本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為 AWS 安全代理程式建立 IAM 角色

AWS Security Agent 以三種方式使用 IAM 角色：

應用程式角色

在 服務中建立 AWS Security Agent 應用程式時，會使用 應用程式角色。對於 IAM Identity Center 和管理存取連結身分驗證案例，AWS Security Agent 服務會擔任此角色，授予 WebApp 使用者與 AWS Security Agent APIs 互動的必要許可。

所需的許可

此角色需要下列許可：

信任政策

信任政策必須允許 AWS Security Agent 服務擔任此角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

許可政策

角色應包含下列項目的許可：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "securityagent:GetApplication",
        "securityagent:UpdateApplication",
        "securityagent:ListAgentInstances",
        "securityagent:CreatePentestSession"
      ],
      "Resource": "arn:aws:securityagent:*:*:application/*"
    }
  ]
}

滲透測試服務角色

將客服人員空間建立為可用角色清單時，會指定滲透測試服務角色。當 WebApp 使用者建立滲透測試時，他們會選取其中一個角色。然後，AWS Security Agent 服務會擔任此角色來存取和測試您的 AWS 資源。

所需的許可

此角色需要許可，才能在滲透測試期間存取和分析您的 AWS 資源：

信任政策

信任政策必須允許 AWS Security Agent 服務擔任此角色以進行滲透測試操作：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

許可政策

此角色應包含對 AWS 資源的唯讀存取權。請考慮使用這些 受管政策：

或建立具有特定許可的自訂政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "vpc:Describe*",
        "iam:Get*",
        "iam:List*",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "*"
    }
  ]
}

演員角色

執行者角色用於驗證和授權滲透測試期間對目標 Web 應用程式的請求。這些角色會在代理程式空間建立期間提供，AWS Security Agent 代理程式會擔任這些角色，以與您的目標應用程式端點 （例如 AWS API Gateway APIs、Lambda URLs 或其他 AWS 託管的應用程式） 互動。

所需的許可

此角色需要下列許可：

信任政策

信任政策必須允許 AWS Security Agent 服務擔任此角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

許可政策

許可取決於您的目標應用程式架構。以下是常見案例的範例：

對於 API Gateway 應用程式

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"
      ],
      "Resource": "arn:aws:execute-api:us-east-1:*:your-api-id/*"
    }
  ]
}

對於 Lambda 函數 URLs

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunctionUrl",
        "lambda:InvokeFunction"
      ],
      "Resource": "arn:aws:lambda:us-east-1:*:function:your-function-name"
    }
  ]
}

適用於具有 Cognito 身分驗證的 Application Load Balancer

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cognito-idp:InitiateAuth",
        "cognito-idp:RespondToAuthChallenge"
      ],
      "Resource": "arn:aws:cognito-idp:us-east-1:*:userpool/your-user-pool-id"
    }
  ]
}