AWS Amazon Inspector の マネージドポリシー - Amazon Inspector
AmazonInspector2FullAccess_v2AmazonInspector2FullAccessAmazonInspector2ReadOnlyAccessAmazonInspector2ManagedCisPolicyAmazonInspector2ServiceRolePolicyAmazonInspector2AgentlessServiceRolePolicyポリシーの更新

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Amazon Inspector の マネージドポリシー

AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できるように、多くの一般的なユースケースにアクセス許可を付与するように設計されています。

AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有のカスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。

AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS 管理ポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい が起動されるか、新しい API オペレーション AWS のサービス が既存のサービスで使用できるようになったときに、 AWS 管理ポリシーを更新する可能性が最も高くなります。

詳細については「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

AWS 管理ポリシー: AmazonInspector2FullAccess_v2

AmazonInspector2FullAccess_v2 ポリシーを IAM アイデンティティにアタッチできます。

このポリシーは、Amazon Inspector へのフルアクセスと、他の関連サービスへのアクセスを許可します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

  • inspector2 – Amazon Inspector APIs への完全なアクセスを許可します。

  • codeguru-security – 管理者がアカウントのセキュリティ検出結果と設定を取得できるようにします。

  • iam – Amazon Inspector がサービスにリンクされたロール AWSServiceRoleForAmazonInspector2と を作成できるようにしますAWSServiceRoleForAmazonInspector2Agentless。 AWSServiceRoleForAmazonInspector2はAmazon Inspector が Amazon EC2 インスタンス、Amazon ECR リポジトリ、Amazon ECR コンテナイメージに関する情報の取得などのオペレーションを実行するために必要です。また、 AWS KMS キーで暗号化された Amazon EBS スナップショットを復号することも必要です。詳細については、「Amazon Inspector でのサービスにリンクされたロールの使用」を参照してください。

  • organizations – AllowServicePrincipalBasedAccessToOrganizationApis では、サービスにリンクされたロールの作成 AWS アカウント、組織の委任管理者 AWS アカウント としての の登録、組織内の委任管理者の一覧表示のみをサービスプリンシパルに許可します。 AllowOrganizationalBasedAccessToOrganizationApis では、ポリシー所有者が組織単位に関する情報、特にリソースレベルの ARNs を取得できます。 AllowAccountsBasedAccessToOrganizationApis では、ポリシー所有者が に関する情報、特にリソースレベルの ARNs を取得できます AWS アカウント。 AllowAccessToOrganizationApis では、ポリシー所有者が組織および組織情報と AWS のサービス 統合された を表示できます。

注記

Amazon Inspector はCodeGuru を使用して Lambda スキャンを実行しなくなりました。 AWS は、2025 年 11 月 20 日に CodeGuru のサポートを終了します。詳細については、CodeGuru Security のサポート終了」を参照してください。Amazon Inspector は Amazon Q を使用して Lambda スキャンを実行するようになりました。このセクションで説明するアクセス許可は必要ありません。

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement" : [
    {
      "Sid" : "AllowFullAccessToInspectorApis",
      "Effect" : "Allow",
      "Action" : "inspector2:*",
      "Resource" : "*"
    },
    {
      "Sid" : "AllowAccessToCodeGuruApis",
      "Effect" : "Allow",
      "Action" : [
        "codeguru-security:BatchGetFindings",
        "codeguru-security:GetAccountConfiguration"
      ],
      "Resource" : "*"
    },
    {
      "Sid" : "AllowAccessToCreateSlr",
      "Effect" : "Allow",
      "Action" : "iam:CreateServiceLinkedRole",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "iam:AWSServiceName" : [
            "agentless.inspector2.amazonaws.com",
            "inspector2.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid" : "AllowServicePrincipalBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListDelegatedAdministrators"
      ],
      "Resource" : "*",
      "Condition": {
        "StringEquals": {
          "organizations:ServicePrincipal": [
            "inspector2.amazonaws.com",
            "agentless.inspector2.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid" : "AllowOrganizationalBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:DescribeOrganizationalUnit"
      ],
      "Resource" : "arn:*:organizations::*:ou/o-*/ou-*"
    },
    {
      "Sid" : "AllowAccountsBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:DescribeAccount"
      ],
      "Resource" : "arn:*:organizations::*:account/o-*/*"
    },
    {
      "Sid" : "AllowAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganization"
      ],
      "Resource" : "*"
    }
  ]
}

AWS 管理ポリシー: AmazonInspector2FullAccess

AmazonInspector2FullAccess ポリシーを IAM アイデンティティにアタッチできます。

このポリシーは、Amazon Inspector へのフルアクセスを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

  • inspector2 – Amazon Inspector 機能へのフルアクセスを許可します。

  • iam – Amazon Inspector がサービスにリンクされたロール AWSServiceRoleForAmazonInspector2 と AWSServiceRoleForAmazonInspector2Agentless を作成できるようにします。AWSServiceRoleForAmazonInspector2 は、Amazon Inspector が Amazon EC2 インスタンス、Amazon ECR リポジトリ、コンテナイメージに関する情報の取得などのオペレーションを実行するために必要です。また、Amazon Inspector は、VPC ネットワークを分析し、組織に関連付けられているアカウントを記述する必要もあります。AWSServiceRoleForAmazonInspector2Agentless は、Amazon Inspector が Amazon EC2 インスタンスや Amazon EBS スナップショットに関する情報の取得などのオペレーションを実行するために必要です。また、 AWS KMS キーで暗号化された Amazon EBS スナップショットを復号することも必要です。詳細については、「Amazon Inspector でのサービスにリンクされたロールの使用」を参照してください。

  • organizations — 管理者による AWS Organizationsの組織への Amazon Inspector の使用を許可します。で Amazon Inspector の信頼されたアクセスを有効にすると AWS Organizations、委任管理者アカウントのメンバーは設定を管理し、組織全体の結果を表示できます。

  • codeguru-security – 管理者は Amazon Inspector を使用して、CodeGuru Security が保存しているコードの情報コードスニペットを取得し、暗号化設定を変更できます。詳細については、「検出結果のコードの保管時の暗号化」を参照してください。

JSON
{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "AllowFullAccessToInspectorApis",
			"Effect": "Allow",
			"Action": "inspector2:*",
			"Resource": "*"
		},
		{
			"Sid": "AllowAccessToCodeGuruApis",
			"Effect": "Allow",
			"Action": [
				"codeguru-security:BatchGetFindings",
				"codeguru-security:GetAccountConfiguration"
			],
			"Resource": "*"
		},
		{
			"Sid": "AllowAccessToCreateSlr",
			"Effect": "Allow",
			"Action": "iam:CreateServiceLinkedRole",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"agentless.inspector2.amazonaws.com",
						"inspector2.amazonaws.com"
					]
				}
			}
		},
		{
			"Sid": "AllowAccessToOrganizationApis",
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess",
				"organizations:RegisterDelegatedAdministrator",
				"organizations:ListDelegatedAdministrators",
				"organizations:ListAWSServiceAccessForOrganization",
				"organizations:DescribeOrganizationalUnit",
				"organizations:DescribeAccount",
				"organizations:DescribeOrganization"
			],
			"Resource": "*"
		}
	]
}

AWS 管理ポリシー: AmazonInspector2ReadOnlyAccess

AmazonInspector2ReadOnlyAccess ポリシーを IAM アイデンティティにアタッチできます。

このポリシーは、Amazon Inspector への読み取り専用アクセスを可能にする許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

  • inspector2 – Amazon Inspector 機能への読み取り専用アクセスを許可します。

  • organizations – の組織の Amazon Inspector カバレッジの詳細を表示 AWS Organizations できるようにします。

  • codeguru-security — CodeGuru Security からコードスニペットを取得できるようにします。また、CodeGuru Security に保存されているコードの暗号化設定を表示することもできます。

JSON
{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators",
				"organizations:ListAWSServiceAccessForOrganization",
				"organizations:DescribeOrganizationalUnit",
				"organizations:DescribeAccount",
				"organizations:DescribeOrganization",
				"inspector2:BatchGet*",
				"inspector2:List*",
				"inspector2:Describe*",
				"inspector2:Get*",
				"inspector2:Search*",
				"codeguru-security:BatchGetFindings",
				"codeguru-security:GetAccountConfiguration"
			],
			"Resource": "*"
		}
	]
}

AWS 管理ポリシー: AmazonInspector2ManagedCisPolicy

IAM エンティティに AmazonInspector2ManagedCisPolicy ポリシーをアタッチできます。このポリシーは、Amazon EC2 インスタンスにインスタンスの CIS スキャンの実行を許可するアクセス許可を与えるロールにアタッチする必要があります。IAM ロールを使用して、EC2 インスタンスで実行され、 AWS CLI または AWS API リクエストを行うアプリケーションの一時的な認証情報を管理できます。これは、EC2 インスタンス内でのアクセスキーの保存に推奨されます。EC2 インスタンスに AWS ロールを割り当て、そのすべてのアプリケーションで使用できるようにするには、インスタンスにアタッチされたインスタンスプロファイルを作成します。インスタンスプロファイルにはロールが含まれ、EC2 インスタンスで実行されるプログラムは一時的な認証情報を取得できます。詳細については、「IAM ユーザーガイド」の「Amazon EC2 インスタンスで実行されるアプリケーションに IAM ロールを使用して許可を付与する」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

  • inspector2 – CIS スキャンの実行に使用されるアクションへのアクセスを許可します。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "inspector2:StartCisSession",
                "inspector2:StopCisSession",
                "inspector2:SendCisSessionTelemetry",
                "inspector2:SendCisSessionHealth"
            ],
            "Resource": "*"
        }
    ]
}

AWS 管理ポリシー: AmazonInspector2ServiceRolePolicy

IAM エンティティに AmazonInspector2ServiceRolePolicy ポリシーをアタッチすることはできません。このポリシーは、Amazon Inspector がユーザーに代わってアクションを実行することを許可するサービスリンクロールにアタッチされます。詳細については、「Amazon Inspector でのサービスにリンクされたロールの使用」を参照してください。

AWS 管理ポリシー: AmazonInspector2AgentlessServiceRolePolicy

IAM エンティティに AmazonInspector2AgentlessServiceRolePolicy ポリシーをアタッチすることはできません。このポリシーは、Amazon Inspector がユーザーに代わってアクションを実行することを許可するサービスリンクロールにアタッチされます。詳細については、「Amazon Inspector でのサービスにリンクされたロールの使用」を参照してください。

AWS マネージドポリシーに対する Amazon Inspector の更新

このサービスがこれらの変更の追跡を開始してからの Amazon Inspector の AWS マネージドポリシーの更新に関する詳細を表示します。このページへの変更に関する自動アラートを受け取るには、Amazon Inspector のドキュメント履歴ページで RSS フィードにサブスクライブしてください。

変更 説明 日付

AmazonInspector2FullAccess_v2 – 新しいポリシー

Amazon Inspector に、Amazon Inspector へのフルアクセスと他の関連サービスへのアクセスを提供する新しい管理ポリシーが追加されました。

 2025 年 7 月 3 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector が IP アドレスとインターネットゲートウェイを記述できるようにする新しいアクセス許可を追加しました。

 2025 年 4 月 29 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector に、Amazon ECS および Amazon EKS アクションへの読み取り専用アクセスを許可する新しいアクセス許可が追加されました。

 2025 年 3 月 25 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector が AWS Lambdaで関数タグを返すことを許可する新しいアクセス許可を追加しました。

 2024 年 7 月 31 日

AmazonInspector2FullAccess — 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector がサービスにリンクされたロール AWSServiceRoleForAmazonInspector2Agentless を作成できるようにするアクセス許可を追加しました。これにより、ユーザーは Amazon Inspector を有効にするときにエージェントベースのスキャンとエージェントレススキャンを実行できます。

 2024 年 4 月 24 日

AmazonInspector2ManagedCisPolicy – 新しいポリシー

Amazon Inspector は、インスタンスプロファイルの一部として使用してインスタンスの CIS スキャンを許可する新しい管理ポリシーを追加しました。

 2024 年 1 月 23 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector にターゲットインスタンスで CIS スキャンを開始できるようにする新しいアクセス許可を追加しました。

 2024 年 1 月 23 日

AmazonInspector2AgentlessServiceRolePolicy – 新しいポリシー

Amazon Inspector には、EC2 インスタンスのエージェントレススキャンを可能にする、サービスリンクロールの新しいポリシーが追加されました。

 2023 年 11 月 27 日

AmazonInspector2ReadOnlyAccess — 既存のポリシーの更新

Amazon Inspector には、読み取り専用ユーザーがパッケージの脆弱性検出結果の脆弱性インテリジェンスの詳細を取得できる新しいアクセス許可が追加されました。

 2023 年 9 月 22 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector には、Elastic Load Balancing ターゲットグループの一部である Amazon EC2 インスタンスのネットワーク設定をスキャンできるようにする新しいアクセス許可が追加されました。

 2023 年 8 月 31 日

AmazonInspector2ReadOnlyAccess - 既存のポリシーの更新

Amazon Inspector には、読み取り専用ユーザーがリソースのソフトウェア部品表 (SBOM) をエクスポートできる新しいアクセス許可が追加されました。

 2023 年 6 月 29 日

AmazonInspector2ReadOnlyAccess - 既存のポリシーの更新

Amazon Inspector には、読み取り専用ユーザーが自分のアカウントの Lambda コードスキャン検出結果の暗号化設定の詳細を取得できるようにする新しいアクセス許可が追加されました。

 2023 年 6 月 13 日

AmazonInspector2FullAccess — 既存のポリシーの更新

Amazon Inspector には、Lambda コードスキャンの検出結果に含まれるコードを暗号化するようにカスタマーマネージドキー KMS キーをユーザーが設定できる新しいアクセス許可が追加されました。

 2023 年 6 月 13 日

AmazonInspector2ReadOnlyAccess - 既存のポリシーの更新

Amazon Inspector には、読み取り専用ユーザーが自分のアカウントの Lambda コードスキャンのステータスと検出結果の詳細を取得できる新しいアクセス許可が追加されました。

 2023 年 5 月 2 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Lambda スキャンをアクティブ化するときに Amazon Inspector がアカウントに AWS CloudTrail サービスにリンクされたチャネルを作成できるようにする新しいアクセス許可を追加しました。これにより、Amazon Inspector はアカウントの CloudTrail イベントをモニタリングできます。

 2023 年 4 月 30 日

AmazonInspector2FullAccess — 既存のポリシーの更新

Amazon Inspector には、ユーザーが Lambda コードスキャンから得られたコード脆弱性の検出結果を取得できる新しいアクセス許可が追加されました。

 2023 年 4 月 21 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Amazon EC2 詳細検査向けにカスタマーが定義したカスタムパスに関する情報を Amazon EC2 Systems Manager に送信できるようにする新しいアクセス許可を追加しました。

 2023 年 4 月 17 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Lambda スキャンをアクティブ化するときに Amazon Inspector がアカウントに AWS CloudTrail サービスにリンクされたチャネルを作成できるようにする新しいアクセス許可を追加しました。これにより、Amazon Inspector はアカウントの CloudTrail イベントをモニタリングできます。

 2023 年 4 月 30 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector が AWS Lambda 関数内の開発者コードのスキャンをリクエストし、Amazon CodeGuru Security からスキャンデータを受信できるようにする新しいアクセス許可を追加しました。さらに、Amazon Inspector には、IAM ポリシーを確認するためのアクセス許可が追加されました。Amazon Inspector はこの情報を使用して Lambda 関数のコード脆弱性をスキャンします。

 2023 年 2 月 28 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、 AWS Lambda Amazon Inspector が関数が最後に呼び出された日時に関する情報を CloudWatch から取得できるようにする新しいステートメントを追加しました。Amazon Inspector はこの情報を使用して、過去 90 日間にアクティブだった環境内の Lambda 関数にスキャンの対象を絞ります。

 2023 年 2 月 20 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector が各 AWS Lambda 関数に関連付けられている各レイヤーバージョンを含む関数に関する情報を取得できるようにする新しいステートメントを追加しました。Amazon Inspector はこの情報を使用して Lambda 関数のセキュリティ脆弱性をスキャンします。

 2022 年 11 月 28 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector には、Amazon Inspector が SSM 関連付け実行を記述できるようにする新しいアクションが追加されました。さらに、Amazon Inspector では、AmazonInspector2 所有の SSM ドキュメントとの SSM 関連付けを作成、更新、削除、および開始できるように、リソーススコープが追加されました。

 2022 年 8 月 31 日

AmazonInspector2ServiceRolePolicy 既存のポリシーの更新

Amazon Inspector は、Amazon Inspector が他の AWS パーティションでソフトウェアインベントリを収集できるように、ポリシーのリソーススコープを更新しました。

 2022 年 8 月 12 日

AmazonInspector2ServiceRolePolicy — 既存のポリシーの更新

Amazon Inspector はアクションのリソーススコープを再構築し、Amazon Inspector が SSM 関連付けを作成、削除、および更新できるようにしました。

 2022 年 8 月 10 日

AmazonInspector2ReadOnlyAccess — 新しいポリシー

Amazon Inspector には、機能への読み取り専用アクセスを許可する新しいポリシーが追加されました。

 2022 年 1 月 21 日

AmazonInspector2FullAccess — 新しいポリシー

Amazon Inspector には、機能へのフルアクセスを許可する新しいポリシーが追加されました。

 2021 年 11 月 29 日

AmazonInspector2ServiceRolePolicy — 新しいポリシー

Amazon Inspector には、Amazon Inspector がお客様に代わって他のサービスでアクションを実行できるようになりました。

 2021 年 11 月 29 日

Amazon Inspector が変更の追跡を開始しました。

Amazon Inspector は、 AWS 管理ポリシーの変更の追跡を開始しました。

 2021 年 11 月 29 日