Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Contoh kebijakan berbasis identitas Detektif Amazon

Secara default, pengguna dan peran IAM tidak memiliki izin untuk membuat atau memodifikasi sumber daya Detektif. Mereka juga tidak dapat melakukan tugas menggunakan AWS Management Console, AWS CLI, atau AWS API.

Administrator IAM harus membuat kebijakan IAM yang memberikan izin kepada pengguna dan peran untuk melakukan operasi API tertentu pada sumber daya yang diperlukan. Administrator kemudian melampirkan kebijakan tersebut ke pengguna IAM atau grup yang memerlukan izin tersebut.

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat Kebijakan pada Tab JSON dalam Panduan Pengguna IAM.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya Detektif di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat Praktik terbaik keamanan di IAM dalam Panduan Pengguna IAM.

Menggunakan konsol Detective

Untuk menggunakan konsol Detektif Amazon, pengguna atau peran harus memiliki akses ke tindakan yang relevan, yang cocok dengan tindakan terkait di API.

Untuk mengaktifkan Detektif dan menjadi akun administrator untuk grafik perilaku, pengguna atau peran harus diberikan izin untuk tindakan tersebutCreateGraph.

Untuk menggunakan konsol Detektif untuk melakukan tindakan akun administrator, pengguna atau peran harus diberikan izin untuk tindakan tersebutListGraphs. Ini memberikan izin untuk mengambil grafik perilaku akun mereka sebagai akun administrator. Mereka juga harus diberikan izin untuk melakukan tindakan akun administrator tertentu.

Tindakan akun administrator yang paling dasar adalah melihat daftar akun anggota dalam grafik perilaku, dan menggunakan grafik perilaku untuk penyelidikan.

Untuk menggunakan konsol Detektif untuk melakukan tindakan akun anggota, pengguna atau peran harus diberikan izin untuk tindakan tersebutListInvitations. Ini memberikan izin untuk melihat undangan grafik perilaku. Mereka kemudian dapat diberikan izin untuk tindakan akun anggota tertentu.

Memungkinkan pengguna untuk melihat izin mereka sendiri

Contoh ini menunjukkan cara membuat kebijakan yang mengizinkan pengguna IAM melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau menggunakan API atau secara terprogram. AWS CLI AWS

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Akun administrator: Mengelola akun anggota dalam grafik perilaku

Kebijakan contoh ini ditujukan untuk pengguna akun administrator yang hanya bertanggung jawab untuk mengelola akun anggota yang digunakan dalam grafik perilaku. Kebijakan ini juga memungkinkan pengguna untuk melihat informasi penggunaan dan menonaktifkan Detektif. Kebijakan tidak memberikan izin untuk menggunakan grafik perilaku untuk penyelidikan.

JSON

{"Version":"2012-10-17",		 	 	 
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:ListMembers","detective:CreateMembers","detective:DeleteMembers","detective:DeleteGraph","detective:Get*","detective:StartMonitoringMember"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
  },
  {
    "Effect":"Allow",
    "Action":["detective:CreateGraph","detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Akun administrator: Menggunakan grafik perilaku untuk penyelidikan

Kebijakan contoh ini ditujukan untuk pengguna akun administrator yang menggunakan grafik perilaku hanya untuk penyelidikan. Mereka tidak dapat melihat atau mengedit daftar akun anggota dalam grafik perilaku.

JSON

{"Version":"2012-10-17",		 	 	 
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:SearchGraph"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
   },
   {
    "Effect":"Allow",
    "Action":["detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

Akun anggota: Mengelola undangan grafik perilaku dan keanggotaan

Kebijakan contoh ini ditujukan untuk pengguna yang termasuk dalam akun anggota. Dalam contoh, akun anggota termasuk dalam dua grafik perilaku. Kebijakan memberikan izin untuk menanggapi undangan dan menghapus akun anggota dari grafik perilaku.

JSON

{"Version":"2012-10-17",		 	 	 
  "Statement":[
   {
    "Effect":"Allow",
   "Action":["detective:AcceptInvitation","detective:RejectInvitation","detective:DisassociateMembership"],
   "Resource":[
       "arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899",
       "arn:aws:detective:us-east-1:444455556666:graph:056d2a9521xi2bbluw1d164680eby416"
    ]
  },
  {
    "Effect":"Allow",
    "Action":["detective:ListInvitations"],
    "Resource":"*"
  }
 ]
}

Akun administrator: Membatasi akses berdasarkan nilai tag

Kebijakan berikut memungkinkan pengguna menggunakan grafik perilaku untuk penyelidikan jika SecurityDomain tag grafik perilaku cocok dengan SecurityDomain tag pengguna.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "detective:SearchGraph"
            ],
            "Resource": "arn:aws:detective:*:*:graph:*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/SecurityDomain": "aws:PrincipalTag/SecurityDomain"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "detective:ListGraphs"
            ],
            "Resource": "*"
        }
    ]
}

Kebijakan berikut mencegah pengguna menggunakan grafik perilaku untuk penyelidikan jika nilai SecurityDomain tag untuk grafik perilaku adalahFinance.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":[ {
        "Effect":"Deny",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals": {"aws:ResourceTag/SecurityDomain": "Finance"}
        }
    } ]
}