View a markdown version of this page

Creare o aggiornare la policy sui ruoli IAM - Amazon GuardDuty
Aggiungere le autorizzazioni delle policy IAMAggiungere una politica sulle relazioni di fiducia

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Creare o aggiornare la policy sui ruoli IAM

Per consentire a Malware Protection for S3 di scansionare e (facoltativamente) aggiungere tag agli oggetti S3, puoi utilizzare i ruoli di servizio che dispongono delle autorizzazioni necessarie per eseguire azioni di scansione del malware per tuo conto. Per ulteriori informazioni sull'utilizzo dei ruoli di servizio per abilitare la protezione da malware per S3, consulta Service Access. https://docs.aws.amazon.com/guardduty/latest/ug/enable-malware-protection-s3-bucket.html#service-access-s3-malware-protection Questo ruolo è diverso dal ruolo collegato al servizio GuardDuty Malware Protection.

Se preferisci utilizzare i ruoli IAM, puoi allegare un ruolo IAM che includa le autorizzazioni necessarie per scansionare e (facoltativamente) aggiungere tag agli oggetti S3. È necessario creare un ruolo IAM o aggiornare un ruolo esistente per includere queste autorizzazioni. Poiché queste autorizzazioni sono necessarie per ogni bucket Amazon S3 per il quale abiliti Malware Protection for S3, devi eseguire questo passaggio per ogni bucket Amazon S3 da proteggere.

L'elenco seguente spiega in che modo determinate autorizzazioni aiutano a GuardDuty eseguire la scansione del malware per tuo conto:

  • Consenti ad Amazon EventBridge Actions di creare e gestire la regola EventBridge gestita in modo che Malware Protection for S3 possa ascoltare le notifiche degli oggetti S3.

    Per ulteriori informazioni, consulta Amazon EventBridge managed rules nella Amazon EventBridge User Guide.

  • Consenti ad Amazon S3 e alle EventBridge azioni di inviare notifiche EventBridge per tutti gli eventi in questo bucket

    Per ulteriori informazioni, consulta Enabling Amazon EventBridge nella Amazon S3 User Guide.

  • Consenti ad Amazon S3 actions di accedere all'oggetto S3 caricato e aggiungere un tag predefinito all'oggetto S3 GuardDutyMalwareScanStatus scansionato. Quando usi il prefisso di un oggetto, aggiungi una s3:prefix condizione solo sui prefissi mirati. Ciò GuardDuty impedisce l'accesso a tutti gli oggetti S3 nel bucket.

  • Consenti alle azioni chiave di KMS di accedere all'oggetto prima di scansionare e inserire un oggetto di test nei bucket con funzionalità supportate e crittografate. DSSE-KMS SSE-KMS

Nota

Questo passaggio è obbligatorio ogni volta che abiliti Malware Protection for S3 per un bucket nel tuo account. Se disponi già di un ruolo IAM, puoi aggiornarne la policy per includere i dettagli di un'altra risorsa del bucket Amazon S3. L'Aggiungere le autorizzazioni delle policy IAMargomento fornisce un esempio su come eseguire questa operazione.

Utilizza le seguenti politiche per creare o aggiornare un ruolo IAM.

Aggiungere le autorizzazioni delle policy IAM

Puoi scegliere di aggiornare la policy in linea di un ruolo IAM esistente o di creare un nuovo ruolo IAM. Per informazioni sui passaggi, consulta Creazione di un ruolo IAM o Modifica della politica delle autorizzazioni di un ruolo nella IAM User Guide.

Aggiungi il seguente modello di autorizzazioni al tuo ruolo IAM preferito. Sostituisci i seguenti valori segnaposto con i valori appropriati associati al tuo account:

  • Peramzn-s3-demo-bucket, sostituiscilo con il nome del tuo bucket Amazon S3.

    Per utilizzare lo stesso ruolo IAM per più di una risorsa bucket S3, aggiorna una policy esistente come mostrato nell'esempio seguente:

    
                    ...
                    ...
                    "Resource": [
                        "arn:aws:s3:::amzn-s3-demo-bucket/*",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/*"
                    ],
                    ...
                    ...

    Assicurati di aggiungere una virgola (,) prima di aggiungere un nuovo ARN associato al bucket S3. Fatelo ovunque facciate riferimento a un bucket Resource S3 nel modello di policy.

  • Per111122223333, sostituisci con il tuo Account AWS ID.

  • Perus-east-1, sostituisci con il tuo Regione AWS.

  • PerAPKAEIBAERJR2EXAMPLE, sostituisci con il tuo ID chiave gestito dal cliente. Se il tuo bucket S3 è crittografato utilizzando una AWS KMS chiave, aggiungiamo le autorizzazioni pertinenti se scegli l'opzione Crea un nuovo ruolo durante la configurazione della protezione da malware per il tuo bucket. 

    "Resource": "arn:aws:kms:us-east-1:111122223333:key/*"

Modello di politica del ruolo IAM

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Sid": "AllowManagedRuleToSendS3EventsToGuardDuty",
            "Effect": "Allow",
            "Action": [
                "events:PutRule",
                "events:DeleteRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Resource": [
                "arn:aws:events:us-east-1:111122223333:rule/DO-NOT-DELETE-AmazonGuardDutyMalwareProtectionS3*"
            ],
            "Condition": {
                "StringLike": {
                    "events:ManagedBy": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowGuardDutyToMonitorEventBridgeManagedRule",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListTargetsByRule"
            ],
            "Resource": [
                "arn:aws:events:us-east-1:111122223333:rule/DO-NOT-DELETE-AmazonGuardDutyMalwareProtectionS3*"
            ]
        },
        {
            "Sid": "AllowPostScanTag",
            "Effect": "Allow",
            "Action": [
                "s3:PutObjectTagging",
                "s3:GetObjectTagging",
                "s3:PutObjectVersionTagging",
                "s3:GetObjectVersionTagging"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        },
        {
            "Sid": "AllowEnableS3EventBridgeEvents",
            "Effect": "Allow",
            "Action": [
                "s3:PutBucketNotification",
                "s3:GetBucketNotification"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Sid": "AllowPutValidationObject",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/malware-protection-resource-validation-object"
            ]
        },
        {
            "Sid": "AllowCheckBucketOwnership",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
           "Sid": "AllowMalwareScan",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        },
        {
            "Sid": "AllowDecryptForMalwareScan",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/APKAEIBAERJR2EXAMPLE",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

Aggiungere una politica sulle relazioni di fiducia

Allega la seguente politica di fiducia al tuo ruolo IAM. Per informazioni sui passaggi, vedi Modificare una politica di fiducia dei ruoli.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "malware-protection-plan.guardduty.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}