翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Detective のアイデンティティベースポリシーの例

デフォルトでは、IAM ユーザーおよびロールには、Detective リソースを作成または変更する許可はありません。また、AWS マネジメントコンソール、AWS CLI、またはAWS API を使用してタスクを実行することはできません。

IAM 管理者は、ユーザーとロールに必要な、指定されたリソースで特定の API オペレーションを実行する権限をユーザーとロールに付与する IAM ポリシーを作成する必要があります。その後、管理者はそれらの許可が必要な IAM ユーザーまたはグループにそのポリシーをアタッチします。

JSON ポリシードキュメントのこれらの例を使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「JSON タブでのポリシーの作成」を参照してください。

ポリシーに関するベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かが Detective リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、IAM ユーザーガイド の IAM でのセキュリティのベストプラクティス を参照してください。

Detective コンソールの使用

Amazon Detective コンソールを使用するには、ユーザーまたはロールが、関連するアクションであって、API の対応するアクションに一致するアクションにアクセスできる必要があります。

Detective を有効にして動作グラフの管理者アカウントになるには、ユーザーまたはロールに CreateGraph アクションについての許可を付与する必要があります。

Detective コンソールを使用して管理者アカウントのアクションを実行するには、ユーザーまたはロールに ListGraphs アクションについての許可を付与する必要があります。これにより、アカウントが管理者アカウントである動作グラフを取得するための許可が付与されます。また、特定の管理者アカウントのアクションを実行するための許可を付与する必要があります。

管理者アカウントの最も基本的なアクションは、動作グラフでメンバーアカウントのリストを表示したり、調査のために動作グラフを使用したりすることです。

Detective コンソールを使用してメンバーアカウントのアクションを実行するには、ユーザーまたはロールに ListInvitations アクションについての許可を付与する必要があります。これにより、動作グラフの招待を表示するための許可が付与されます。その後、特定のメンバーアカウントのアクションについての許可を付与できます。

ユーザー自身のアクセス許可を表示することをユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、またはAWS CLIまたはAWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

管理者アカウント: 動作グラフでのメンバーアカウントの管理

このサンプルポリシーは、動作グラフで使用されるメンバーアカウントの管理のみを担当する管理者アカウントのユーザー向けのものです。また、このポリシーは、ユーザーが使用量に関する情報を表示したり、Detective を無効化したりすることを許可します。このポリシーは、動作グラフを調査に使用するための許可を付与しません。

JSON

{"Version":"2012-10-17",		 	 	 
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:ListMembers","detective:CreateMembers","detective:DeleteMembers","detective:DeleteGraph","detective:Get*","detective:StartMonitoringMember"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
  },
  {
    "Effect":"Allow",
    "Action":["detective:CreateGraph","detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

管理者アカウント: 調査のための動作グラフの使用

このサンプルポリシーは、調査のみに動作グラフを使用する管理者アカウントのユーザー向けのものです。動作グラフでメンバーアカウントのリストを表示したり、編集したりすることはできません。

JSON

{"Version":"2012-10-17",		 	 	 
  "Statement":[
   {
    "Effect":"Allow",
    "Action":["detective:SearchGraph"],
    "Resource":"arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899"
   },
   {
    "Effect":"Allow",
    "Action":["detective:ListGraphs"],
    "Resource":"*"
  }
 ]
}

メンバーアカウント: 動作グラフの招待とメンバーシップの管理

このサンプルポリシーは、メンバーアカウントに属するユーザー向けのものです。この例では、メンバーアカウントは 2 つの動作グラフに属しています。ポリシーは、招待に応答したり、動作グラフからメンバーアカウントを削除したりするための許可を付与します。

JSON

{"Version":"2012-10-17",		 	 	 
  "Statement":[
   {
    "Effect":"Allow",
   "Action":["detective:AcceptInvitation","detective:RejectInvitation","detective:DisassociateMembership"],
   "Resource":[
       "arn:aws:detective:us-east-1:111122223333:graph:027c7c4610ea4aacaf0b883093cab899",
       "arn:aws:detective:us-east-1:444455556666:graph:056d2a9521xi2bbluw1d164680eby416"
    ]
  },
  {
    "Effect":"Allow",
    "Action":["detective:ListInvitations"],
    "Resource":"*"
  }
 ]
}

管理者アカウント: タグ値に基づくアクセスの制限

次のポリシーは、動作グラフの SecurityDomain タグがユーザーの SecurityDomain タグと一致する場合に、ユーザーが調査のために動作グラフを使用することを許可します。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "detective:SearchGraph"
            ],
            "Resource": "arn:aws:detective:*:*:graph:*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/SecurityDomain": "aws:PrincipalTag/SecurityDomain"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "detective:ListGraphs"
            ],
            "Resource": "*"
        }
    ]
}

次のポリシーは、動作グラフの SecurityDomain タグの値が Finance である場合に、ユーザーが調査のために動作グラフを使用できないようにします。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":[ {
        "Effect":"Deny",
        "Action":["detective:SearchGraph"],
        "Resource":"arn:aws:detective:*:*:graph:*",
        "Condition": {
            "StringEquals": {"aws:ResourceTag/SecurityDomain": "Finance"}
        }
    } ]
}