View a markdown version of this page

AWS kebijakan terkelola untuk Amazon GuardDuty - Amazon GuardDuty
AmazonGuardDutyFullAccess_v2 (disarankan)AmazonGuardDutyFullAccessAmazonGuardDutyReadOnlyAccessAmazonGuardDutyServiceRolePolicyPembaruan kebijakan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS kebijakan terkelola untuk Amazon GuardDuty

Untuk menambahkan izin ke pengguna, grup, dan peran, lebih mudah menggunakan kebijakan AWS terkelola daripada menulis kebijakan sendiri. Dibutuhkan waktu dan keahlian untuk membuat kebijakan yang dikelola pelanggan IAM yang hanya memberi tim Anda izin yang mereka butuhkan. Untuk memulai dengan cepat, Anda dapat menggunakan kebijakan terkel AWS ola kami. Kebijakan ini mencakup kasus penggunaan umum dan tersedia di Akun AWS Anda. Untuk informasi selengkapnya tentang AWS kebijakan terkelola, AWS lihat kebijakan ter kelola di Panduan Pengguna IAM.

AWS layanan memelihara dan memperbarui kebijakan AWS terkelola. Anda tidak dapat mengubah izin dalam kebijakan ter AWS kelola. Layanan terkadang menambahkan izin tambahan ke kebijakan ter AWS kelola untuk mendukung fitur baru. Jenis pembaruan ini akan memengaruhi semua identitas (pengguna, grup, dan peran) di mana kebijakan tersebut dilampirkan. Layanan kemungkinan besar akan memperbarui kebijakan AWS terkelola saat fitur baru diluncurkan atau ketika operasi baru tersedia. Layanan tidak menghapus izin dari kebijakan ter AWS kelola, sehingga pembaruan kebijakan tidak akan merusak izin yang ada.

Selain itu, AWS mendukung kebijakan terkelola untuk fungsi pekerjaan yang mencakup beberapa layanan. Misalnya, kebijakan terkel ReadOnlyAccess AWS ola menyediakan akses baca-saja ke semua AWS layanan dan sumber daya. Saat layanan meluncurkan fitur baru, AWS menambahkan izin baca-saja untuk operasi dan sumber daya baru. Untuk melihat daftar dan deskripsi dari kebijakan fungsi tugas, lihat kebijakan yang dikelola AWS untuk fungsi tugas di Panduan Pengguna IAM.

Elemen kebijakan Version menetapkan aturan sintaksis bahasa yang akan digunakan untuk memproses kebijakan. Kebijakan berikut mencakup versi saat ini yang didukung IAM. Untuk informasi selengkapnya, lihat elemen kebijakan JSON IAM: Versi.

AWS kebijakan yang dikelola: AmazonGuardDutyFullAccess_v2 (direkomendasikan)

Anda dapat melampirkan kebijakan AmazonGuardDutyFullAccess_v2 ke identitas IAM Anda. Kebijakan ini akan memungkinkan pengguna akses penuh untuk melakukan semua GuardDuty tindakan dan mengakses sumber daya yang diperlukan. Antara AmazonGuardDutyFullAccess_v2 dan AmazonGuardDutyFullAccess, GuardDuty merekomendasikan melampirkan AmazonGuardDutyFullAccess_v2 karena menawarkan keamanan yang ditingkatkan dan membatasi tindakan administratif untuk prinsipal GuardDuty layanan.

Detail izin

AmazonGuardDutyFullAccess_v2Kebijakan ini mencakup izin berikut:

  • GuardDuty- Memungkinkan pengguna akses penuh ke semua GuardDuty tindakan.

  • IAM:

    • Memungkinkan pengguna untuk membuat GuardDuty peran terkait layanan.

    • Memungkinkan melihat dan mengelola peran IAM dan kebijakannya untuk GuardDuty.

    • Memungkinkan pengguna untuk meneruskan peran ke GuardDuty. GuardDuty menggunakan peran ini untuk mengaktifkan Perlindungan Malware untuk S3 dan memindai objek S3 untuk malware. GuardDuty juga menggunakan peran ini untuk memulai pemindaian untuk Perlindungan Malware untuk AWS Cadangan.

    • Izin untuk melakukan iam:GetRole tindakan AWSServiceRoleForAmazonGuardDutyMalwareProtection menetapkan jika peran terkait layanan (SLR) untuk Perlindungan Malware untuk EC2 ada di akun.

  • Organizations:

    • Izinkan pengguna membaca (melihat) struktur GuardDuty organisasi dan akun.

    • Memungkinkan pengguna untuk menunjuk administrator yang didelegasikan dan mengelola anggota untuk GuardDuty organisasi.

Untuk meninjau izin kebijakan ini, lihat AmazonGuardDutyFullAccess _v2 di Panduan Referensi Kebijakan AWS Terkelola.

AWS kebijakan yang dikelola: AmazonGuardDutyFullAccess

Anda dapat melampirkan kebijakan AmazonGuardDutyFullAccess ke identitas IAM Anda.

penting

Untuk keamanan yang ditingkatkan dan izin terbatas untuk GuardDuty prinsipal layanan, kami sarankan Anda untuk menggunakannyaAWS kebijakan yang dikelola: AmazonGuardDutyFullAccess_v2 (direkomendasikan).

Kebijakan ini memberikan izin administratif yang memungkinkan pengguna akses penuh untuk melakukan semua GuardDuty tindakan dan sumber daya.

Detail izin

Kebijakan ini mencakup izin berikut.

  • GuardDuty- Memungkinkan pengguna akses penuh ke semua GuardDuty tindakan.

  • IAM:

    • Memungkinkan pengguna untuk membuat peran GuardDuty terkait layanan.

    • Mengizinkan akun administrator GuardDuty untuk mengaktifkan akun anggota.

    • Memungkinkan pengguna untuk meneruskan peran ke GuardDuty. GuardDuty menggunakan peran ini untuk mengaktifkan Perlindungan Malware untuk S3 dan memindai objek S3 untuk malware. GuardDuty juga menggunakan peran ini untuk memulai pemindaian untuk Perlindungan Malware untuk AWS Cadangan.

  • Organizations- Memungkinkan pengguna untuk menunjuk administrator yang didelegasikan dan mengelola anggota untuk GuardDuty organisasi.

Izin untuk melakukan iam:GetRole tindakan AWSServiceRoleForAmazonGuardDutyMalwareProtection menetapkan jika peran terkait layanan (SLR) untuk Perlindungan Malware untuk EC2 ada di akun.

Untuk meninjau izin kebijakan ini, lihat AmazonGuardDutyFullAccess di Panduan Referensi AWS Kebijakan Terkelola.

AWS kebijakan yang dikelola: AmazonGuardDutyReadOnlyAccess

Anda dapat melampirkan kebijakan AmazonGuardDutyReadOnlyAccess ke identitas IAM Anda.

Kebijakan ini memberikan izin baca-saja yang memungkinkan pengguna melihat GuardDuty temuan dan detail organisasi Anda GuardDuty .

Detail izin

Kebijakan ini mencakup izin berikut.

  • GuardDuty- Memungkinkan pengguna untuk melihat GuardDuty temuan dan melakukan operasi API yang dimulai denganGet,List, atauDescribe.

  • Organizations- Memungkinkan pengguna mengambil informasi tentang konfigurasi GuardDuty organisasi Anda, termasuk rincian akun administrator yang didelegasikan.

Untuk meninjau izin kebijakan ini, lihat AmazonGuardDutyReadOnlyAccess di Panduan Referensi AWS Kebijakan Terkelola.

AWS kebijakan yang dikelola: AmazonGuardDutyServiceRolePolicy

Anda tidak dapat melampirkan AmazonGuardDutyServiceRolePolicy ke entitas IAM Anda. Kebijakan AWS terkelola ini dilampirkan ke peran terkait layanan yang memungkinkan GuardDuty untuk melakukan tindakan atas nama Anda. Untuk informasi selengkapnya, lihat Service-linked izin peran untuk GuardDuty.

GuardDuty update ke AWS kebijakan terkelola

Lihat detail tentang pembaruan kebijakan AWS terkelola GuardDuty sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman GuardDuty riwayat dokumen.

Ubah Deskripsi Tanggal

AmazonGuardDutyServiceRolePolicy — Permbaruan ke kebijakan yang sudah ada

Menambahkan vpc-lattice:AssociateViaAWSService izin vpc-lattice:CreateServiceNetworkVpcAssociation dan, yang memungkinkan GuardDuty untuk menggunakan tindakan Amazon VPC Lattice untuk mengaktifkan konektivitas untuk agen Runtime Monitoring. Per GdLatticeCreateManagedSnvaAssociation nyataan ini memungkinkan GuardDuty untuk membuat asosiasi VPC jaringan layanan untuk sumber daya di akun yang sama. Per GdLatticeAssociateViaAwsService nyataan tersebut memungkinkan GuardDuty untuk menyelesaikan asosiasi melalui Amazon VPC Lattice.

{
                                "Sid": "GdLatticeCreateManagedSnvaAssociation",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:CreateServiceNetworkVpcAssociation",
                                "Resource": "arn:aws:vpc-lattice:*:*:servicenetworkvpcassociation/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            },
                            {
                                "Sid": "GdLatticeAssociateViaAwsService",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:AssociateViaAWSService",
                                "Resource": "*"
                            }
 September 9, 2026

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

Menambahkan s3:ListBucket izin untuk mengambil daftar bucket S3, ecs:DescribeTasks dan ecs:DescribeTaskDefinition izin untuk mengambil informasi tentang tugas Amazon ECS dan definisi tugas.

 April 23, 2026

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

Menambahkan cloudtrail:CreateServiceLinkedChannel izin untuk mengaktifkan mekanisme tambahan untuk mengkonsumsi AWS CloudTrail acara.

{
                                "Sid": "CloudTrailCreateServiceLinkedChannelSid",
                                "Effect": "Allow",
                                "Action": [
                                    "cloudtrail:CreateServiceLinkedChannel"
                                ],
                                "Resource": "arn:aws:cloudtrail:*:*:channel/aws-service-channel/guardduty/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            }
 Maret 25, 2026
AmazonGuardDutyFullAccess— Tidak digunakan lagi

Kebijakan ini telah digantikan oleh kebijakan dengan cakupan yang diberi nama. AmazonGuardDutyFullAccess_v2

Setelah 13 Maret 2026, Anda tidak dapat melampirkan AmazonGuardDutyFullAccess kebijakan ke pengguna, grup, atau peran baru. Untuk informasi selengkapnya, lihat AWS kebijakan yang dikelola: AmazonGuardDutyFullAccess_v2 (direkomendasikan).

 Maret 13, 2026

AmazonGuardDutyFullAccess_v2 – Pembaruan ke kebijakan yang ada

Menambahkan izin yang memungkinkan Anda untuk meneruskan peran IAM GuardDuty saat Anda mengaktifkan Perlindungan Malware untuk AWS Cadangan. 

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }
 November 19, 2025

AmazonGuardDutyFullAccess – Pembaruan ke kebijakan yang ada

Menambahkan izin yang memungkinkan Anda untuk meneruskan peran IAM GuardDuty saat Anda mengaktifkan Perlindungan Malware untuk AWS Cadangan. 

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }
 November 19, 2025

AmazonGuardDutyFullAccess_v2— Menambahkan kebijakan baru

Menambahkan AmazonGuardDutyFullAccess_v2 kebijakan baru. Ini direkomendasikan karena izinnya meningkatkan keamanan dengan membatasi tindakan administratif untuk GuardDuty prinsipal layanan berdasarkan peran dan kebijakan IAM, serta integrasi. AWS Organizations

04 Juni 2025

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

Menambahkan ec2:DescribeVpcs izin. Hal ini memungkinkan GuardDuty untuk melacak pembaruan VPC, seperti mengambil VPC CIDR.

 Agustus 22, 2024

AmazonGuardDutyFullAccess – Pembaruan ke kebijakan yang ada

Menambahkan izin yang memungkinkan Anda untuk meneruskan peran IAM GuardDuty saat Anda mengaktifkan Perlindungan Malware untuk S3.

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
}
 Juni 10, 2024

AmazonGuardDutyServiceRolePolicy— Memperbarui ke kebijakan yang ada.

Gunakan AWS Systems Manager tindakan untuk mengelola asosiasi SSM pada instans Amazon EC2 saat Anda mengaktifkan Pemantauan GuardDuty Runtime dengan agen otomatis untuk Amazon EC2. Saat konfigurasi agen GuardDuty otomatis dinonaktifkan, GuardDuty pertimbangkan hanya instans EC2 yang memiliki tag inklusi (GuardDutyManaged:true).

 26 Maret 2024

AmazonGuardDutyServiceRolePolicy— Memperbarui ke kebijakan yang ada.

GuardDuty telah menambahkan izin baru - organization:DescribeOrganization untuk mengambil ID organisasi dari akun Amazon VPC bersama dan menetapkan kebijakan titik akhir Amazon VPC dengan ID organisasi.

 Februari 9, 2024

AmazonGuardDutyMalwareProtectionServiceRolePolicy— Memperbarui ke kebijakan yang ada.

Perlindungan Malware untuk EC2 telah menambahkan dua izin - GetSnapshotBlock dan ListSnapshotBlocks untuk mengambil snapshot volume EBS (dienkripsi menggunakan Kunci yang dikelola AWS) dari Anda Akun AWS dan menyalinnya ke akun GuardDuty layanan sebelum memulai pemindaian malware.

 25 Jan 2024

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

Menambahkan izin baru untuk memungkinkan GuardDuty untuk menambahkan pengaturan akun guarddutyActivate Amazon ECS, dan melakukan daftar dan menjelaskan operasi pada cluster Amazon ECS.

 26 November 2023

AmazonGuardDutyReadOnlyAccess – Pembaruan ke kebijakan yang ada

 GuardDuty menambahkan kebijakan baru organizations untukListAccounts.

16 November 2023

AmazonGuardDutyFullAccess – Pembaruan ke kebijakan yang ada

 GuardDuty menambahkan kebijakan baru organizations untukListAccounts.

16 November 2023

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

GuardDuty menambahkan izin baru untuk mendukung fitur GuardDuty EKS Runtime Monitoring yang akan datang.

 8 Maret 2023

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

GuardDuty telah menambahkan izin baru untuk memungkinkan GuardDuty membuat Service-linked peran untuk Perlindungan Malware untuk EC2. Ini akan membantu GuardDuty merampingkan proses mengaktifkan Perlindungan Malware untuk EC2.

GuardDuty sekarang dapat melakukan tindakan IAM berikut:

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}
 21 Februari 2023

AmazonGuardDutyFullAccess – Pembaruan ke kebijakan yang ada

GuardDuty ARN diperbarui iam:GetRole untuk*AWSServiceRoleForAmazonGuardDutyMalwareProtection.

 Juli 26, 2022

AmazonGuardDutyFullAccess – Pembaruan ke kebijakan yang ada

GuardDuty menambahkan yang baru AWSServiceName untuk memungkinkan pembuatan peran terkait layanan menggunakan iam:CreateServiceLinkedRole untuk Perlindungan GuardDuty Malware untuk layanan EC2.

GuardDuty sekarang dapat melakukan iam:GetRole tindakan untuk mendapatkan informasiAWSServiceRole.

 Juli 26, 2022

AmazonGuardDutyServiceRolePolicy – Pembaruan ke kebijakan yang ada

GuardDuty menambahkan izin baru GuardDuty untuk memungkinkan penggunaan tindakan jaringan Amazon EC2 untuk meningkatkan temuan.

GuardDuty sekarang dapat melakukan tindakan EC2 berikut untuk mendapatkan informasi tentang bagaimana instans EC2 Anda berkomunikasi. Informasi ini digunakan untuk meningkatkan akurasi temuan.

  • ec2:DescribeVpcEndpoints

  • ec2:DescribeSubnets

  • ec2:DescribeVpcPeeringConnections

  • ec2:DescribeTransitGatewayAttachments

 3 Agustus 2021

GuardDuty mulai melacak perubahan

GuardDuty mulai melacak perubahan untuk kebijakan yang AWS dikelolanya.

 3 Agustus 2021