本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # Amazon Inspector 安全性 云安全 AWS 是重中之重。作为 AWS 客户，您可以受益于专为满足大多数安全敏感型组织的要求而构建的数据中心和网络架构。 安全是双方共同承担 AWS 的责任。[责任共担模式](https://aws.amazon.com/compliance/shared-responsibility-model/)将其描述为云*的*安全性和云*中*的安全性： + **云安全** — AWS 负责保护在云中运行 AWS 服务的基础架构 AWS 云。 AWS 还为您提供可以安全使用的服务。作为[AWS 合规计划合规计划合规计划合](https://aws.amazon.com/compliance/programs/)的一部分，第三方审计师定期测试和验证我们安全的有效性。要了解适用于 Amazon Inspector 的合规计划，请参阅[合规计划范围内的AWSAWS 服务按合](https://aws.amazon.com/compliance/services-in-scope/)分的范围内服务。 + **云端安全**-您的责任由您使用的 AWS 服务决定。您还需要对其他因素负责，包括您的数据的敏感性、您公司的要求以及适用的法律法规。 该文档帮助您了解如何在使用 Amazon Inspector 时应用责任共担模式。以下主题说明如何配置 Amazon Inspector 以实现您的安全性和合规性目标。您还将学习如何使用其他 AWS 服务来帮助您监控和保护您的 Amazon Inspector 资源。 **Topics** + [Amazon Inspector 中的数据保护](data-protection.md) + [适用于 Amazon Inspector 的 Identity and Access Management](security-iam.md) + [监控 Amazon Inspector](monitoring-overview.md) + [Amazon Inspector 的合规性验证](inspector-compliance.md) + [Amazon Inspector 故障恢复能力](disaster-recovery-resiliency.md) + [Amazon Inspector 基础设施安全性](infrastructure-security.md) + [Amazon Inspector 中的事件响应](security-incident-response.md) + [使用接口端点（AWS PrivateLink）访问 Amazon Inspector](vpc-interface-endpoints-inspector.md) # Amazon Inspector 中的数据保护 AWS [分担责任模型分担责任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)适用于 Amazon Inspector 中的数据保护。如本模型所述 AWS ，负责保护运行所有内容的全球基础架构 AWS 云。您负责维护对托管在此基础结构上的内容的控制。您还负责您所使用的 AWS 服务 的安全配置和管理任务。有关数据隐私的更多信息，请参阅[数据隐私常见问题](https://aws.amazon.com/compliance/data-privacy-faq/)。有关欧洲数据保护的信息，请参阅 *AWS Security Blog* 上的 [AWS Shared Responsibility Model and GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 博客文章。 出于数据保护目的，我们建议您保护 AWS 账户 凭证并使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 设置个人用户。这样，每个用户只获得履行其工作职责所需的权限。还建议您通过以下方式保护数据： + 对每个账户使用多重身份验证（MFA）。 + 用于 SSL/TLS 与 AWS 资源通信。我们要求使用 TLS 1.2，建议使用 TLS 1.3。 + 使用设置 API 和用户活动日志 AWS CloudTrail。有关使用 CloudTrail 跟踪捕获 AWS 活动的信息，请参阅*AWS CloudTrail 用户指南*中的[使用跟 CloudTrail 踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解决方案以及其中的所有默认安全控件 AWS 服务。 + 使用高级托管安全服务（例如 Amazon Macie），它有助于发现和保护存储在 Amazon S3 中的敏感数据。 + 如果您在 AWS 通过命令行界面或 API 进行访问时需要经过 FIPS 140-3 验证的加密模块，请使用 FIPS 端点。有关可用的 FIPS 端点的更多信息，请参阅《美国联邦信息处理标准（FIPS）第 140-3 版》[https://aws.amazon.com/compliance/fips/](https://aws.amazon.com/compliance/fips/)。 强烈建议您切勿将机密信息或敏感信息（如您客户的电子邮件地址）放入标签或自由格式文本字段（如**名称**字段）。这包括您 AWS 服务 使用控制台、API 或与 Amazon Inspector 或其他人合作时 AWS SDKs。 AWS CLI在用于名称的标签或自由格式文本字段中输入的任何数据都可能会用于计费或诊断日志。如果您向外部服务器提供 URL，强烈建议您不要在网址中包含凭证信息来验证对该服务器的请求。 **Topics** + [静态加密](encryption-rest.md) + [传输中加密](encryption-transit.md) # 静态加密 默认情况下，Amazon Inspector 使用 AWS 加密解决方案存储静态数据。Amazon Inspector 对以下内容等数据进行加密： + 使用收集的资源清单 AWS Systems Manager。 + 从 Amazon Elastic Container Registry 映像解析的资源清单 + 使用 AWS 自有的加密密钥生成安全调查结果 AWS Key Management Service 您无法管理、使用或查看 AWS 拥有的密钥。但是无需执行任何操作或更改任何计划即可保护用于加密数据的密钥。有关更多信息，请参阅 [AWS 拥有的密钥](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#kms_keys)。 如果您禁用 Amazon Inspector，它将永久删除自己为您存储或维护的所有资源，例如收集的清单和安全调查发现。 ## 对调查发现中的代码进行静态加密 为了扫描 Amazon Inspector Lambda 代码，Amazon Inspector 可与 Amazon Q 搭配使用，来扫描您的代码中是否存在漏洞。当检测到漏洞时，Amazon Q 会提取包含相应漏洞的代码片段，并将该代码存储起来，直到 Amazon Inspector 请求访问为止。默认情况下，Amazon Q 使用 AWS 自有密钥对提取的代码进行加密。但是，您可以将 Amazon Inspector 配置为使用您自己的客户管理的 AWS KMS 密钥进行加密。 以下工作流说明了 Amazon Inspector 如何使用您配置的密钥来加密代码： 1. 您可以使用 Amazon Inspector [UpdateEncryptionKey](https://docs.aws.amazon.com/inspector/v2/APIReference/API_UpdateEncryptionKey.html)API 向亚马逊 Inspector 提供 AWS KMS 密钥。 1. Amazon Inspector 会将有关您的 AWS KMS 密钥的信息转发给 Amazon Q，Amazon Q 会存储这些信息以备将来使用。 1. Amazon Q 使用您通过密钥策略在 Amazon Inspector 中配置的 KMS 密钥。 1. Amazon Q 会根据您的密钥创建加密数据 AWS KMS 密钥并将其存储。此数据密钥用于加密由 Amazon Q 存储的代码数据。 1. 当 Amazon Inspector 请求从代码扫描中获取数据时，Amazon Q 会使用 KMS 密钥来解密数据密钥。当禁用 Lambda 代码扫描时，Amazon Q 会删除关联的数据密钥。 ## 使用客户托管密钥进行代码加密的权限 为了进行加密，您必须使用一个[策略](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-overview.html)创建 KMS 密钥，Amazon Inspector 和 Amazon Q 可利用该策略中包含的语句执行以下操作。 + `kms:Decrypt` + `kms:DescribeKey` + `kms:Encrypt` + `kms:GenerateDataKey` + `kms:GenerateDataKeyWithoutPlainText` **策略声明** 创建 KMS 密钥时，您可以使用以下策略语句。 **注意** `account-id`替换为您的 12 位数 AWS 账户 身份证。`Region`替换为您启用 Amazon Inspector 和 Lambda 代码扫描 AWS 区域 的位置。将 `role-ARN` 替换为您的 IAM 角色的 Amazon 资源名称。 ``` { "Effect": "Allow", "Principal": { "Service": "q.amazonaws.com" }, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKeyWithoutPlaintext", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "StringLike": { "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id" }, "StringEquals": { "aws:SourceAccount": "account-id" }, "ArnLike": { "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*" } } }, { "Effect": "Allow", "Principal": { "Service": "q.amazonaws.com" }, "Action": "kms:DescribeKey", "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "account-id" }, "ArnLike": { "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*" } } }, { "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKeyWithoutPlaintext", "kms:GenerateDataKey" ], "Principal": { "AWS": "role-ARN" }, "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "inspector2.Region.amazonaws.com" }, "StringLike": { "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id" } } }, { "Effect": "Allow", "Action": [ "kms:DescribeKey" ], "Principal": { "AWS": "role-ARN" }, "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "inspector2.Region.amazonaws.com" } } } ``` 该策略语句采用 JSON 格式。包含该语句后，请检查策略以确保语法有效。如果该语句是策略中的最后一条语句，请在前一语句的右大括号后加上一个逗号。如果该语句是策略中的第一个语句或介于两个现有语句之间，请在该语句的右括号后加上一个逗号。 **注意** Amazon Inspector 不再支持对从程序包中提取的代码片段进行加密的[授权](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)。如果您使用的是基于授权的策略，则您仍然可以访问扫描结果。但是，如果您在任何时候更新或重置 KMS 密钥或禁用 Lambda 代码扫描，则需要使用本节中介绍的 KMS 密钥策略。 如果您设置、更新或重置账户的加密密钥，则必须使用 Amazon Inspector 管理员策略，例如 AWS 托管策略`AmazonInspector2FullAccess`。 ## 使用客户托管密钥配置加密 要使用客户托管密钥为您的账户配置加密，您必须是具有 [使用客户托管密钥进行代码加密的权限](#cmk-permissions) 中列出的权限的 Amazon Inspector 管理员。此外，您还需要一个与您的发现位于同一 AWS 区域的 AWS KMS 密钥，或者一个[多区域密钥](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html)。您可以使用账户中现有的对称密钥，也可以使用 AWS 管理控制台创建对称客户托管密钥，或者。 AWS KMS APIs有关更多信息，请参阅 AWS KMS 用户指南中的[创建对称加密 AWS KMS 密钥](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk)。 **注意** 自 2025 年 6 月 13 日起，在代码片段 CloudTrail 期间登录的 AWS KMS 请求中的服务主体将从 “codeguru-reviewer” 更改 encryption/decryption 为 “q”。 ### 使用 Amazon Inspector API 配置加密 要设置加密密钥，请在以亚马逊 Inspector 管理员身份登录时[UpdateEncryptionKey](https://docs.aws.amazon.com/inspector/v2/APIReference/API_UpdateEncryptionKey.html)运行 Amazon Inspector API。在 API 请求中，使用`kmsKeyId`字段指定要使用的 AWS KMS 密钥的 ARN。对于 `scanType`，请输入 `CODE`，对于 `resourceType`，请输入 `AWS_LAMBDA_FUNCTION`。 你可以使用 [UpdateEncryptionKey](https://docs.aws.amazon.com/inspector/v2/APIReference/API_GetEncryptionKey.html)API 来查看 Amazon Inspector 正在使用哪个 AWS KMS 密钥进行加密。 **注意** 如果您在未设置客户托管密钥`GetEncryptionKey`的情况下尝试使用，则操作会返回`ResourceNotFoundException`错误，这意味着正在使用 AWS 自有密钥进行加密。 如果删除密钥或更改其策略以拒绝访问 Amazon Inspector 或 Amazon Q，您将无法访问代码漏洞扫描结果，并且您的账户的 Lambda 代码扫描将失败。 您可以使用恢复使用 AWS 自有密钥`ResetEncryptionKey`对作为 Amazon Inspector 调查结果一部分提取的代码进行加密。 # 传输中加密 AWS 对 AWS 内部系统和其他 AWS 服务之间传输的所有数据进行加密。 AWS Systems Manager 通过受传输层安全 (TLS) 保护的通道从客户拥有的 EC2 实例中收集遥测数据以 AWS 进行评估。发送到 Security Hub CSPM 的 Amazon ECR 和 Lamb AWS da 函数扫描结果使用受 TLS 保护的通道进行加密。有关更多信息，请参阅 [Systems Manager 中的数据保护](https://docs.aws.amazon.com/systems-manager/latest/userguide/data-protection.html)来了解 SSM 如何加密传输中数据。 # 适用于 Amazon Inspector 的 Identity and Access Management AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以通过*身份验证*（登录）和*授权*（具有权限）使用 Amazon Inspector 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。 **Topics** + [受众](#security_iam_audience) + [使用身份进行身份验证](#security_iam_authentication) + [使用策略管理访问](#security_iam_access-manage) + [Amazon Inspector 如何与 IAM 配合使用](security_iam_service-with-iam.md) + [Amazon Inspector 基于身份的策略示例](security_iam_id-based-policy-examples.md) + [AWS Amazon Inspector 的托管政策](security-iam-awsmanpol.md) + [对 Amazon Inspector 使用服务相关角色](using-service-linked-roles.md) + [Amazon Inspector 身份和访问问题排查](security_iam_troubleshoot.md) ## 受众 您的使用方式 AWS Identity and Access Management (IAM) 因您的角色而异： + **服务用户**：如果您无法访问功能，请从管理员处请求权限（请参阅[Amazon Inspector 身份和访问问题排查](security_iam_troubleshoot.md)） + **服务管理员**：确定用户访问权限并提交权限请求（请参阅[Amazon Inspector 如何与 IAM 配合使用](security_iam_service-with-iam.md)） + **IAM 管理员**：编写用于管理访问权限的策略（请参阅[Amazon Inspector 基于身份的策略示例](security_iam_id-based-policy-examples.md)） ## 使用身份进行身份验证 身份验证是您 AWS 使用身份凭证登录的方式。您必须以 IAM 用户身份进行身份验证 AWS 账户根用户，或者通过担任 IAM 角色进行身份验证。 您可以使用来自身份源的证书 AWS IAM Identity Center （例如（IAM Identity Center）、单点登录身份验证或 Google/Facebook 证书，以联合身份登录。有关登录的更多信息，请参阅《AWS 登录 用户指南》**中的[如何登录您的 AWS 账户](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 对于编程访问， AWS 提供 SDK 和 CLI 来对请求进行加密签名。有关更多信息，请参阅*《IAM 用户指南》*中的[适用于 API 请求的AWS 签名版本 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 账户 root 用户 创建时 AWS 账户，首先会有一个名为 AWS 账户 *root 用户的*登录身份，该身份可以完全访问所有资源 AWS 服务 和资源。我们强烈建议不要使用根用户进行日常任务。有关需要根用户凭证的任务，请参阅《IAM 用户指南》**中的[需要根用户凭证的任务](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 联合身份 作为最佳实践，要求人类用户使用与身份提供商的联合身份验证才能 AWS 服务 使用临时证书进行访问。 *联合身份是指*来自您的企业目录、Web 身份提供商的用户 Directory Service ，或者 AWS 服务 使用来自身份源的凭据进行访问的用户。联合身份代入可提供临时凭证的角色。 要集中管理访问权限，建议使用。 AWS IAM Identity Center有关更多信息，请参阅《AWS IAM Identity Center 用户指南》**中的[什么是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 用户和群组 *[IAM 用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*是对某个人员或应用程序具有特定权限的一个身份。建议使用临时凭证，而非具有长期凭证的 IAM 用户。有关更多信息，请参阅 *IAM 用户指南*[中的要求人类用户使用身份提供商的联合身份验证才能 AWS 使用临时证书进行访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)。 [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)指定一组 IAM 用户，便于更轻松地对大量用户进行权限管理。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 用户使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*是具有特定权限的身份，可提供临时凭证。您可以通过[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或调用 AWS CLI 或 AWS API 操作来代入角色。有关更多信息，请参阅《IAM 用户指南》**中的[担任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色对于联合用户访问、临时 IAM 用户权限、跨账户访问、跨服务访问以及在 Amazon EC2 上运行的应用程序非常有用。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用策略管理访问 您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略定义了与身份或资源关联时的权限。 AWS 在委托人提出请求时评估这些政策。大多数策略都以 JSON 文档的 AWS 形式存储在中。有关 JSON 策略文档的更多信息，请参阅*《IAM 用户指南》*中的 [JSON 策略概述](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理员使用策略，通过定义哪个**主体**可以在什么**条件**下对哪些**资源**执行哪些**操作**来指定谁有权访问什么。 默认情况下，用户和角色没有权限。IAM 管理员创建 IAM 策略并将其添加到角色中，然后用户可以担任这些角色。IAM 策略定义权限，与执行操作所用的方法无关。 ### 基于身份的策略 基于身份的策略是您附加到身份（用户、组或角色）的 JSON 权限策略文档。这些策略控制身份可以执行什么操作、对哪些资源执行以及在什么条件下执行。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 基于身份的策略可以是*内联策略*（直接嵌入到单个身份中）或*托管策略*（附加到多个身份的独立策略）。要了解如何在托管策略和内联策略之间进行选择，请参阅*《IAM 用户指南》*中的[在托管策略与内联策略之间进行选择](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 基于资源的策略 基于资源的策略是附加到资源的 JSON 策略文档。示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用 IAM 中的 AWS 托管策略。 ### 其他策略类型 AWS 支持其他策略类型，这些策略类型可以设置更常见的策略类型授予的最大权限： + **权限边界** – 设置基于身份的策略可以授予 IAM 实体的最大权限。有关更多信息，请参阅《 IAM 用户指南》**中的 [IAM 实体的权限边界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服务控制策略 (SCPs)**-在中指定组织或组织单位的最大权限 AWS Organizations。有关更多信息，请参阅《AWS Organizations 用户指南》**中的[服务控制策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **资源控制策略 (RCPs)**-设置账户中资源的最大可用权限。有关更多信息，请参阅《*AWS Organizations 用户指南》*中的[资源控制策略 (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **会话策略** – 在为角色或联合用户创建临时会话时，作为参数传递的高级策略。有关更多信息，请参阅《IAM 用户指南》**中的[会话策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多个策略类型 当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解在涉及多种策略类型时如何 AWS 确定是否允许请求，请参阅 *IAM 用户指南*中的[策略评估逻辑](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # Amazon Inspector 如何与 IAM 配合使用 在使用 IAM 管理对 Amazon Inspector 的访问权限之前，您应该了解哪些 IAM 特征可用于 Amazon Inspector。 **可与 Amazon Inspector 结合使用的 IAM 功能** | IAM 特征 | Amazon Inspector 支持 | | --- | --- | | [基于身份的策略](#security_iam_service-with-iam-id-based-policies) | 是 | | [基于资源的策略](#security_iam_service-with-iam-resource-based-policies) | 否 | | [策略操作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [策略资源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [策略条件键（特定于服务）](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACLs](#security_iam_service-with-iam-acls) | 否 | | [ABAC（策略中的标签）](#security_iam_service-with-iam-tags) | 部分 | | [临时凭证](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [主体权限](#security_iam_service-with-iam-principal-permissions) | 是 | | [服务角色](#security_iam_service-with-iam-roles-service) | 否 | | [服务关联角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 要全面了解 Amazon Inspector 和其他 AWS 服务 功能如何使用大多数 IAM 功能 [AWS 服务 ，请在 IAM 用户指南中查看与](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) *IAM* 配合使用的方法。 ## Amazon Inspector 基于身份的策略 **支持基于身份的策略：**是 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### Amazon Inspector 基于身份的策略示例 要查看 Amazon Inspector 基于身份的策略的示例，请参阅[Amazon Inspector 基于身份的策略示例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 基于资源的策略 **支持基于资源的策略：**否 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。 要启用跨账户访问，您可以将整个账户或其他账户中的 IAM 实体指定为基于资源的策略中的主体。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## Amazon Inspector 的策略操作 **支持策略操作：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。 有关 Amazon Inspector 操作的列表，请参阅《*服务授权参考*》中的 [Amazon Inspector 定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-actions-as-permissions)。 Amazon Inspector 中的策略操作在操作前使用以下前缀： ``` inspector2 ``` 要在单个语句中指定多项操作，请使用逗号将它们隔开。 ``` "Action": [ "inspector2:action1", "inspector2:action2" ] ``` 要查看 Amazon Inspector 基于身份的策略的示例，请参阅[Amazon Inspector 基于身份的策略示例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 的策略资源 **支持策略资源：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。 ``` "Resource": "*" ``` 要查看 Amazon Inspector 资源类型及其列表 ARNs，请参阅《*服务授权参考*》[中的 Amazon Inspector 定义的资源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-resources-for-iam-policies)。要了解您可以在哪些操作中指定每个资源的 ARN，请参阅 [Amazon Inspector 定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-actions-as-permissions)。 要查看 Amazon Inspector 基于身份的策略的示例，请参阅[Amazon Inspector 基于身份的策略示例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 的策略条件键 **支持特定于服务的策略条件键：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 要查看 Amazon Inspector 条件键的列表，请参阅《*服务授权参考*》中的 [Amazon Inspector 的条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-policy-keys)。要了解您可以对哪些操作和资源使用条件键，请参阅 [Amazon Inspector 定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-actions-as-permissions)。 要查看 Amazon Inspector 基于身份的策略的示例，请参阅[Amazon Inspector 基于身份的策略示例](security_iam_id-based-policy-examples.md)。 ## ACLs 在亚马逊 Inspector 中 **支持 ACLs：**否 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 ## ABAC 与 Amazon Inspector **支持 ABAC（策略中的标签）：**部分支持 基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 AWS 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。 要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name``aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。 如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。 有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 将临时凭证用于 Amazon Inspector **支持临时凭证：**是 临时证书提供对 AWS 资源的短期访问权限，并且是在您使用联合身份或切换角色时自动创建的。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) ## Amazon Inspector 的跨服务主体权限 **支持转发访问会话（FAS）：**是 转发访问会话 (FAS) 使用调用主体的权限 AWS 服务，再加上 AWS 服务 向下游服务发出请求的请求。有关发出 FAS 请求时的策略详情，请参阅[转发访问会话](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## Amazon Inspector 的服务角色 **支持服务角色：**否 服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 更改服务角色的权限可能会破坏 Amazon Inspector 的功能。仅当 Amazon Inspector 提供相关指导时才编辑服务角色。 ## Amazon Inspector 的服务相关角色 **支持服务关联角色：**是 服务相关角色是一种与服务相关联的 AWS 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。 有关创建或管理服务相关角色的详细信息，请参阅[使用 IAM 的AWS 服务 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在表中查找**服务相关角色**列中包含 `Yes` 额表。选择**是**链接以查看该服务的服务相关角色文档。 # Amazon Inspector 基于身份的策略示例 默认情况下，用户和角色没有创建或修改 Amazon Inspector 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。 要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 有关 Amazon Inspector 定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《*服务授权参考*》[中的 Amazon Inspector 的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html)。 ARNs **Topics** + [策略最佳实践](#security_iam_service-with-iam-policy-best-practices) + [使用 Amazon Inspector 控制台](#security_iam_id-based-policy-examples-console) + [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions) + [允许以只读方式访问所有 Amazon Inspector 资源](#security_iam_id-based-policy-examples-read-only) + [允许完全访问所有 Amazon Inspector 资源](#security_iam_id-based-policy-examples-full-access) ## 策略最佳实践 基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 Amazon Inspector 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 Amazon Inspector 控制台 要访问 Amazon Inspector 控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 AWS 账户中的 Amazon Inspector 资源的详细信息。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。 对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。 为确保用户和角色仍然可以使用 Amazon Inspector 控制台，还需要将亚马逊检查器`ConsoleAccess`或`ReadOnly` AWS 托管策略附加到这些实体。有关更多信息，请参阅《*IAM 用户指南*》中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ## 允许用户查看他们自己的权限 该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 允许以只读方式访问所有 Amazon Inspector 资源 以下示例展示了一个策略，该策略允许以只读方式访问所有 Amazon Inspector 资源。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "inspector2:Describe*", "inspector2:Get*", "inspector2:BatchGet*", "inspector2:List*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" } ] } ``` ------ ## 允许完全访问所有 Amazon Inspector 资源 以下示例展示了一个策略，该策略允许完全访问所有 Amazon Inspector 资源。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "inspector2:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "inspector2.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" } ] } ``` ------ # AWS Amazon Inspector 的托管政策 AWS 托管策略是由创建和管理的独立策略 AWS。 AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。 请记住， AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于使用案例的[客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)来进一步减少权限。 您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。 AWS 最有可能在启动新的 API 或现有服务可以使用新 AWS 服务 的 API 操作时更新 AWS 托管策略。 有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 托管策略：AmazonInspector2FullAccess\$1v2 您可以将 `AmazonInspector2FullAccess_v2` 策略附加到 IAM 身份。 此策略会授予对 Amazon Inspector 的完全访问权限以及对其他相关服务的访问权限。 **权限详细信息** 该策略包含以下权限。 + `inspector2`— 允许完全访问亚马逊 Inspector APIs。 + `codeguru-security` – 便于管理员检索账户的安全扫描结果和配置设置。 + `iam` – 便于 Amazon Inspector 创建服务相关角色 `AWSServiceRoleForAmazonInspector2` 和 `AWSServiceRoleForAmazonInspector2Agentless`。Amazon Inspector 需要 `AWSServiceRoleForAmazonInspector2` 来执行诸如检索有关 Amazon EC2 实例、Amazon ECR 存储库和 Amazon ECR 容器映像的信息等操作。还需要解密使用密钥加密的 Amazon EBS 快照。 AWS KMS 有关更多信息，请参阅 [对 Amazon Inspector 使用服务相关角色](using-service-linked-roles.md)。 + `organizations`— 仅`AllowServicePrincipalBasedAccessToOrganizationApis`允许服务委托人为组织创建服务相关角色 AWS 账户、注册为 AWS 账户 组织的委托管理员以及列出组织中的授权管理员。 `AllowOrganizationalBasedAccessToOrganizationApis`允许保单持有人检索有关组织单位的信息 ARNs，特别是资源级别的信息。 `AllowAccountsBasedAccessToOrganizationApis`允许保单持有人检索有关某人的信息，特别是资源级 ARNs信息。 AWS 账户`AllowAccessToOrganizationApis`允许保单持有人查看与组织和组织 AWS 服务 集成的信息。该政策允许列出 Inspector 组织政策，并按照 Inspector 策略类型进行筛选，查看由管理账户建立的委托资源策略，以及查看应用于账户的有效 Inspector 策略。 **注意** Amazon Inspector 不再使用它 CodeGuru 来执行 Lambda 扫描。 AWS 将于 2025 年 11 月 20 CodeGuru 日停止提供支持。有关更多信息，请参阅[终止对 CodeGuru 安全的支持](https://docs.aws.amazon.com/codeguru/latest/security-ug/end-of-support.html)。Amazon Inspector 现在使用 Amazon Q 执行 Lambda 扫描，不需要本节中描述的权限。 要查看此策略的权限，请参阅《*AWS 托管策略参考*指南》中的 [AmazonInspectorFullAccess2 \$1v2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2FullAccess_v2.html)。 ## AWS 托管策略：AWSInspector2OrganizationsAccess 您可以将 `AWSInspector2OrganizationsAccess` 策略附加到 IAM 身份。 该策略授予管理权限，以启用和管理 Amazon Inspector 中的组织 AWS Organizations。该策略的权限允许组织管理账户为 Amazon Inspector 指定委托管理员账户。它们还允许委派管理员账户将组织账户启用为成员账户。 此策略仅为提供权限 AWS Organizations。组织管理账户和委派管理员账户也需要关联操作的权限。这些权限可以使用 `AmazonInspector2FullAccess_v2` 管理策略来授予。 **权限详细信息** 该策略包含以下权限。 + `organizations:ListAccounts`：允许主体检索属于某个组织的账户列表。 + `organizations:DescribeOrganization`：允许主体检索有关组织的信息。 + `organizations:ListRoots`：允许主体列出组织的根。 + `organizations:ListDelegatedAdministrators`：允许主体列出组织的委派管理员。 + `organizations:ListAWSServiceAccessForOrganization`— 允许委托人列出组织使用 AWS 服务 的。 + `organizations:ListOrganizationalUnitsForParent`：允许主体列出父组织单元（OU）的子 OU。 + `organizations:ListAccountsForParent`：允许主体列出父 OU 的子账户。 + `organizations:ListParents`— 列出作为指定子组织单位或账户的直系父级的根单位或组织单位 (OUs)。 + `organizations:DescribeAccount` – 让委托人可以检索有关企业中某个账户的信息。 + `organizations:DescribeOrganizationalUnit`：允许主体检索有关组织中某个 OU 的信息。 + `organizations:ListPolicies` – 检索指定类型的组织中所有策略的列表。 + `organizations:ListPoliciesForTarget` – 列出直接附加到指定的目标根、组织单元（OU）或账户的策略。 + `organizations:ListTargetsForPolicy`— 列出指定策略所关联的所有根目录、组织单位 (OUs) 和帐户。 + `organizations:DescribeResourcePolicy`— 检索有关资源策略的信息。 + `organizations:EnableAWSServiceAccess` – 允许主体启用与 Organions 的集成。 + `organizations:RegisterDelegatedAdministrator` – 允许主体指定委派管理员账户。 + `organizations:DeregisterDelegatedAdministrator` – 允许主体移除委派管理员账户。 + `organizations:DescribePolicy` – 检索有关策略的信息。 + `organizations:DescribeEffectivePolicy` – 返回指定的策略类型和账户的有效策略的内容。 + `organizations:CreatePolicy`— 创建指定类型的策略，您可以将其附加到根目录、组织单位 (OU) 或个人 AWS 账户。 + `organizations:UpdatePolicy` – 使用新的名称、描述或内容更新现有策略。 + `organizations:DeletePolicy` – 从您的组织中删除指定的策略。 + `organizations:AttachPolicy` – 将策略附加到根、组织单元（OU）或单个账户。 + `organizations:DetachPolicy` – 将策略从目标根、组织单元（OU）或账户分离。 + `organizations:EnablePolicyType` – 在根中启用一种策略类型。 + `organizations:DisablePolicyType` – 在根中禁用一种组织策略类型。 + `organizations:TagResource` – 将一个或多个标签添加到指定的资源。 + `organizations:UntagResource` – 从指定的资源中移除具有指定密钥的任何标签。 + `organizations:ListTagsForResource` – 列出附加到指定资源的标签。 要查看此策略的权限，请参阅《AWS 托管式策略参考》**中的 [AWSInspector2OrganizationsAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSInspector2OrganizationsAccess.html)。 ## AWS 托管策略：AmazonInspector2FullAccess 您可以将 `AmazonInspector2FullAccess` 策略附加到 IAM 身份。 此策略授予允许完全访问 Amazon Inspector 的权限。 **重要** 为了增强安全性并限制对 Inspector 2 服务主体的权限，我们建议您使用 [AmazonInspector2 FullAccess \$1v2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2FullAccess_v2.html)。 **权限详细信息** 该策略包含以下权限。 + `inspector2` – 允许完全访问 Amazon Inspector 功能。 + `iam` – 支持 Amazon Inspector 创建服务相关角色 `AWSServiceRoleForAmazonInspector2` 和 `AWSServiceRoleForAmazonInspector2Agentless`。Amazon Inspector 如果要执行检索 Amazon EC2 实例、Amazon ECR 存储库和容器映像的相关信息等操作，则需要 `AWSServiceRoleForAmazonInspector2`。此外，Amazon Inspector 如果要分析您的 VPC 网络并描述与您的组织关联的账户，也需要它。如果 Amazon Inspector 要执行检索 Amazon EC2 实例和 Amazon EBS 快照的相关信息等操作，则需要 `AWSServiceRoleForAmazonInspector2Agentless`。还需要解密使用密钥加密的 Amazon EBS 快照。 AWS KMS 有关更多信息，请参阅 [对 Amazon Inspector 使用服务相关角色](using-service-linked-roles.md)。 + `organizations` — 允许管理员将 Amazon Inspector 用于 AWS Organizations中的组织。当您在中[激活 Amazon Inspector 的可信访问](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_integrate_services.html)权限时 AWS Organizations，委托管理员账户的成员可以管理其组织中的设置并查看调查结果。 + `codeguru-security`— 允许管理员使用 Amazon Inspector 检索信息代码片段并更改 CodeGuru 安全部门存储的代码的加密设置。有关更多信息，请参阅 [对调查发现中的代码进行静态加密](encryption-rest.md#encryption-code-snippets)。 要查看此策略的权限，请参阅《*AWS 托管策略参考指南》FullAccess*中的 [AmazonInspector2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2FullAccess.html)。 ## AWS 托管策略：AmazonInspector2ReadOnlyAccess 您可以将 `AmazonInspector2ReadOnlyAccess` 策略附加到 IAM 身份。 此策略授予允许对 Amazon Inspector 进行只读访问的权限。 **权限详细信息** 该策略包含以下权限。 + `inspector2` – 允许以只读方式访问 Amazon Inspector 功能。 + `organizations`— 允许查看有关组织的 Amazon Inspector 覆盖范围 AWS Organizations 的详细信息。此外，还允许通过按 Inspector 策略类型`ListPolicies`进行筛选、通过查看委托资源策略以及通过`DescribeResourcePolicy`查看应用于账户的有效 Inspector 策略来查看 Inspector 组织政策`DescribeEffectivePolicy`。这使用户能够了解通过组织策略建立的集中式检查员支持，而无需对其进行修改。 + `codeguru-security`— 允许从 “ CodeGuru 安全” 中检索代码片段。还允许查看存储在 “ CodeGuru 安全” 中的代码的加密设置。 要查看此策略的权限，请参阅《*AWS 托管策略参考指南》ReadOnlyAccess*中的 [AmazonInspector2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ReadOnlyAccess.html)。 ## AWS 托管策略：AmazonInspector2ManagedCisPolicy 可以将 `AmazonInspector2ManagedCisPolicy` 策略附加到您的 IAM 实体。此策略应附加到向 Amazon EC2 实例授予权限以对实例运行 CIS 扫描的角色。您可以使用 IAM 角色管理在 EC2 实例上运行并发出 AWS CLI 或 AWS API 请求的应用程序的临时证书。这优先于在 EC2 实例中存储访问密钥。要向 EC2 实例分配 AWS 角色并使其可供其所有应用程序使用，您需要创建附加到该实例的实例配置文件。实例配置文件包含角色，并使 EC2 实例上运行的程序能够获得临时凭证。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM 角色向在 Amazon EC2 实例上运行的应用程序授予权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)。 **权限详细信息** 该策略包含以下权限。 + `inspector2` - 支持访问用于运行 CIS 扫描的操作。 要查看此策略的权限，请参阅《*AWS 托管策略参考指南》ManagedCisPolicy*中的 [AmazonInspector2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ManagedCisPolicy.html)。 ## AWS 托管策略：AmazonInspector2ServiceRolePolicy 无法将 `AmazonInspector2ServiceRolePolicy` 策略附加到 IAM 实体。将此策略附加到允许 Amazon Inspector 代表您执行操作的服务相关角色。有关更多信息，请参阅 [对 Amazon Inspector 使用服务相关角色](using-service-linked-roles.md)。 ## AWS 托管策略：AmazonInspector2AgentlessServiceRolePolicy 无法将 `AmazonInspector2AgentlessServiceRolePolicy` 策略附加到 IAM 实体。将此策略附加到允许 Amazon Inspector 代表您执行操作的服务相关角色。有关更多信息，请参阅 [对 Amazon Inspector 使用服务相关角色](using-service-linked-roles.md)。 ## AWS 托管策略：AmazonInspector2ManagedTelemetryPolicy 可以将 `AmazonInspector2ManagedTelemetryPolicy` 策略附加到您的 IAM 实体。该政策授予 Amazon Inspector 遥测操作的权限，允许该服务收集和传输包裹库存数据以进行漏洞扫描。 **权限详细信息** 该策略包含以下权限。 + `inspector2-telemetry`— 允许访问包裹库存数据传输的操作。 要查看有关策略的更多详细信息，包括最新版本的 JSON 策略文档，请参阅《*AWS 托管策略参考指南》ManagedTelemetryPolicy*中的 [AmazonInspector2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ManagedTelemetryPolicy.html)。 ## Amazon Inspector 更新 AWS 了托管政策 查看自该服务开始跟踪这些更改以来对 Amazon Inspector AWS 托管政策的更新的详细信息。要获得有关此页面更改的自动提醒，请订阅 Amazon Inspector [文档历史记录](doc-history.md)页面上的 RSS 源。 | 更改 | 描述 | 日期 | | --- | --- | --- | | [AWSInspector2OrganizationsAccess](#security-iam-awsmanpol-AWSInspector2OrganizationsAccess) - 新策略 | Amazon Inspector 添加了一项新的托管策略，该策略授予通过 AWS Organizations 策略启用和管理亚马逊 Inspector 所需的权限。 | 2026 年 3 月 3 日 | | [AmazonInspector2 ManagedTelemetryPolicy](#security-iam-awsmanpol-AmazonInspector2ManagedTelemetryPolicy) — 新政策 | Amazon Inspector 添加了一项新的托管策略，该策略授予对 Amazon Inspector 遥测操作的权限，允许该服务收集和传输包裹库存数据以进行漏洞扫描。 | 2026 年 2 月 5 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/slr-permissions.html) — 对现有政策的更新 | Amazon Inspector 添加了一项新权限，允许亚马逊 Inspector 描述用于网络可访问性分析的防火墙元数据。此外，Amazon Inspector 还添加了额外的资源范围界定，以允许 Amazon Inspector 创建、更新和启动与 SSM 文档的 SSM 关联。`AWS-ConfigureAWSPackage` | 2026 年 2 月 3 日 | | [AmazonInspector2 FullAccess \$1v2 和 [AmazonInspector2 ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess)](#security-iam-awsmanpol-AmazonInspector2FullAccessV2) — 对现有策略的更新 | Amazon Inspector 增加了新的权限，允许保单持有人查看 Inspector 组织策略和委托配置。这支持通过 AWS Organizations 策略对 Inspector 的启用进行集中管理和可见性。 | 2025 年 11 月 14 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/slr-permissions.html) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许亚马逊 Inspector AWS Organizations 策略强制启用和禁用 Amazon Inspector。 | 2025 年 11 月 10 日 | | [AmazonInspector2 FullAccess \$1v2 — 新](#security-iam-awsmanpol-AmazonInspector2FullAccessV2)政策 | Amazon Inspector 已增加了一个新的托管式策略，提供对 Amazon Inspector 的完全访问权限以及对其他相关服务的访问权限。 | 2025 年 7 月 3 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 已增加了一个新权限，允许 Amazon Inspector 描述 IP 地址和互联网网关。 | 2025 年 4 月 29 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 已增加了一个新权限，允许对 Amazon ECS 和 Amazon EKS 操作进行只读访问。 | 2025 年 3 月 25 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，让 Amazon Inspector 可以在 AWS Lambda中返回函数标签。 | 2024 年 7 月 31 日 | | [AmazonInspector2 FullAccess](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2FullAccess) — 对现有政策的更新 | Amazon Inspector 增加了相应的权限，让 Amazon Inspector 可以创建服务相关角色 `AWSServiceRoleForAmazonInspector2Agentless`，从而让用户可以在启用 Amazon Inspector 时执行[基于代理的扫描](https://docs.aws.amazon.com/inspector/latest/user/scanning-ec2.html#agent-based)和[无代理扫描](https://docs.aws.amazon.com/inspector/latest/user/scanning-ec2.html#agentless)。 | 2024 年 4 月 24 日 | | [AmazonInspector2 ManagedCisPolicy](#security-iam-awsmanpol-AmazonInspector2ManagedCisPolicy) — 新政策 | Amazon Inspector 增加了一个新的托管式策略，您可以将其用作实例配置文件的一部分，以便对实例进行 CIS 扫描。 | 2024 年 1 月 23 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，让 Amazon Inspector 可以在目标实例上启动 CIS 扫描。 | 2024 年 1 月 23 日 | | [AmazonInspector2 AgentlessServiceRolePolicy](using-service-linked-roles.md) — 新政策 | Amazon Inspector 添加了一项新的服务相关角色策略，以允许对 EC2 实例进行无代理扫描。 | 2023 年 11 月 27 日 | | [AmazonInspector2 ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许只读用户检索程序包漏洞调查发现的漏洞情报详细信息。 | 2023 年 9 月 22 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许 Amazon Inspector 扫描属于 Elastic Load Balancing 目标组的 Amazon EC2 实例的网络配置。 | 2023 年 8 月 31 日 | | [AmazonInspector2 ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许只读用户为其资源导出软件材料清单 (SBOM)。 | 2023 年 6 月 29 日 | | [AmazonInspector2 ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许只读用户检索其账户的 Lambda 代码扫描结果的加密设置详情。 | 2023 年 6 月 13 日 | | [AmazonInspector2 FullAccess](#security-iam-awsmanpol-AmazonInspector2FullAccess) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许用户配置客户托管的 KMS 密钥，来加密 Lambda 代码扫描结果中的代码。 | 2023 年 6 月 13 日 | | [AmazonInspector2 ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许只读用户检索其账户的 Lambda 代码扫描状态和结果的详细信息。 | 2023 年 5 月 2 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 添加了新的权限，允许亚马逊检查员在您激活 Lambda 扫描时在您的账户中创建 AWS CloudTrail 与服务相关的渠道。这样，Amazon Inspector 就可以监控您账户中的 CloudTrail 事件。 | 2023 年 4 月 30 日 | | [AmazonInspector2 FullAccess](#security-iam-awsmanpol-AmazonInspector2FullAccess) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许用户检索 Lambda 代码扫描漏洞调查发现的详细信息。 | 2023 年 4 月 21 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，让 Amazon Inspector 可以向 Amazon EC2 Systems Manager 发送有关客户为 Amazon EC2 深度检查定义的自定义路径的信息。 | 2023 年 4 月 17 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 添加了新的权限，允许亚马逊检查员在您激活 Lambda 扫描时在您的账户中创建 AWS CloudTrail 与服务相关的渠道。这样，Amazon Inspector 就可以监控您账户中的 CloudTrail 事件。 | 2023 年 4 月 30 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 增加了新的权限，允许亚马逊 Inspector 请求扫描 AWS Lambda 函数中的开发者代码，并从亚马逊 CodeGuru 安全部门接收扫描数据。此外，Amazon Inspector 还增加了审查 IAM policy 的权限。Amazon Inspector 使用这些信息扫描 Lambda 函数中是否存在代码脆弱性。 | 2023 年 2 月 28 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 添加了一条新语句，允许 Amazon Inspector 检索 CloudWatch 有关上次调用 AWS Lambda 函数的时间的信息。Amazon Inspector 使用这些信息将扫描重点放在您环境中过去 90 天内处于活动状态的 Lambda 函数上。 | 2023 年 2 月 20 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 添加了一个新声明，允许亚马逊 Inspector 检索有关 AWS Lambda 函数的信息，包括与每个函数关联的每个层版本。Amazon Inspector 使用这些信息扫描 Lambda 函数中是否存在安全漏洞。 | 2022 年 11 月 28 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 增加了一项新操作，允许 Amazon Inspector 描述 SSM 关联的执行情况。此外，Amazon Inspector 还增加了额外的资源范围，允许 Amazon Inspector 使用 `AmazonInspector2` 拥有的 SSM 文档创建、更新、删除和启动 SSM 关联。 | 2022 年 8 月 31 日 | | [AmazonInspector2](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) 对现有政策的ServiceRolePolicy更新 | Amazon Inspector 更新了政策的资源范围，允许亚马逊 Inspector 收集其他 AWS 分区中的软件库存。 | 2022 年 8 月 12 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 对现有政策的更新 | Amazon Inspector 重组了操作的资源范围，允许 Amazon Inspector 创建、删除和更新 SSM 关联。 | 2022 年 8 月 10 日 | | [AmazonInspector2 ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) — 新政策 | Amazon Inspector 增加了一项新策略，允许以只读方式访问 Amazon Inspector 功能。 | 2022 年 1 月 21 日 | | [AmazonInspector2 FullAccess](#security-iam-awsmanpol-AmazonInspector2FullAccess) — 新政策 | Amazon Inspector 增加了一项新策略，允许完全访问 Amazon Inspector 功能。 | 2021 年 11 月 29 日 | | [AmazonInspector2 ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) — 新政策 | Amazon Inspector 增加了一项新策略，允许 Amazon Inspector 代表您在其他服务中执行操作。 | 2021 年 11 月 29 日 | | Amazon Inspector 开始跟踪更改 | Amazon Inspector 开始跟踪其 AWS 托管政策的变更。 | 2021 年 11 月 29 日 | # 对 Amazon Inspector 使用服务相关角色 Amazon Inspector 使用名`AWSServiceRoleForAmazonInspector2`为的 AWS Identity and Access Management (IAM) [服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。此服务相关角色是与 Amazon Inspector 直接相关的 IAM 角色。它由 Amazon Inspector 预定义，它包括亚马逊检查员 AWS 服务 代表您致电他人所需的所有权限。 服务相关角色可让您更轻松地设置 Amazon Inspector，因为您不必手动添加必要的权限。Amazon Inspector 定义其服务相关角色的权限，除非另外定义，否则只有 Amazon Inspector 可以代入该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。 必须配置权限，允许 IAM 实体（如组或角色）创建、编辑或删除服务相关角色。有关更多信息，请参阅《*IAM 用户指南*》中的[服务相关角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。只有在首先删除服务相关角色的相关资源后，才能删除该角色。这将保护您的 Amazon Inspector 资源，因为您不会无意中删除对资源的访问权限。 有关支持服务相关角色的其他服务的信息，请参阅与 [IAM 配合使用的AWS 服务，](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并在**服务相关角色**列中查找标有 “**是**” 的服务。选择带有链接的**是**可以查看该服务的服务相关角色文档。 # Amazon Inspector 的服务相关角色权限 Amazon Inspector 使用名为 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ServiceRolePolicy.html) 的托管式策略。该服务相关角色信任 `inspector2.amazonaws.com` 服务担任该角色。 该角色的权限策略名为 [https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy)，允许 Amazon Inspector 执行以下任务： + 使用 Amazon Elastic Compute Cloud (Amazon EC2) 操作检索有关实例和网络路径的信息。 + 使用 AWS Systems Manager 操作从您的 Amazon EC2 实例中检索库存，并从自定义路径中检索有关第三方包裹的信息。 + 使用 AWS Systems Manager `SendCommand`操作调用目标实例的 CIS 扫描。 + 使用 Amazon Elastic Container Registry 操作检索有关您的容器映像的信息。 + 使用 AWS Lambda 操作来检索有关您的 Lambda 函数的信息。 + 使用 AWS Organizations 操作来描述关联的账户。 + 使用 CloudWatch 操作来检索有关上次调用 Lambda 函数的时间的信息。 + 使用“选择 IAM”操作检索可能在您的 Lambda 代码中造成安全漏洞的 IAM policy 的相关信息。 + 使用 Amazon Q 操作对您的 Lambda 函数中的代码执行扫描。Amazon Inspector 使用以下 Amazon Q 操作： + codeguru-security: CreateScan — 授予创建 Amazon Q; 扫描的权限。 + codeguru-security：GetScan — 授予检索 Amazon Q 扫描元数据的权限。 + codeguru-security：ListFindings — 授予检索 Amazon Q 生成的调查结果的权限 + codeguru-security：DeleteScansByCategory — 授予 Amazon Q 删除由 Amazon Inspector 启动的扫描的权限。 + codeguru-security：BatchGetFindings — 授予检索 Amazon Q 生成的一批特定调查结果的权限 + 使用“选择 Elastic Load Balancing”操作对属于 Elastic Load Balancing 目标组的 EC2 实例执行网络扫描。 + 使用 Amazon ECS 和 Amazon EKS 操作允许进行只读访问，以查看集群和任务并描述任务。 + 使用 AWS Organizations 操作列出跨组织的 Amazon Inspector 的委托管理员。 + 使用 Amazon Inspector 操作可跨组织启用和禁用 Amazon Inspector。 + 使用 Amazon Inspector 操作可跨组织指定委派管理员账户并关联成员账户。 **注意** Amazon Inspector 不再使用它 CodeGuru 来执行 Lambda 扫描。 AWS 将于 2025 年 11 月 20 CodeGuru 日停止提供支持。有关更多信息，请参阅[终止对 CodeGuru 安全的支持](https://docs.aws.amazon.com/codeguru/latest/security-ug/end-of-support.html)。Amazon Inspector 现在使用 Amazon Q 执行 Lambda 扫描，不需要本节中描述的权限。 要查看此策略的权限，请参阅《*AWS 托管策略参考指南》ServiceRolePolicy*中的 [AmazonInspector2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ServiceRolePolicy.html)。 ## 为 Amazon Inspector 创建服务相关角色 您无需手动创建服务关联角色。当你在 AWS 管理控制台、或 AWS API 中激活 Amazon Inspector 时，Amazon Inspector 会为你创建与服务相关的角色。 AWS CLI ## 为 Amazon Inspector 编辑服务相关角色 Amazon Inspector 不允许编辑 `AWSServiceRoleForAmazonInspector2` 服务相关角色。在创建服务相关角色后，您无法更改角色的名称，因为可能有多个实体会引用该角色。但是可以使用 IAM 编辑角色说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 删除适用于 Amazon Inspector 的服务相关角色 如果您不再使用 Amazon Inspector，我们建议您删除 `AWSServiceRoleForAmazonInspector2` 服务相关角色。在删除角色之前，您必须在每个激活该角色 AWS 区域 的地方停用 Amazon Inspector。停用 Amazon Inspector 时，它不会为您删除该角色。因此，如果您再次激活 Amazon Inspector，它可以使用现有角色。这样，您就可以避免出现未监控或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。 如果删除此服务相关角色然后需要再次创建它，则可以使用相同的流程在您的账户中重新创建此角色。激活 Amazon Inspector 时，Amazon Inspector 会为您重新创建服务相关角色。 **注意** 如果在您试图删除资源时，Amazon Inspector 服务正在使用该角色，则删除操作可能会失败。如果发生这种情况，请等待几分钟，然后再次尝试操作。 您可以使用 IAM 控制台 AWS CLI、或 AWS API 删除`AWSServiceRoleForAmazonInspector2`服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 # Amazon Inspector 无代理扫描的服务相关角色权限 Amazon Inspector 无代理扫描使用名为 `AWSServiceRoleForAmazonInspector2Agentless` 的服务相关角色。这个 SLR 允许 Amazon Inspector 在您的账户中创建 Amazon EBS 卷快照，然后访问该快照中的数据。该服务相关角色信任 `agentless.inspector2.amazonaws.com` 服务担任该角色。 **重要** 此服务相关角色中的语句会阻止 Amazon Inspector 对您使用 `InspectorEc2Exclusion` 标签从扫描中排除的任何 EC2 实例执行无代理扫描。此外，当用于加密卷的 KMS 密钥带有 `InspectorEc2Exclusion` 标签时，这些语句会阻止 Amazon Inspector 访问相应卷中的加密数据。有关更多信息，请参阅 [从 Amazon Inspector 扫描中排除实例](scanning-ec2.md#exclude-ec2)。 该角色的权限策略名为 `AmazonInspector2AgentlessServiceRolePolicy`，允许 Amazon Inspector 执行以下任务： + 使用 Amazon Elastic Compute Cloud（Amazon EC2）操作检索有关 EC2 实例、卷和快照的信息。 + 使用 Amazon EC2 标记操作，用 `InspectorScan` 标签键为扫描的快照添加标签。 + 使用 Amazon EC2 快照操作创建快照，用 `InspectorScan` 标签键为其添加标签，然后删除 Amazon EBS 卷带有 `InspectorScan` 标签键的快照。 + 使用 Amazon EBS 操作，从带有 `InspectorScan` 标签键的快照中检索信息。 + 使用选择 AWS KMS 解密操作来解密使用客户托管密钥加密的 AWS KMS 快照。当用于加密快照的 KMS 密钥带有 `InspectorEc2Exclusion` 标签时，Amazon Inspector 不会解密相应快照。 该角色使用以下权限策略进行配置： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "InstanceIdentification", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeVolumes", "ec2:DescribeSnapshots" ], "Resource": "*" }, { "Sid": "GetSnapshotData", "Effect": "Allow", "Action": [ "ebs:ListSnapshotBlocks", "ebs:GetSnapshotBlock" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "aws:ResourceTag/InspectorScan": "*" } } }, { "Sid": "CreateSnapshotsAnyInstanceOrVolume", "Effect": "Allow", "Action": "ec2:CreateSnapshots", "Resource": [ "arn:aws:ec2:*:*:instance/*", "arn:aws:ec2:*:*:volume/*" ] }, { "Sid": "DenyCreateSnapshotsOnExcludedInstances", "Effect": "Deny", "Action": "ec2:CreateSnapshots", "Resource": "arn:aws:ec2:*:*:instance/*", "Condition": { "StringEquals": { "ec2:ResourceTag/InspectorEc2Exclusion": "true" } } }, { "Sid": "CreateSnapshotsOnAnySnapshotOnlyWithTag", "Effect": "Allow", "Action": "ec2:CreateSnapshots", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "Null": { "aws:TagKeys": "false" }, "ForAllValues:StringEquals": { "aws:TagKeys": "InspectorScan" } } }, { "Sid": "CreateOnlyInspectorScanTagOnlyUsingCreateSnapshots", "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:CreateAction": "CreateSnapshots" }, "Null": { "aws:TagKeys": "false" }, "ForAllValues:StringEquals": { "aws:TagKeys": "InspectorScan" } } }, { "Sid": "DeleteOnlySnapshotsTaggedForScanning", "Effect": "Allow", "Action": "ec2:DeleteSnapshot", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:ResourceTag/InspectorScan": "*" } } }, { "Sid": "DenyKmsDecryptForExcludedKeys", "Effect": "Deny", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceTag/InspectorEc2Exclusion": "true" } } }, { "Sid": "DecryptSnapshotBlocksVolContext", "Effect": "Allow", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" }, "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com", "kms:EncryptionContext:aws:ebs:id": "vol-*" } } }, { "Sid": "DecryptSnapshotBlocksSnapContext", "Effect": "Allow", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" }, "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com", "kms:EncryptionContext:aws:ebs:id": "snap-*" } } }, { "Sid": "DescribeKeysForEbsOperations", "Effect": "Allow", "Action": "kms:DescribeKey", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" }, "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com" } } }, { "Sid": "ListKeyResourceTags", "Effect": "Allow", "Action": "kms:ListResourceTags", "Resource": "arn:aws:kms:*:*:key/*" } ] } ``` ------ ## 创建用于无代理扫描的服务相关角色 您无需手动创建服务关联角色。当你在 AWS 管理控制台、或 AWS API 中激活 Amazon Inspector 时，Amazon Inspector 会为你创建与服务相关的角色。 AWS CLI ## 编辑用于无代理扫描的服务相关角色 Amazon Inspector 不允许编辑 `AWSServiceRoleForAmazonInspector2Agentless` 服务相关角色。在创建服务相关角色后，您无法更改角色的名称，因为可能有多个实体会引用该角色。但是可以使用 IAM 编辑角色说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 删除用于无代理扫描的服务相关角色 如果不再需要使用某个需要服务相关角色的特征或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。 **重要** 要删除 `AWSServiceRoleForAmazonInspector2Agentless` 角色，您必须在所有支持无代理扫描的区域中将扫描模式设置为基于代理。 **使用 IAM 手动删除服务关联角色** 使用 IAM 控制台 AWS CLI、或 AWS API 删除 AWSService RoleForAmazonInspector 2Agentless 服务相关角色。有关更多信息，请参阅《*IAM 用户指南*》中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 # Amazon Inspector 身份和访问问题排查 您可以使用以下信息，帮助诊断和修复在使用 Amazon Inspector 和 IAM 时可能遇到的常见问题。 **Topics** + [我无权在 Amazon Inspector 中执行操作](#security_iam_troubleshoot-no-permissions) + [我无权执行 iam：PassRole](#security_iam_troubleshoot-passrole) + [我想允许我以外的人访问我的 Amazon Inspector 资源 AWS 账户](#security_iam_troubleshoot-cross-account-access) ## 我无权在 Amazon Inspector 中执行操作 如果您收到错误提示，指明您无权执行某个操作，则必须更新策略以允许执行该操作。 当 `mateojackson` IAM 用户尝试使用控制台查看有关虚构 `my-example-widget` 资源的详细信息，但不拥有虚构 `inspector2:GetWidget` 权限时，会发生以下示例错误。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: inspector2:GetWidget on resource: my-example-widget ``` 在此情况下，必须更新 `mateojackson` 用户的策略，以允许使用 `inspector2:GetWidget` 操作访问 `my-example-widget` 资源。 如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。 ## 我无权执行 iam：PassRole 如果您收到一个错误，指明您无权执行 `iam:PassRole` 操作，则必须更新策略以允许您将角色传递给 Amazon Inspector。 有些 AWS 服务 允许您将现有角色传递给该服务，而不是创建新的服务角色或服务相关角色。为此，您必须具有将角色传递到服务的权限。 当名为 `marymajor` 的 IAM 用户尝试使用控制台在 Amazon Inspector 中执行操作时，会发生以下示例错误。但是，服务必须具有服务角色所授予的权限才可执行此操作。Mary 不具有将角色传递到服务的权限。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在这种情况下，必须更新 Mary 的策略以允许她执行 `iam:PassRole` 操作。 如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。 ## 我想允许我以外的人访问我的 Amazon Inspector 资源 AWS 账户 您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACLs) 的服务，您可以使用这些策略向人们授予访问您的资源的权限。 要了解更多信息，请参阅以下内容： + 要了解 Amazon Inspector 是否支持这些功能，请参阅[Amazon Inspector 如何与 IAM 配合使用](security_iam_service-with-iam.md)。 + 要了解如何提供对您拥有的资源的访问权限 AWS 账户 ，请参阅 [IAM 用户*指南中的向您拥有 AWS 账户 的另一个 IAM 用户*提供访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)权限。 + 要了解如何向第三方提供对您的资源的访问[权限 AWS 账户，请参阅 *IAM 用户指南*中的向第三方提供](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)访问权限。 AWS 账户 + 要了解如何通过身份联合验证提供访问权限，请参阅《IAM 用户指南》**中的[为经过外部身份验证的用户（身份联合验证）提供访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 监控 Amazon Inspector 监控是维护 Amazon Inspector 和其他 AWS 解决方案的可用性、可靠性和性能的重要组成部分。 AWS 提供了用于监控 Amazon Inspector、报告出现的问题并采取措施修复这些问题的工具： + [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html) 是一项使用事件将应用程序组件连接在一起的 AWS 服务，使您可以更轻松地构建可扩展的事件驱动型应用程序。 EventBridge 提供来自您的应用程序、 Software-as-a-Service (SaaS) 应用程序以及 AWS 服务和路由的实时数据流，因此您可以监控服务中发生的事件并构建事件驱动的架构。 + [AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)是一项捕获由您或代表您进行的 API 调用和相关事件的 AWS 服务 AWS 账户。 CloudTrail 将日志文件传送到您指定的 Amazon S3 存储桶，这样您就可以识别哪些用户和账户拨打了电话 AWS、发出呼叫的源 IP 地址以及调用的发生时间。 # 使用记录亚马逊 Inspector API 调用 AWS CloudTrail Amazon Inspector 与 AWS CloudTrail一项服务集成，该服务提供了 IAM 用户或角色或 Amazon Inspect AWS 服务 or 中的角色所采取的操作的记录。 CloudTrail 将 Amazon Inspector 的所有 API 调用捕获为事件。捕获调用中包括通过 Amazon Inspector 控制台的调用和对 Amazon Inspector API 操作的调用。如果您创建了跟踪，则可以允许将 CloudTrail 事件持续传输到 Amazon S3 存储桶，包括针对 Amazon Inspector 的事件。如果您不配置跟踪记录，则仍可在 CloudTrail 控制台的 **Event history**（事件历史记录）中查看最新事件。使用收集的信息 CloudTrail，您可以确定： + 向 Amazon Inspector 发出的请求。 + 已从中发出请求的 IP 地址。 + 谁发出了请求。 + 发出请求的时间。 要了解更多信息 CloudTrail，请参阅*[AWS CloudTrail 用户指南](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)*。 ## Amazon Inspector 中的信息 CloudTrail CloudTrail 在您创建账户 AWS 账户 时已在您的账户上启用。当 Amazon Inspector 中发生活动时，该活动会与其他 CloudTrail AWS 服务 事件一起记录在**事件历史**记录中。您可以在中查看、搜索和下载最近发生的事件 AWS 账户。有关更多信息，请参阅[使用事件历史记录查看 CloudTrail 事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。 要持续记录您的事件 AWS 账户，包括 Amazon Inspector 的事件，请创建跟踪。*跟踪*允许 CloudTrail 将日志文件传输到 Amazon S3 存储桶。默认情况下，在控制台中创建跟踪记录时，此跟踪记录应用于所有 AWS 区域。此跟踪记录在 AWS 分区中记录所有区域中的事件，并将日志文件传送至您指定的 Amazon S3 存储桶。此外，您可以配置其他 AWS 服务 ，以进一步分析和处理 CloudTrail 日志中收集的事件数据。有关更多信息，请参阅以下主题： + [创建跟踪记录概述](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html) + [CloudTrail 支持的服务和集成](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html) + [为 CloudTrail 配置 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html) + [接收来自多个账户的 CloudTrail 日志文件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html) + [接收来自多个区域的 CloudTrail 日志文件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) Amazon Inspector 的所有操作都由记录 CloudTrail。Amazon Inspector 可以执行的所有操作都记录在 [Amazon Inspector API 参考](https://docs.aws.amazon.com/inspector/latest/APIReference/)中。例如，对 `CreateFindingsReport`、`ListCoverage` 和 `UpdateOrganizationConfiguration` 操作的调用会在 CloudTrail 日志文件中生成条目。 每个事件或日志条目都包含有关生成请求的人员信息。身份信息有助于您确定以下内容： + 请求是使用根用户凭证还是 IAM 用户凭证发出的。 + 请求是使用角色还是联合用户的临时安全凭证发出的。 + 请求是否由其他 AWS 服务发出。 有关更多信息，请参阅 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。 ## 了解 Amazon Inspector 日志文件条目 跟踪是一种配置，允许将事件作为日志文件传输到您指定的 Amazon S3 存储桶。 CloudTrail 日志文件包含一个或多个日志条目。事件表示来自任何源的单个请求。事件包括有关请求的操作、操作的日期和时间、请求参数等的信息。 CloudTrail 日志文件不是公共 API 调用的有序堆栈跟踪，因此它们不会按任何特定的顺序出现。 ## Amazon Inspector 扫描中的信息 CloudTrail Amazon Inspector Scan 已与集成 CloudTrail。所有 Amazon Inspector Scan API 操作都记录为管理事件。有关亚马逊 Inspector 登录的亚马逊 Inspector Scan API 操作的列表 CloudTrail，请参阅《[亚马逊检查器 API 参考》中的 Amazon Inspector Scan](https://docs.aws.amazon.com/inspector/v2/APIReference/API_Operations_Inspector_Scan.html)。 以下示例显示了演示该`ScanSbom`操作的 CloudTrail 日志条目： ``` { "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "AROA123456789EXAMPLE:akua_mansa", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/akua_mansa", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROA123456789EXAMPLE", "arn": "arn:aws:iam::111122223333:role/Admin", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2023-10-17T15:22:59Z", "mfaAuthenticated": "false" } } }, "eventTime": "2023-10-17T16:02:34Z", "eventSource": "gamma-inspector-scan.amazonaws.com", "eventName": "ScanSbom", "awsRegion": "us-east-1", "sourceIPAddress": "203.0.113.0", "userAgent": "aws-sdk-java/2.20.162 Mac_OS_X/13.5.2 OpenJDK_64-Bit_Server_VM/17.0.8+7-LTS Java/17.0.8 vendor/Amazon.com_Inc. io/sync http/UrlConnection cfg/retry-mode/legacy", "requestParameters": { "sbom": { "specVersion": "1.5", "metadata": { "component": { "name": "debian", "type": "operating-system", "version": "9" } }, "components": [ { "name": "packageOne", "purl": "pkg:deb/debian/packageOne@1.0.0?arch=x86_64&distro=9", "type": "application" } ], "bomFormat": "CycloneDX" } }, "responseElements": null, "requestID": "f041a27f-f33e-4f70-b09b-5fbc5927282a", "eventID": "abc8d1e4-d214-4f07-bc56-8a31be6e36fe", "readOnly": true, "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" } ``` # Amazon Inspector 的合规性验证 要了解是否属于特定合规计划的范围，请参阅AWS 服务 “[按合规计划划分的范围](https://aws.amazon.com/compliance/services-in-scope/)” ”，然后选择您感兴趣的合规计划。 AWS 服务 有关一般信息，请参阅[AWS 合规计划AWS](https://aws.amazon.com/compliance/programs/)。 您可以使用下载第三方审计报告 AWS Artifact。有关更多信息，请参阅中的 “[下载报告” 中的 “ AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您在使用 AWS 服务 时的合规责任取决于您的数据的敏感性、贵公司的合规目标以及适用的法律和法规。有关您在使用时的合规责任的更多信息 AWS 服务，请参阅[AWS 安全文档](https://docs.aws.amazon.com/security/)。 # Amazon Inspector 故障恢复能力 AWS 全球基础设施是围绕 AWS 区域 可用区构建的。 AWS 区域 提供多个物理隔离、隔离的可用区，这些可用区连接到低延迟、高吞吐量和高度冗余的网络。利用可用区，您可以设计和操作在可用区之间无中断地自动实现失效转移的应用程序和数据库。与传统的单个或多个数据中心基础设施相比，可用区具有更高的可用性、容错能力和可扩展性。 # Amazon Inspector 基础设施安全性 作为一项托管服务，Amazon Inspector 受到 AWS 全球网络安全的保护。有关 AWS 安全服务以及如何 AWS 保护基础设施的信息，请参阅[AWS 云安全](https://aws.amazon.com/security/)。要使用基础设施安全的最佳实践来设计您的 AWS 环境，请参阅 S * AWS ecurity Pillar Well-Architected Fram* ework 中的[基础设施保护](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 已发布的 API 调用通过网络访问 Amazon Inspector。客户端必须支持以下内容： + 传输层安全性协议（TLS）。我们要求使用 TLS 1.2，建议使用 TLS 1.3。 + 具有完全向前保密（PFS）的密码套件，例如 DHE（临时 Diffie-Hellman）或 ECDHE（临时椭圆曲线 Diffie-Hellman）。大多数现代系统（如 Java 7 及更高版本）都支持这些模式。 # Amazon Inspector 中的事件响应 AWS非常重视安全性。正如 “云安全” 下的[AWS 分担责任模型](https://aws.amazon.com/compliance/shared-responsibility-model)中所述 AWS ，负责保护在云中运行所有服务的基础架构。 AWS AWS 还负责与 Amazon Inspector 服务相关的任何事件响应。 作为 AWS 客户，您有责任维护 AWS 云端的安全。这意味着您可以控制您选择实施的安全性，其中包括您访问的所有 AWS 工具和功能。这也意味着，您还需要负责您在责任共担模式中的事件响应部分。 通过为在 AWS 云端运行的应用程序建立满足所有目标的安全基准，您可以检测出可以响应的偏差。由于事件响应是一个复杂的主题，因此请查看以下资源，来更好地了解事件响应的影响以及您的选择对企业目标有怎样的影响：[AWS Security Incident Response Guide](https://docs.aws.amazon.com/whitepapers/latest/aws-security-incident-response-guide/welcome.html)、[AWS Security Best Practices](https://aws.amazon.com/architecture/security-identity-compliance/?cards-all.sort-by=item.additionalFields.sortDate&cards-all.sort-order=desc) 以及 [AWS Cloud Adoption Framework: Security Perspective](https://d1.awsstatic.com/whitepapers/AWS_CAF_Security_Perspective.pdf)。 # 使用接口端点（AWS PrivateLink）访问 Amazon Inspector 您可以使用 AWS PrivateLink 在您的 VPC 和 Amazon Inspector 之间创建私有连接。您可以像在您的 VPC 中一样访问 Amazon Inspector，无需使用互联网网关、NAT 设备、VPN Direct Connect 连接或连接。VPC 中的实例不需要公有 IP 地址即可访问 Amazon Inspector。 您可以通过创建由 AWS PrivateLink提供支持的*接口端点*来建立此私有连接。我们将在您为接口端点启用的每个子网中创建一个端点网络接口。这些是请求者托管式网络接口，用作发往 Amazon Inspector 的流量的入口点。 有关更多信息，请参阅*AWS PrivateLink 指南 AWS PrivateLink*中的[AWS 服务 通过访问](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html)。 ## Amazon Inspector 注意事项 在为 Amazon Inspector 设置接口端点之前，请先查看《AWS PrivateLink 指南》**中的[注意事项](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。 Amazon Inspector 支持通过接口端点调用其所有 API 操作。 Amazon Inspector 不支持 VPC 端点策略。默认情况下，允许通过接口端点对 Amazon Inspector 进行完全访问。或者，也可以将安全组与端点网络接口关联，以控制通过接口端点流向 Amazon Inspector 的流量。 ## 为 Amazon Inspector 创建接口端点 您可以使用亚马逊 VPC 控制台或 AWS Command Line Interface (AWS CLI) 为 Amazon Inspector 创建接口终端节点。有关更多信息，请参阅《AWS PrivateLink 指南》**中的[创建接口端点](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)。 在为 Amazon Inspector 创建接口端点时，请使用以下任一服务名称： ``` com.amazonaws.region.inspector2 ``` ``` com.amazonaws.region.inspector-scan ``` *region*替换为适用的 AWS 区域 代码 AWS 区域。 如果为接口端点启用私有 DNS，则可以使用其默认的区域 DNS 名称向 Amazon Inspector 发出 API 请求，例如美国东部（弗吉尼亚州北部）为 `service-name.us-east-1.amazonaws.com ` 或 `service-name.us-east-1.api.aws.com`。