Für erweitertes Scannen in Amazon ECR sind IAM-Berechtigungen erforderlich

Amazon ECR Enhanced Scanning erfordert eine mit dem Amazon Inspector Service verknüpfte IAM-Rolle und dass der IAM-Principal, der erweitertes Scannen aktiviert und verwendet, berechtigt ist, den für das Scannen erforderlichen Amazon Inspector APIs aufzurufen. Die mit Amazon Inspector servicegebundene IAM-Rolle wird automatisch von Amazon Inspector erstellt, wenn erweitertes Scannen für Ihre private Registrierung aktiviert ist. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für Amazon Inspector im Benutzerhandbuch für Amazon Inspector.

Mit der folgenden IAM-Richtlinie werden die erforderlichen Berechtigungen zum Aktivieren und Verwenden des erweiterten Scans erteilt. Es enthält die Berechtigung, die Amazon Inspector zum Erstellen der dienstgebundenen IAM-Rolle benötigt, sowie die Amazon-Inspector-API-Berechtigungen, die erforderlich sind, um das erweiterte Scannen zu aktivieren und zu deaktivieren und die Scanergebnisse abzurufen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "inspector2:Enable",
                "inspector2:Disable",
                "inspector2:ListFindings",
                "inspector2:ListAccountPermissions",
                "inspector2:ListCoverage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "inspector2.amazonaws.com"
                    ]
                }
            }
        }
    ]
}