRequirementPack*		kms:Decrypt kms:GenerateDataKeyWithoutPlaintext kms:ReEncryptFrom kms:ReEncryptTo
ListTagsForResource	Concede permissão para listar as etiquetas de um recurso	Ler	AgentSpace
			Application
			Integration
			PrivateConnection
			SecurityRequirementPack
			TargetDomain
ListTargetDomains	Concede permissão para listar domínios de destino	Lista
ListThreatModelJobTasks	Concede permissão para listar tarefas associadas a um trabalho de modelo de ameaça específico	Lista	AgentSpace*		kms:Decrypt
ListThreatModelJobs	Concede permissão para listar trabalhos de modelo de ameaça para um modelo de ameaça	Lista	AgentSpace*		kms:Decrypt
ListThreatModels	Concede permissão para listar modelos de ameaças para um espaço de agente	Lista	AgentSpace*		kms:Decrypt
ListThreats	Concede permissão para listar ameaças para um trabalho de modelo de ameaças com suporte para filtragem e paginação	Lista	AgentSpace*		kms:Decrypt
PutDesignReviewFeedback	Concede permissão para enviar feedback para um comentário de revisão de design	Gravar	AgentSpace*
StartCodeRemediation	Concede permissão para iniciar a correção do código para as descobertas	Gravar	AgentSpace*		kms:Decrypt kms:GenerateDataKey
StartCodeReviewJob	Concede permissão para iniciar a execução de uma revisão de código	Gravar	AgentSpace*		kms:Decrypt kms:GenerateDataKey
StartPentestJob	Concede permissão para iniciar a execução de um teste de penetração	Gravar	AgentSpace*		kms:Decrypt kms:GenerateDataKey
StartThreatModelJob	Concede permissão para iniciar a execução de um trabalho de modelo de ameaça	Gravar	AgentSpace*		kms:Decrypt kms:GenerateDataKey
StopCodeReviewJob	Concede permissão para interromper a execução de uma revisão de código em execução	Gravar	AgentSpace*		kms:Decrypt
StopPentestJob	Concede permissão para interromper a execução de um teste de penetração em execução	Gravar	AgentSpace*		kms:Decrypt
StopThreatModelJob	Concede permissão para interromper a execução de um trabalho de modelo de ameaça	Gravar	AgentSpace*		kms:Decrypt
TagResource	Concede permissão para adicionar tags a um recurso	Tags	AgentSpace
			Application
			Integration
			PrivateConnection
			SecurityRequirementPack
			TargetDomain
				aws:RequestTag/${TagKey} aws:TagKeys
ToggleManagedSecurityRequirement	Concede permissão para alternar o status de um requisito de segurança gerenciado	Gravar	SecurityRequirementPack*
UntagResource	Concede permissão para remover etiquetas de um recurso	Tags	AgentSpace
			Application
			Integration
			PrivateConnection
			SecurityRequirementPack
			TargetDomain
				aws:TagKeys
UpdateAgentSpace	Concede permissão para atualizar um registro de espaço do agente	Gravar	AgentSpace*		kms:Decrypt
UpdateApplication	Concede permissão para atualizar a configuração do aplicativo	Gravar	Application*		iam:PassRole kms:DescribeKey
UpdateCodeReview	Concede permissão para atualizar uma revisão de código existente com uma nova configuração ou configurações	Gravar	AgentSpace*		kms:Decrypt
UpdateFinding	Concede permissão para atualizar uma descoberta de segurança existente com novos detalhes ou status	Gravar	AgentSpace*		kms:Decrypt
UpdateIntegratedResources	Concede permissão para atualizar recursos integrados para um espaço de agente	Gravar	AgentSpace*
UpdatePentest	Concede permissão para atualizar um teste de penetração existente com uma nova configuração ou configurações	Gravar	AgentSpace*		kms:Decrypt
UpdatePrivateConnectionCertificate	Concede permissão para atualizar o certificado associado a uma conexão privada	Gravar	PrivateConnection*
UpdateSecurityRequirement	Concede permissão para atualizar um requisito de segurança gerenciado pelo cliente	Gravar	SecurityRequirementPack*
UpdateSecurityRequirementPack	Concede permissão para atualizar um pacote de requisitos de segurança	Gravar	SecurityRequirementPack*
UpdateTargetDomain	Concede permissão para atualizar um registro de domínio de destino	Gravar	TargetDomain*
UpdateThreat	Concede permissão para atualizar uma ameaça	Gravar	AgentSpace*		kms:Decrypt
UpdateThreatModel	Concede permissão para atualizar um modelo de ameaça existente com a nova configuração	Gravar	AgentSpace*		kms:Decrypt
VerifyTargetDomain	Concede permissão para verificar a propriedade de um domínio de destino registrado	Gravar	TargetDomain*

Tipos de recursos definidos por AWS Agente de segurança

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Resource types	ARN	Chaves de condição
Application	`arn:${Partition}:securityagent:${Region}:${Account}:application/${ApplicationId}`	aws:ResourceTag/${TagKey}
SecurityRequirementPack	`arn:${Partition}:securityagent:${Region}:${Account}:security-requirement-pack/${SecurityRequirementPackId}`	aws:ResourceTag/${TagKey}
Integration	`arn:${Partition}:securityagent:${Region}:${Account}:integration/${IntegrationId}`	aws:ResourceTag/${TagKey}
AgentSpace	`arn:${Partition}:securityagent:${Region}:${Account}:agent-space/${AgentId}`	aws:ResourceTag/${TagKey}
TargetDomain	`arn:${Partition}:securityagent:${Region}:${Account}:target-domain/${TargetDomainId}`	aws:ResourceTag/${TagKey}
PrivateConnection	`arn:${Partition}:securityagent:${Region}:${Account}:private-connection/${PrivateConnectionName}`	aws:ResourceTag/${TagKey}

Chaves de condição para AWS Agente de segurança

AWS O Security Agent define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para exibir as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de contexto de condição globais da AWS.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra o acesso pelas etiquetas que são transmitidas na solicitação	Segmento
aws:ResourceTag/${TagKey}	Filtra o acesso pelas etiquetas associadas ao recurso	Segmento
aws:TagKeys	Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação	ArrayOfString

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

AWS Secrets Manager

AWS Security Hub