翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS セキュリティエージェントの IAM ロールを作成する

AWS セキュリティエージェントは、次の 3 つの方法で IAM ロールを使用します。

アプリケーションロール

アプリケーションロールは、サービスで AWS セキュリティエージェントアプリケーションを作成するときに使用されます。IAM アイデンティティセンターと管理者アクセスリンクの認証シナリオの場合、AWS セキュリティエージェントサービスは、このロールを引き受けて、AWS セキュリティエージェント API を操作するために必要なアクセス許可を WebApp ユーザーに付与します。 APIs

必要な許可

このロールには、次のアクセス許可が必要です。

信頼ポリシー

信頼ポリシーでは、AWS セキュリティエージェントサービスがこのロールを引き受けることを許可する必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

アクセス許可ポリシー

ロールには、次のアクセス許可を含める必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "securityagent:GetApplication",
        "securityagent:UpdateApplication",
        "securityagent:ListAgentInstances",
        "securityagent:CreatePentestSession"
      ],
      "Resource": "arn:aws:securityagent:*:*:application/*"
    }
  ]
}

侵入テストサービスロール

ペネトレーションテストサービスロールは、使用可能なロールのリストとしてエージェントスペースを作成するときに指定されます。WebApp ユーザーは、侵入テストを作成するときに、これらのロールのいずれかを選択します。次に、AWS セキュリティエージェントサービスは、AWS リソースにアクセスしてテストするためにこのロールを引き受けます。

必要な許可

このロールには、ペネトレーションテスト中に AWS リソースにアクセスして分析するためのアクセス許可が必要です。

信頼ポリシー

信頼ポリシーは、AWS セキュリティエージェントサービスが侵入テストオペレーションのためにこのロールを引き受けることを許可する必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

アクセス許可ポリシー

ロールには、AWS リソースへの読み取り専用アクセスを含める必要があります。これらの管理ポリシーの使用を検討してください。

または、特定のアクセス許可を持つカスタムポリシーを作成します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "vpc:Describe*",
        "iam:Get*",
        "iam:List*",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "*"
    }
  ]
}

アクターロール

アクターロールは、ペネトレーションテスト中にターゲットウェブアプリケーションへのリクエストを認証および認可するために使用されます。これらのロールはエージェントスペースの作成時に提供され、AWS セキュリティエージェントは、ターゲットアプリケーションエンドポイント (AWS API Gateway APIs、Lambda 関数 URLs、その他の AWS がホストするアプリケーションなど) とやり取りするためにロールを引き受けます。

必要な許可

このロールには、次のアクセス許可が必要です。

信頼ポリシー

信頼ポリシーでは、AWS セキュリティエージェントサービスがこのロールを引き受けることを許可する必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "your-external-id"
        }
      }
    }
  ]
}

アクセス許可ポリシー

アクセス許可は、ターゲットアプリケーションアーキテクチャによって異なります。一般的なシナリオの例を次に示します。

API Gateway アプリケーションの場合

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"
      ],
      "Resource": "arn:aws:execute-api:us-east-1:*:your-api-id/*"
    }
  ]
}

Lambda 関数 URLs

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunctionUrl",
        "lambda:InvokeFunction"
      ],
      "Resource": "arn:aws:lambda:us-east-1:*:function:your-function-name"
    }
  ]
}

Cognito 認証を使用した Application Load Balancer の場合

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cognito-idp:InitiateAuth",
        "cognito-idp:RespondToAuthChallenge"
      ],
      "Resource": "arn:aws:cognito-idp:us-east-1:*:userpool/your-user-pool-id"
    }
  ]
}