本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为 AWS 安全代理创建 IAM 角色

AWS 安全代理以三种方式使用 IAM 角色：

应用程序角色

应用程序角色用于在服务中创建 AWS 安全代理应用程序。对于 IAM Identity Center 和管理员访问链接身份验证方案，AWS 安全代理服务扮演此角色来授予 WebApp 用户与 AWS 安全代理 API 交互的必要权限。

所需权限

此角色需要以下权限：

信任策略

信任策略必须允许 AWS 安全代理服务担任此角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

权限策略

该角色应包括以下权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "securityagent:GetApplication",
        "securityagent:UpdateApplication",
        "securityagent:ListAgentInstances",
        "securityagent:CreatePentestSession"
      ],
      "Resource": "arn:aws:securityagent:*:*:application/*"
    }
  ]
}

渗透测试服务角色

渗透测试服务角色是在创建代理空间时以可用角色列表的形式指定的。当 WebApp 用户创建渗透测试时，他们会选择其中一个角色。然后，AWS 安全代理服务将扮演此角色来访问和测试您的 AWS 资源。

所需权限

在渗透测试期间，此角色需要访问和分析您的 AWS 资源的权限：

信任策略

信任策略必须允许 AWS 安全代理服务在渗透测试操作中扮演此角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

权限策略

该角色应包括对您的 AWS 资源的只读访问权限。考虑使用以下托管策略：

或者创建具有特定权限的自定义策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "vpc:Describe*",
        "iam:Get*",
        "iam:List*",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "*"
    }
  ]
}

演员角色

Actor 角色用于在渗透测试期间对目标 Web 应用程序的请求进行身份验证和授权。这些角色是在代理空间创建期间提供的，AWS 安全代理假设它们与您的目标应用程序终端节点（例如 AWS API Gateway API、Lambda 函数 URL 或其他 AWS-hosted 应用程序）进行交互。

所需权限

此角色需要以下权限：

信任策略

信任策略必须允许 AWS 安全代理服务担任此角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

权限策略

权限取决于您的目标应用程序架构。以下是常见场景的示例：

适用于 API Gateway 应用程序

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"
      ],
      "Resource": "arn:aws:execute-api:us-east-1:*:your-api-id/*"
    }
  ]
}

对于 Lambda 函数网址

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunctionUrl",
        "lambda:InvokeFunction"
      ],
      "Resource": "arn:aws:lambda:us-east-1:*:function:your-function-name"
    }
  ]
}

适用于使用 Cognito 身份验证的 Application Load Balancer

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cognito-idp:InitiateAuth",
        "cognito-idp:RespondToAuthChallenge"
      ],
      "Resource": "arn:aws:cognito-idp:us-east-1:*:userpool/your-user-pool-id"
    }
  ]
}