本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # Amazon Inspector 中的安全性 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為了符合最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性： + **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。在[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們的安全有效性。若要了解適用於 Amazon Inspector 的合規計劃，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 Amazon Inspector 時套用共同責任模型。下列主題說明如何設定 Amazon Inspector 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 Amazon Inspector 資源。 **Topics** + [Amazon Inspector 中的資料保護](data-protection.md) + [Amazon Inspector 的 Identity and Access Management](security-iam.md) + [監控 Amazon Inspector](monitoring-overview.md) + [Amazon Inspector 的合規驗證](inspector-compliance.md) + [Amazon Inspector 中的彈性](disaster-recovery-resiliency.md) + [Amazon Inspector 中的基礎設施安全性](infrastructure-security.md) + [Amazon Inspector 中的事件回應](security-incident-response.md) + [使用介面端點存取 Amazon Inspector (AWS PrivateLink](vpc-interface-endpoints-inspector.md) # Amazon Inspector 中的資料保護 AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 Amazon Inspector 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 Amazon Inspector 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 **Topics** + [靜態加密](encryption-rest.md) + [傳輸中加密](encryption-transit.md) # 靜態加密 根據預設，Amazon Inspector 會使用 AWS 加密解決方案存放靜態資料。Amazon Inspector 會加密資料，如下所示： + 使用 收集的資源庫存 AWS Systems Manager。 + 從 Amazon Elastic Container Registry 映像剖析的資源庫存 + 使用來自 的 AWS 擁有加密金鑰產生安全調查結果 AWS Key Management Service 您無法管理、使用或檢視 AWS 擁有的金鑰。不過，您不需要採取動作或變更程式來保護加密資料的金鑰。如需詳細資訊，請參閱 [AWS 擁有的金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#kms_keys)。 如果您停用 Amazon Inspector，它會永久刪除其為您存放或維護的所有資源，例如收集的庫存和安全性調查結果。 ## 對問題清單中的程式碼進行靜態加密 對於 Amazon Inspector Lambda 程式碼掃描，Amazon Inspector 會與 Amazon Q 合作掃描您的程式碼是否有漏洞。偵測到漏洞時，Amazon Q 會擷取包含漏洞的程式碼片段，並存放該程式碼，直到 Amazon Inspector 請求存取為止。根據預設，Amazon Q 會使用 AWS 擁有的金鑰來加密擷取的程式碼。不過，您可以將 Amazon Inspector 設定為使用自己的客戶受管 AWS KMS 金鑰進行加密。 下列工作流程說明 Amazon Inspector 如何使用您設定的金鑰來加密程式碼： 1. 您可以使用 Amazon Inspector [UpdateEncryptionKey](https://docs.aws.amazon.com/inspector/v2/APIReference/API_UpdateEncryptionKey.html) API 將 AWS KMS 金鑰提供給 Amazon Inspector。 1. Amazon Inspector 會將 AWS KMS 金鑰的相關資訊轉送至 Amazon Q，Amazon Q 會儲存資訊以供日後使用。 1. Amazon Q 透過金鑰政策使用您在 Amazon Inspector 中設定的 KMS 金鑰。 1. Amazon Q 會從金鑰建立加密的資料 AWS KMS 金鑰，並將其存放。此資料金鑰用於加密 Amazon Q 存放的程式碼資料。 1. 當 Amazon Inspector 從程式碼掃描請求資料時，Amazon Q 會使用 KMS 金鑰來解密資料金鑰。當您停用 Lambda 程式碼掃描時，Amazon Q 會刪除相關聯的資料金鑰。 ## 使用客戶受管金鑰進行程式碼加密的許可 對於加密，您必須建立 KMS 金鑰[，](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-overview.html)其中包含允許 Amazon Inspector 和 Amazon Q 執行下列動作的陳述式的政策。 + `kms:Decrypt` + `kms:DescribeKey` + `kms:Encrypt` + `kms:GenerateDataKey` + `kms:GenerateDataKeyWithoutPlainText` **政策聲明** 您可以在建立 KMS 金鑰時使用下列政策陳述式。 **注意** `account-id` 將 取代為您的 12 位數 AWS 帳戶 ID。`Region` 將 取代為您啟用 Amazon Inspector 和 Lambda 程式碼掃描 AWS 區域 的 。`role-ARN` 將 取代為您的 IAM 角色的 Amazon Resource Name。 ``` { "Effect": "Allow", "Principal": { "Service": "q.amazonaws.com" }, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKeyWithoutPlaintext", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "StringLike": { "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id" }, "StringEquals": { "aws:SourceAccount": "account-id" }, "ArnLike": { "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*" } } }, { "Effect": "Allow", "Principal": { "Service": "q.amazonaws.com" }, "Action": "kms:DescribeKey", "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "account-id" }, "ArnLike": { "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*" } } }, { "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKeyWithoutPlaintext", "kms:GenerateDataKey" ], "Principal": { "AWS": "role-ARN" }, "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "inspector2.Region.amazonaws.com" }, "StringLike": { "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id" } } }, { "Effect": "Allow", "Action": [ "kms:DescribeKey" ], "Principal": { "AWS": "role-ARN" }, "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "inspector2.Region.amazonaws.com" } } } ``` 政策陳述式的格式為 JSON。包含 陳述式之後，請檢閱政策以確保語法有效。如果陳述式是政策中的最後一個陳述式，請將逗號放在上一個陳述式的關閉架構之後。如果陳述式是政策中的第一個陳述式或兩個現有陳述式之間，請在陳述式的關閉架構之後加上逗號。 **注意** Amazon Inspector 不再支援[授權](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)來加密從套件擷取的程式碼片段。如果您使用以授予為基礎的政策，您仍然可以存取問題清單。不過，如果您更新或重設 KMS 金鑰或停用 Lambda 程式碼掃描，您將需要使用本節所述的 KMS 金鑰政策。 如果您設定、更新或重設帳戶的加密金鑰，您必須使用 Amazon Inspector 管理員政策，例如 AWS 受管政策`AmazonInspector2FullAccess`。 ## 使用客戶受管金鑰設定加密 若要使用客戶受管金鑰設定帳戶的加密，您必須是具有 中所述許可的 Amazon Inspector 管理員[使用客戶受管金鑰進行程式碼加密的許可](#cmk-permissions)。此外，您將需要與 AWS 問題清單位於相同區域中的 AWS KMS 金鑰，或[多區域金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html)。您可以使用帳戶中現有的對稱金鑰，或使用 AWS 管理主控台或 AWS KMS APIs 建立對稱客戶受管金鑰。如需詳細資訊，請參閱 AWS KMS 《 使用者指南》中的[建立對稱加密 AWS KMS 金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk)。 **注意** 自 2025 年 6 月 13 日起，在程式碼片段加密/解密期間登入 CloudTrail 之 AWS KMS 請求中的服務主體將從「codeguru-reviewer」變更為「q」。 ### 使用 Amazon Inspector API 設定加密 以 Amazon Inspector 管理員身分登入時，設定用於加密 Amazon Inspector API [UpdateEncryptionKey](https://docs.aws.amazon.com/inspector/v2/APIReference/API_UpdateEncryptionKey.html) 操作的金鑰。在 API 請求中，使用 `kmsKeyId` 欄位來指定您要使用的 AWS KMS 金鑰 ARN。針對 `scanType` 輸入 `CODE` ，針對 `resourceType`輸入 `AWS_LAMBDA_FUNCTION`。 您可以使用 [UpdateEncryptionKey](https://docs.aws.amazon.com/inspector/v2/APIReference/API_GetEncryptionKey.html) API 來檢查 Amazon Inspector 用於加密的 AWS KMS 金鑰檢視。 **注意** 如果您在尚未設定客戶受管金鑰`GetEncryptionKey`時嘗試使用 ，操作會傳回`ResourceNotFoundException`錯誤，這表示正在使用 AWS 擁有的金鑰進行加密。 如果您刪除金鑰或變更拒絕存取 Amazon Inspector 或 Amazon Q 的政策，您將無法存取程式碼漏洞問題清單，而且您帳戶的 Lambda 程式碼掃描將會失敗。 您可以使用 `ResetEncryptionKey` 來繼續使用 AWS 擁有的金鑰來加密擷取為 Amazon Inspector 調查結果一部分的程式碼。 # 傳輸中加密 AWS 會加密 AWS 內部系統與其他 AWS 服務之間傳輸中的所有資料。 會從客戶擁有的 EC2 執行個體 AWS Systems Manager 收集遙測資料，並透過 AWS Transport Layer Security (TLS) 保護的頻道傳送至 進行評估。傳送至 Security Hub CSPM 的 Amazon ECR 和 AWS Lambda 函數掃描問題清單會使用 TLS 保護的頻道加密。如需詳細資訊，請參閱 [Systems Manager 中的資料保護](https://docs.aws.amazon.com/systems-manager/latest/userguide/data-protection.html)，以了解 SSM 如何加密傳輸中的資料。 # Amazon Inspector 的 Identity and Access Management AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 Amazon Inspector 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [Amazon Inspector 如何與 IAM 搭配使用](security_iam_service-with-iam.md) + [Amazon Inspector 的身分型政策範例](security_iam_id-based-policy-examples.md) + [AWS Amazon Inspector 的 受管政策](security-iam-awsmanpol.md) + [使用 Amazon Inspector 的服務連結角色](using-service-linked-roles.md) + [對 Amazon Inspector 身分和存取進行故障診斷](security_iam_troubleshoot.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 Amazon Inspector 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [Amazon Inspector 如何與 IAM 搭配使用](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [Amazon Inspector 的身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是來自您的企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 的使用者。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 決定是否在涉及多個政策類型時允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # Amazon Inspector 如何與 IAM 搭配使用 在您使用 IAM 管理 Amazon Inspector 的存取權之前，請先了解哪些 IAM 功能可與 Amazon Inspector 搭配使用。 **您可以搭配 Amazon Inspector 使用的 IAM 功能** | IAM 功能 | Amazon Inspector 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵 (服務特定)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC(政策中的標籤)](#security_iam_service-with-iam-tags) | 部分 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [主體許可](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 否 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 若要全面了解 Amazon Inspector 和其他 如何與大多數 IAM 功能 AWS 服務 搭配使用，請參閱《[AWS 服務 IAM 使用者指南》中的 與 IAM 搭配使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## Amazon Inspector 的身分型政策 **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### Amazon Inspector 的身分型政策範例 若要檢視 Amazon Inspector 身分型政策的範例，請參閱 [Amazon Inspector 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 中的資源型政策 **支援資源型政策：**否 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## Amazon Inspector 的政策動作 **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 若要查看 Amazon Inspector 動作的清單，請參閱*《服務授權參考*》中的 [Amazon Inspector 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-actions-as-permissions)。 Amazon Inspector 中的政策動作在動作之前使用以下字首： ``` inspector2 ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "inspector2:action1", "inspector2:action2" ] ``` 若要檢視 Amazon Inspector 身分型政策的範例，請參閱 [Amazon Inspector 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 的政策資源 **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要查看 Amazon Inspector 資源類型及其 ARNs 的清單，請參閱*《服務授權參考*》中的 [Amazon Inspector 定義的資源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [Amazon Inspector 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-actions-as-permissions)。 若要檢視 Amazon Inspector 身分型政策的範例，請參閱 [Amazon Inspector 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 的政策條件索引鍵 **支援服務特定政策條件金鑰：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 若要查看 Amazon Inspector 條件索引鍵的清單，請參閱*《服務授權參考*》中的 [Amazon Inspector 的條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-policy-keys)。若要了解您可以使用條件金鑰的動作和資源，請參閱 [Amazon Inspector 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html#amazoninspector2-actions-as-permissions)。 若要檢視 Amazon Inspector 身分型政策的範例，請參閱 [Amazon Inspector 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Inspector 中的 ACLs **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 ## ABAC 搭配 Amazon Inspector **支援 ABAC (政策中的標籤)：**部分 屬性型存取控制 (ABAC) 是一種授權策略，根據稱為標籤的屬性定義許可權。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 搭配 Amazon Inspector 使用臨時憑證 **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## Amazon Inspector 的跨服務主體許可 **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## Amazon Inspector 的服務角色 **支援服務角色：**否 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 Amazon Inspector 功能。只有在 Amazon Inspector 提供指引時，才能編輯服務角色。 ## Amazon Inspector 的服務連結角色 **支援服務連結角色：**是 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 如需建立或管理服務連結角色的詳細資訊，請參閱《[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)》。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。 # Amazon Inspector 的身分型政策範例 根據預設，使用者和角色沒有建立或修改 Amazon Inspector 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。 如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 如需 Amazon Inspector 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [Amazon Inspector 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoninspector2.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 Amazon Inspector 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) + [允許唯讀存取所有 Amazon Inspector 資源](#security_iam_id-based-policy-examples-read-only) + [允許完整存取所有 Amazon Inspector 資源](#security_iam_id-based-policy-examples-full-access) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Amazon Inspector 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 Amazon Inspector 主控台 若要存取 Amazon Inspector 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 Amazon Inspector 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。 為了確保使用者和角色仍然可以使用 Amazon Inspector 主控台，請將 Amazon Inspector `ConsoleAccess`或 `ReadOnly` AWS 受管政策附加至實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ## 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 允許唯讀存取所有 Amazon Inspector 資源 此範例顯示允許唯讀存取所有 Amazon Inspector 資源的政策。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "inspector2:Describe*", "inspector2:Get*", "inspector2:BatchGet*", "inspector2:List*" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" } ] } ``` ------ ## 允許完整存取所有 Amazon Inspector 資源 此範例顯示允許完整存取所有 Amazon Inspector 資源的政策。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "inspector2:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "inspector2.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" } ] } ``` ------ # AWS Amazon Inspector 的 受管政策 AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策： AmazonInspector2FullAccess\$1v2 您可將 `AmazonInspector2FullAccess_v2` 政策連接到 IAM 身分。 此政策授予 Amazon Inspector 的完整存取權，以及其他相關服務的存取權。 **許可詳細資訊** 此政策包含以下許可。 + `inspector2` – 允許完整存取 Amazon Inspector APIs。 + `codeguru-security` – 允許管理員擷取帳戶的安全調查結果和組態設定。 + `iam` – 允許 Amazon Inspector 建立服務連結角色`AWSServiceRoleForAmazonInspector2`和 `AWSServiceRoleForAmazonInspector2Agentless`。Amazon Inspector `AWSServiceRoleForAmazonInspector2`需要 才能執行操作，例如擷取 Amazon EC2 執行個體、Amazon ECR 儲存庫和 Amazon ECR 容器映像的相關資訊。也需要解密使用 AWS KMS 金鑰加密的 Amazon EBS 快照。如需詳細資訊，請參閱[使用 Amazon Inspector 的服務連結角色](using-service-linked-roles.md)。 + `organizations` – `AllowServicePrincipalBasedAccessToOrganizationApis` 僅允許服務主體為 建立服務連結角色 AWS 帳戶、將 註冊 AWS 帳戶 為組織的委派管理員，以及列出組織中的委派管理員。 `AllowOrganizationalBasedAccessToOrganizationApis` 允許政策持有者擷取有關組織單位的資訊，特別是資源層級 ARNs。 `AllowAccountsBasedAccessToOrganizationApis` 允許政策持有者擷取有關 的資訊，特別是資源層級 ARNs AWS 帳戶。 `AllowAccessToOrganizationApis` 允許政策持有者檢視與組織和組織資訊的 AWS 服務 整合。此政策允許列出 Inspector 組織政策，依 Inspector 政策類型進行篩選、檢視管理帳戶建立的委派資源政策，以及檢視套用至帳戶的有效 Inspector 政策。 **注意** Amazon Inspector 不再使用 CodeGuru 執行 Lambda 掃描。 AWS 將於 2025 年 11 月 20 日停止對 CodeGuru 的支援。如需詳細資訊，請參閱 [ CodeGuru Security 的終止支援](https://docs.aws.amazon.com/codeguru/latest/security-ug/end-of-support.html)。Amazon Inspector 現在使用 Amazon Q 執行 Lambda 掃描，不需要本節所述的許可。 若要檢閱此政策的許可，請參閱[《 受管政策參考指南》中的 AmazonInspector2FullAccess\$1v2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2FullAccess_v2.html)。 *AWS * ## AWS 受管政策： AWSInspector2OrganizationsAccess 您可將 `AWSInspector2OrganizationsAccess` 政策連接到 IAM 身分。 此政策授予管理許可，以啟用和管理 中組織的 Amazon Inspector AWS Organizations。此政策的許可允許組織管理帳戶指定 Amazon Inspector 的委派管理員帳戶。它們也允許委派的管理員帳戶將組織帳戶啟用為成員帳戶。 此政策僅提供 的許可 AWS Organizations。組織管理帳戶和委派管理員帳戶也需要相關動作的許可。您可以使用 `AmazonInspector2FullAccess_v2`受管政策授予這些許可。 **許可詳細資訊** 此政策包含以下許可。 + `organizations:ListAccounts` – 允許主體擷取屬於組織一部分的帳戶清單。 + `organizations:DescribeOrganization` – 允許主體擷取組織的相關資訊。 + `organizations:ListRoots` – 允許主體列出組織的根目錄。 + `organizations:ListDelegatedAdministrators` – 允許主體列出組織的委派管理員。 + `organizations:ListAWSServiceAccessForOrganization` – 允許主體列出 AWS 服務 組織使用的 。 + `organizations:ListOrganizationalUnitsForParent` – 允許主體列出父 OU 的子組織單位 (OU)。 + `organizations:ListAccountsForParent` – 允許主體列出父 OU 的子帳戶。 + `organizations:ListParents` – 列出做為指定子 OUs 或帳戶的直接父項的根或組織單位 (OU)。 + `organizations:DescribeAccount` – 允許主體擷取組織中帳戶的相關資訊。 + `organizations:DescribeOrganizationalUnit` – 允許主體擷取組織中 OU 的相關資訊。 + `organizations:ListPolicies` – 擷取組織中指定類型的所有政策清單。 + `organizations:ListPoliciesForTarget` – 列出直接連接到指定目標根目錄、組織單位 (OU) 或帳戶的政策。 + `organizations:ListTargetsForPolicy` – 列出指定政策連接的所有根目錄、組織單位 (OUs) 和帳戶。 + `organizations:DescribeResourcePolicy` – 擷取資源政策的相關資訊。 + `organizations:EnableAWSServiceAccess` – 允許主體啟用與 Organizations 的整合。 + `organizations:RegisterDelegatedAdministrator` – 允許主體指定委派的管理員帳戶。 + `organizations:DeregisterDelegatedAdministrator` – 允許主體移除委派的管理員帳戶。 + `organizations:DescribePolicy` – 擷取政策的相關資訊。 + `organizations:DescribeEffectivePolicy` – 傳回指定政策類型和帳戶的有效政策內容。 + `organizations:CreatePolicy` – 建立您可以連接到根目錄、組織單位 (OU) 或個人的指定類型的政策 AWS 帳戶。 + `organizations:UpdatePolicy` – 使用新名稱、描述或內容更新現有政策。 + `organizations:DeletePolicy` – 從您的組織刪除指定的政策。 + `organizations:AttachPolicy` – 將政策連接至根帳戶、組織單位 (OU) 或個別帳戶。 + `organizations:DetachPolicy` – 從目標根目錄、組織單位 (OU) 或帳戶分離政策。 + `organizations:EnablePolicyType` – 在根目錄中啟用政策類型。 + `organizations:DisablePolicyType` – 在根目錄中停用組織政策類型。 + `organizations:TagResource` – 將一或多個標籤新增至指定的資源。 + `organizations:UntagResource` – 從指定的資源移除具有指定金鑰的任何標籤。 + `organizations:ListTagsForResource` – 列出連接至指定資源的標籤。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AWSInspector2OrganizationsAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSInspector2OrganizationsAccess.html)。 ## AWS 受管政策： AmazonInspector2FullAccess 您可將 `AmazonInspector2FullAccess` 政策連接到 IAM 身分。 此政策會授予允許完整存取 Amazon Inspector 的管理許可。 **重要** 為了增強 Inspector 2 服務主體的安全性和限制性許可，我們建議您使用 [AmazonInspector2FullAccess\$1v2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2FullAccess_v2.html)。 **許可詳細資訊** 此政策包含以下許可。 + `inspector2` – 允許完整存取 Amazon Inspector 功能。 + `iam` – 允許 Amazon Inspector 建立服務連結角色`AWSServiceRoleForAmazonInspector2`和 `AWSServiceRoleForAmazonInspector2Agentless`。Amazon Inspector `AWSServiceRoleForAmazonInspector2`需要 才能執行操作，例如擷取 Amazon EC2 執行個體、Amazon ECR 儲存庫和容器映像的相關資訊。Amazon Inspector 也需要分析您的 VPC 網路並描述與您組織相關聯的帳戶。Amazon Inspector `AWSServiceRoleForAmazonInspector2Agentless`需要 才能執行操作，例如擷取 Amazon EC2 執行個體和 Amazon EBS 快照的相關資訊。也需要解密使用 AWS KMS 金鑰加密的 Amazon EBS 快照。如需詳細資訊，請參閱[使用 Amazon Inspector 的服務連結角色](using-service-linked-roles.md)。 + `organizations` – 允許管理員將 Amazon Inspector 用於 中的組織 AWS Organizations。當您在 中[啟用 Amazon Inspector 的受信任存取](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_integrate_services.html)時 AWS Organizations，委派管理員帳戶的成員可以管理設定並檢視整個組織的調查結果。 Amazon Inspector + `codeguru-security` – 允許管理員使用 Amazon Inspector 擷取資訊程式碼片段，並變更 CodeGuru Security 存放程式碼的加密設定。如需詳細資訊，請參閱[對問題清單中的程式碼進行靜態加密](encryption-rest.md#encryption-code-snippets)。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonInspector2FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2FullAccess.html)。 ## AWS 受管政策： AmazonInspector2ReadOnlyAccess 您可將 `AmazonInspector2ReadOnlyAccess` 政策連接到 IAM 身分。 此政策授予許可，允許唯讀存取 Amazon Inspector。 **許可詳細資訊** 此政策包含以下許可。 + `inspector2` – 允許唯讀存取 Amazon Inspector 功能。 + `organizations` – 允許 AWS Organizations 檢視 中組織 Amazon Inspector 涵蓋範圍的詳細資訊。此外，允許透過 來檢視 Inspector 組織政策`ListPolicies`，並依 Inspector 政策類型進行篩選、透過 檢視委派資源政策`DescribeResourcePolicy`，以及透過 檢視套用至帳戶的有效 Inspector 政策`DescribeEffectivePolicy`。這可讓使用者了解透過組織政策建立的集中式檢測器啟用，而無需修改它們。 + `codeguru-security` – 允許從 CodeGuru Security 擷取程式碼片段。也允許檢視儲存在 CodeGuru Security 中程式碼的加密設定。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonInspector2ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ReadOnlyAccess.html)。 ## AWS 受管政策： AmazonInspector2ManagedCisPolicy 您可將 `AmazonInspector2ManagedCisPolicy` 政策附加至 IAM 實體。此政策應連接至授予 Amazon EC2 執行個體許可的角色，以執行執行個體的 CIS 掃描。您可以使用 IAM 角色來管理在 EC2 執行個體上執行之應用程式的臨時登入資料，以及提出 AWS CLI 或 AWS API 請求。這是在 EC2 執行個體內儲存存取金鑰的較好方式。若要將 AWS 角色指派給 EC2 執行個體並將其提供給其所有應用程式，您可以建立連接至執行個體的執行個體描述檔。執行個體設定檔包含該角色，並且可讓 EC2 執行個體上執行的程式取得臨時憑證。如需詳細資訊，請參閱 *IAM 使用者指南*中的[使用 IAM 角色來授予許可權給 Amazon EC2 執行個體上執行的應用程式](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)。 **許可詳細資訊** 此政策包含以下許可。 + `inspector2` – 允許存取用於執行 CIS 掃描的動作。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonInspector2ManagedCisPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ManagedCisPolicy.html)。 ## AWS 受管政策： AmazonInspector2ServiceRolePolicy 您無法將 `AmazonInspector2ServiceRolePolicy` 政策附加至 IAM 實體。此政策會連接到服務連結角色，允許 Amazon Inspector 代表您執行動作。如需詳細資訊，請參閱[使用 Amazon Inspector 的服務連結角色](using-service-linked-roles.md)。 ## AWS 受管政策： AmazonInspector2AgentlessServiceRolePolicy 您無法將 `AmazonInspector2AgentlessServiceRolePolicy` 政策附加至 IAM 實體。此政策會連接到服務連結角色，允許 Amazon Inspector 代表您執行動作。如需詳細資訊，請參閱[使用 Amazon Inspector 的服務連結角色](using-service-linked-roles.md)。 ## AWS 受管政策： AmazonInspector2ManagedTelemetryPolicy 您可將 `AmazonInspector2ManagedTelemetryPolicy` 政策附加至 IAM 實體。此政策授予 Amazon Inspector 遙測操作的許可，允許服務收集和傳輸套件庫存資料以進行漏洞掃描。 **許可詳細資訊** 此政策包含以下許可。 + `inspector2-telemetry` – 允許存取套件封存資料傳輸的動作。 若要檢視政策的詳細資訊，包括最新版本的 JSON 政策文件，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonInspector2ManagedTelemetryPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ManagedTelemetryPolicy.html)。 ## AWS 受管政策的 Amazon Inspector 更新 檢視自此服務開始追蹤 Amazon Inspector AWS 受管政策更新以來的詳細資訊。如需此頁面變更的自動提醒，請訂閱 Amazon Inspector [文件歷史記錄](doc-history.md)頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSInspector2OrganizationsAccess](#security-iam-awsmanpol-AWSInspector2OrganizationsAccess) – 新政策 | Amazon Inspector 已新增新的受管政策，授予透過 AWS Organizations 政策啟用和管理 Amazon Inspector 所需的許可。 | 2026 年 3 月 3 日 | | [AmazonInspector2ManagedTelemetryPolicy](#security-iam-awsmanpol-AmazonInspector2ManagedTelemetryPolicy) – 新政策 | Amazon Inspector 新增了新的受管政策，授予 Amazon Inspector 遙測操作的許可，允許服務收集和傳輸套件庫存資料以進行漏洞掃描。 | 2026 年 2 月 5 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/slr-permissions.html) – 現有政策的更新 | Amazon Inspector 已新增允許 Amazon Inspector 描述防火牆中繼資料以進行網路連線能力分析的許可。此外，Amazon Inspector 已新增其他資源範圍，以允許 Amazon Inspector 建立、更新和啟動與 SSM 文件 的 SSM 關聯`AWS-ConfigureAWSPackage`。 | 2026 年 2 月 3 日 | | [AmazonInspector2FullAccess\$1v2](#security-iam-awsmanpol-AmazonInspector2FullAccessV2) 和 [AmazonInspector2ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) – 現有政策的更新 | Amazon Inspector 已新增允許政策持有人檢視 Inspector 組織政策和委派組態的許可。這支援透過 AWS Organizations 政策進行 Inspector 啟用的集中式管理和可見性。 | 2025 年 11 月 14 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/slr-permissions.html) – 現有政策的更新 | Amazon Inspector 已新增新的許可，允許 Amazon Inspector AWS Organizations 政策強制執行 Amazon Inspector 的啟用和停用。 | 2025 年 11 月 10 日 | | [AmazonInspector2FullAccess\$1v2](#security-iam-awsmanpol-AmazonInspector2FullAccessV2) – 新政策 | Amazon Inspector 已新增新的受管政策，提供對 Amazon Inspector 的完整存取權，以及對其他相關服務的存取權。 | 2025 年 7 月 3 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增允許 Amazon Inspector 描述 IP 地址和網際網路閘道的新許可。 | 2025 年 4 月 29 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許唯讀存取 Amazon ECS 和 Amazon EKS 動作。 | 2025 年 3 月 25 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增允許 Amazon Inspector 傳回函數標籤的許可 AWS Lambda。 | 2024 年 7 月 31 日 | | [AmazonInspector2FullAccess](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2FullAccess) – 現有政策的更新 | Amazon Inspector 已新增許可，允許 Amazon Inspector 建立服務連結角色`AWSServiceRoleForAmazonInspector2Agentless`。這可讓使用者在啟用 Amazon Inspector 時執行[代理程式型掃描](https://docs.aws.amazon.com/inspector/latest/user/scanning-ec2.html#agent-based)和[無代理程式掃描](https://docs.aws.amazon.com/inspector/latest/user/scanning-ec2.html#agentless)。 | 2024 年 4 月 24 日 | | [AmazonInspector2ManagedCisPolicy](#security-iam-awsmanpol-AmazonInspector2ManagedCisPolicy) – 新政策 | Amazon Inspector 已新增新的受管政策，您可以將其做為執行個體描述檔的一部分，以允許在執行個體上進行 CIS 掃描。 | 2024 年 1 月 23 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增允許 Amazon Inspector 在目標執行個體上啟動 CIS 掃描的新許可。 | 2024 年 1 月 23 日 | | [AmazonInspector2AgentlessServiceRolePolicy](using-service-linked-roles.md) – 新政策 | Amazon Inspector 已新增服務連結角色政策，以允許無代理程式掃描 EC2 執行個體。 | 2023 年 11 月 27 日 | | [AmazonInspector2ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許唯讀使用者擷取套件漏洞調查結果的漏洞情報詳細資訊。 | 2023 年 9 月 22 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許 Amazon Inspector 掃描屬於 Elastic Load Balancing 目標群組的 Amazon EC2 執行個體的網路組態。 | 2023 年 8 月 31 日 | | [AmazonInspector2ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許唯讀使用者匯出其資源的軟體物料清單 (SBOM)。 | 2023 年 6 月 29 日 | | [AmazonInspector2ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許唯讀使用者擷取其帳戶的 Lambda 程式碼掃描問題清單加密設定的詳細資訊。 | 2023 年 6 月 13 日 | | [AmazonInspector2FullAccess](#security-iam-awsmanpol-AmazonInspector2FullAccess) – 現有政策的更新 | Amazon Inspector 已新增新的許可，允許使用者設定客戶受管 KMS 金鑰，在 Lambda 程式碼掃描的問題清單中加密程式碼。 | 2023 年 6 月 13 日 | | [AmazonInspector2ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許唯讀使用者擷取其帳戶 Lambda 程式碼掃描狀態和調查結果的詳細資訊。 | 2023 年 5 月 2 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增新的許可，允許 Amazon Inspector 在您啟用 Lambda 掃描時，在您的帳戶中建立 AWS CloudTrail 服務連結頻道。這可讓 Amazon Inspector 監控您帳戶中的 CloudTrail 事件。 | 2023 年 4 月 30 日 | | [AmazonInspector2FullAccess](#security-iam-awsmanpol-AmazonInspector2FullAccess) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許使用者從 Lambda 程式碼掃描擷取程式碼漏洞問題清單的詳細資訊。 | 2023 年 4 月 21 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許 Amazon Inspector 將客戶為 Amazon EC2 深度檢查定義的自訂路徑的相關資訊傳送給 Amazon EC2 Systems Manager。 Amazon EC2 | 2023 年 4 月 17 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增新的許可，允許 Amazon Inspector 在您啟用 Lambda 掃描時，在您的帳戶中建立 AWS CloudTrail 服務連結頻道。這可讓 Amazon Inspector 監控您帳戶中的 CloudTrail 事件。 | 2023 年 4 月 30 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 新增了新的許可，允許 Amazon Inspector 請求掃描 AWS Lambda 函數中的開發人員程式碼，並從 Amazon CodeGuru Security 接收掃描資料。此外，Amazon Inspector 已新增檢閱 IAM 政策的許可。Amazon Inspector 會使用此資訊來掃描 Lambda 函數是否有程式碼漏洞。 | 2023 年 2 月 28 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增新陳述式，允許 Amazon Inspector 從 CloudWatch 擷取上次調用 AWS Lambda 函數的時間的相關資訊。Amazon Inspector 會使用此資訊，將掃描重點放在您環境中在過去 90 天內處於作用中狀態的 Lambda 函數。 | 2023 年 2 月 20 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增新的陳述式，允許 Amazon Inspector 擷取 AWS Lambda 函數的相關資訊，包括與每個函數相關聯的每個 layer 版本。Amazon Inspector 會使用此資訊來掃描 Lambda 函數是否有安全漏洞。 | 2022 年 11 月 28 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已新增動作，以允許 Amazon Inspector 描述 SSM 關聯執行。此外，Amazon Inspector 已新增其他資源範圍，以允許 Amazon Inspector 建立、更新、刪除和啟動與`AmazonInspector2`擁有 SSM 文件的 SSM 關聯。 | 2022 年 8 月 31 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) 現有政策的更新 | Amazon Inspector 已更新政策的資源範圍，以允許 Amazon Inspector 收集其他 AWS 分割區中的軟體庫存。 | 2022 年 8 月 12 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 現有政策的更新 | Amazon Inspector 已重組允許 Amazon Inspector 建立、刪除和更新 SSM 關聯之動作的資源範圍。 | 2022 年 8 月 10 日 | | [AmazonInspector2ReadOnlyAccess](#security-iam-awsmanpol-AmazonInspector2ReadOnlyAccess) – 新政策 | Amazon Inspector 新增了新的政策，以允許唯讀存取 Amazon Inspector 功能。 | 2022 年 1 月 21 日 | | [AmazonInspector2FullAccess](#security-iam-awsmanpol-AmazonInspector2FullAccess) – 新政策 | Amazon Inspector 新增了新的政策，以允許完整存取 Amazon Inspector 功能。 | 2021 年 11 月 29 日 | | [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy) – 新政策 | Amazon Inspector 新增了新的政策，以允許 Amazon Inspector 代表您在其他 服務中執行動作。 | 2021 年 11 月 29 日 | | Amazon Inspector 已開始追蹤變更 | Amazon Inspector 開始追蹤其 AWS 受管政策的變更。 | 2021 年 11 月 29 日 | # 使用 Amazon Inspector 的服務連結角色 Amazon Inspector 使用名為 的 AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)`AWSServiceRoleForAmazonInspector2`。此服務連結角色是直接連結至 Amazon Inspector 的 IAM 角色。它由 Amazon Inspector 預先定義，並包含 Amazon Inspector AWS 服務 代表您呼叫其他 所需的所有許可。 服務連結角色可讓您更輕鬆地設定 Amazon Inspector，因為您不必手動新增必要的許可。Amazon Inspector 會定義其服務連結角色的許可，除非另有定義，否則只有 Amazon Inspector 可以擔任該角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。 您必須設定許可，以允許 IAM 實體 （例如群組或角色） 建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。只有在刪除其相關資源之後，您才能刪除服務連結角色。這可保護您的 Amazon Inspector 資源，因為您不會不小心移除存取資源的許可。 如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇有連結的**是**，以檢閱該服務的服務連結角色文件。 # Amazon Inspector 的服務連結角色許可 Amazon Inspector 使用名為 的受管政策[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ServiceRolePolicy.html)。此服務連結角色信任`inspector2.amazonaws.com`服務擔任該角色。 名為 的角色的許可政策[https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/inspector/latest/user/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonInspector2ServiceRolePolicy)允許 Amazon Inspector 執行任務，例如： + 使用 Amazon Elastic Compute Cloud (Amazon EC2) 動作來擷取執行個體和網路路徑的相關資訊。 + 使用 AWS Systems Manager 動作從 Amazon EC2 執行個體擷取庫存，以及從自訂路徑擷取第三方套件的相關資訊。 + 使用 AWS Systems Manager `SendCommand`動作來叫用目標執行個體的 CIS 掃描。 + 使用 Amazon Elastic Container Registry 動作來擷取容器映像的相關資訊。 + 使用 AWS Lambda 動作來擷取 Lambda 函數的相關資訊。 + 使用 AWS Organizations 動作來描述相關聯的帳戶。 + 使用 CloudWatch 動作擷取有關上次叫用 Lambda 函數的資訊。 + 使用選取 IAM 動作擷取 IAM 政策的相關資訊，這些政策可能會在 Lambda 程式碼中建立安全漏洞。 + 使用 Amazon Q 動作在 Lambda 函數中執行程式碼掃描。Amazon Inspector 使用以下 Amazon Q 動作： + codeguru-security：CreateScan – 准許建立 Amazon Q； 掃描。 + codeguru-security：GetScan – 准許擷取 Amazon Q 掃描中繼資料。 + codeguru-security：ListFindings – 准許擷取 Amazon Q 產生的問題清單。 + codeguru-security：DeleteScansByCategory – 准許 Amazon Q 刪除由 Amazon Inspector 啟動的掃描。 + codeguru-security：BatchGetFindings – 准許擷取 Amazon Q 產生的一批特定問題清單。 + 使用選取 Elastic Load Balancing 動作，對屬於 Elastic Load Balancing 目標群組的 EC2 執行個體執行網路掃描。 + 使用 Amazon ECS 和 Amazon EKS 動作允許唯讀存取以檢視叢集和任務並描述任務。 + 使用 AWS Organizations 動作列出跨組織的 Amazon Inspector 委派管理員。 + 使用 Amazon Inspector 動作來啟用和停用跨組織的 Amazon Inspector。 + 使用 Amazon Inspector 動作來指定委派的管理員帳戶，並將成員帳戶跨組織建立關聯。 **注意** Amazon Inspector 不再使用 CodeGuru 執行 Lambda 掃描。 AWS 將於 2025 年 11 月 20 日停止對 CodeGuru 的支援。如需詳細資訊，請參閱 [ CodeGuru Security 的終止支援](https://docs.aws.amazon.com/codeguru/latest/security-ug/end-of-support.html)。Amazon Inspector 現在使用 Amazon Q 執行 Lambda 掃描，不需要本節所述的許可。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonInspector2ServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonInspector2ServiceRolePolicy.html)。 ## 為 Amazon Inspector 建立服務連結角色 您不需要手動建立服務連結角色，當您在 AWS 管理主控台、 AWS CLI或 AWS API 中啟用 Amazon Inspector 時，Amazon Inspector 會為您建立服務連結角色。 ## 編輯 Amazon Inspector 的服務連結角色 Amazon Inspector 不允許您編輯`AWSServiceRoleForAmazonInspector2`服務連結角色。建立服務連結角色之後，您就無法變更角色的名稱，因為各種實體可能會參考角色。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除 Amazon Inspector 的服務連結角色 如果您不再需要使用 Amazon Inspector，我們建議您刪除`AWSServiceRoleForAmazonInspector2`服務連結角色。您必須先在啟用角色的每個 AWS 區域 中停用 Amazon Inspector，才能刪除角色。當您停用 Amazon Inspector 時，不會為您刪除角色。因此，如果您再次啟用 Amazon Inspector，則可以使用現有的角色。如此一來，您就可以避免擁有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。 若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您啟用 Amazon Inspector 時，Amazon Inspector 會為您重新建立服務連結角色。 **注意** 如果您嘗試刪除資源時，Amazon Inspector 服務正在使用 角色，刪除可能會失敗。如果發生這種情況，請等待幾分鐘，然後再次嘗試操作。 您可以使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除`AWSServiceRoleForAmazonInspector2`服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 # Amazon Inspector 無代理程式掃描的服務連結角色許可 Amazon Inspector 無代理程式掃描使用名為 的服務連結角色`AWSServiceRoleForAmazonInspector2Agentless`。此 SLR 允許 Amazon Inspector 在您的帳戶中建立 Amazon EBS 磁碟區快照，然後從該快照存取資料。此服務連結角色信任`agentless.inspector2.amazonaws.com`服務擔任該角色。 **重要** 此服務連結角色中的陳述式可防止 Amazon Inspector 對您使用 `InspectorEc2Exclusion`標籤從掃描中排除的任何 EC2 執行個體執行無代理程式掃描。此外，當用於加密磁碟區的 KMS 金鑰具有 `InspectorEc2Exclusion`標籤時，陳述式會防止 Amazon Inspector 從磁碟區存取加密的資料。如需詳細資訊，請參閱[從 Amazon Inspector 掃描排除執行個體](scanning-ec2.md#exclude-ec2)。 名為 的角色的許可政策`AmazonInspector2AgentlessServiceRolePolicy`允許 Amazon Inspector 執行任務，例如： + 使用 Amazon Elastic Compute Cloud (Amazon EC2) 動作來擷取 EC2 執行個體、磁碟區和快照的相關資訊。 + 使用 Amazon EC2 標記動作來標記快照，以便使用`InspectorScan`標籤金鑰進行掃描。 + 使用 Amazon EC2 快照動作建立快照、使用`InspectorScan`標籤金鑰標記快照，然後刪除已使用`InspectorScan`標籤金鑰標記的 Amazon EBS 磁碟區的快照。 + 使用 Amazon EBS 動作從標記有標籤`InspectorScan`索引鍵的快照擷取資訊。 + 使用選取 AWS KMS 解密動作來解密使用 AWS KMS 客戶受管金鑰加密的快照。當用於加密快照的 KMS 金鑰加上標籤時，Amazon Inspector 不會解密快照`InspectorEc2Exclusion`。 角色是使用下列許可政策來設定。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "InstanceIdentification", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeVolumes", "ec2:DescribeSnapshots" ], "Resource": "*" }, { "Sid": "GetSnapshotData", "Effect": "Allow", "Action": [ "ebs:ListSnapshotBlocks", "ebs:GetSnapshotBlock" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "aws:ResourceTag/InspectorScan": "*" } } }, { "Sid": "CreateSnapshotsAnyInstanceOrVolume", "Effect": "Allow", "Action": "ec2:CreateSnapshots", "Resource": [ "arn:aws:ec2:*:*:instance/*", "arn:aws:ec2:*:*:volume/*" ] }, { "Sid": "DenyCreateSnapshotsOnExcludedInstances", "Effect": "Deny", "Action": "ec2:CreateSnapshots", "Resource": "arn:aws:ec2:*:*:instance/*", "Condition": { "StringEquals": { "ec2:ResourceTag/InspectorEc2Exclusion": "true" } } }, { "Sid": "CreateSnapshotsOnAnySnapshotOnlyWithTag", "Effect": "Allow", "Action": "ec2:CreateSnapshots", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "Null": { "aws:TagKeys": "false" }, "ForAllValues:StringEquals": { "aws:TagKeys": "InspectorScan" } } }, { "Sid": "CreateOnlyInspectorScanTagOnlyUsingCreateSnapshots", "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:CreateAction": "CreateSnapshots" }, "Null": { "aws:TagKeys": "false" }, "ForAllValues:StringEquals": { "aws:TagKeys": "InspectorScan" } } }, { "Sid": "DeleteOnlySnapshotsTaggedForScanning", "Effect": "Allow", "Action": "ec2:DeleteSnapshot", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:ResourceTag/InspectorScan": "*" } } }, { "Sid": "DenyKmsDecryptForExcludedKeys", "Effect": "Deny", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceTag/InspectorEc2Exclusion": "true" } } }, { "Sid": "DecryptSnapshotBlocksVolContext", "Effect": "Allow", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" }, "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com", "kms:EncryptionContext:aws:ebs:id": "vol-*" } } }, { "Sid": "DecryptSnapshotBlocksSnapContext", "Effect": "Allow", "Action": "kms:Decrypt", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" }, "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com", "kms:EncryptionContext:aws:ebs:id": "snap-*" } } }, { "Sid": "DescribeKeysForEbsOperations", "Effect": "Allow", "Action": "kms:DescribeKey", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" }, "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com" } } }, { "Sid": "ListKeyResourceTags", "Effect": "Allow", "Action": "kms:ListResourceTags", "Resource": "arn:aws:kms:*:*:key/*" } ] } ``` ------ ## 為無代理程式掃描建立服務連結角色 您不需要手動建立服務連結角色，當您在 AWS 管理主控台、 AWS CLI或 AWS API 中啟用 Amazon Inspector 時，Amazon Inspector 會為您建立服務連結角色。 ## 編輯無代理程式掃描的服務連結角色 Amazon Inspector 不允許您編輯`AWSServiceRoleForAmazonInspector2Agentless`服務連結角色。建立服務連結角色之後，您就無法變更角色的名稱，因為各種實體可能會參考角色。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除無代理程式掃描的服務連結角色 若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。 **重要** 若要刪除`AWSServiceRoleForAmazonInspector2Agentless`角色，您必須在可使用無代理程式掃描的所有區域中，將掃描模式設定為以代理程式為基礎。 **使用 IAM 手動刪除服務連結角色** 使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AWSServiceRoleForAmazonInspector2Agentless 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 # 對 Amazon Inspector 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 Amazon Inspector 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 Amazon Inspector 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 以外的人員 AWS 帳戶 存取我的 Amazon Inspector 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 Amazon Inspector 中執行動作 如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。 下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `inspector2:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: inspector2:GetWidget on resource: my-example-widget ``` 在此情況下，必須更新 `mateojackson` 使用者的政策，允許使用 `inspector2:GetWidget` 動作存取 `my-example-widget` 資源。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 Amazon Inspector。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 Amazon Inspector 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 Amazon Inspector 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 Amazon Inspector 是否支援這些功能，請參閱 [Amazon Inspector 如何與 IAM 搭配使用](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 監控 Amazon Inspector 監控是維護 Amazon Inspector 和其他 AWS 解決方案可用性、可靠性和效能的重要部分。 AWS 提供工具來監控 Amazon Inspector、報告發生的問題，並採取動作來修復這些問題： + [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html) 是一項 AWS 服務，使用事件將應用程式元件連接在一起，讓您更輕鬆地建置可擴展的事件驅動型應用程式。EventBridge 提供來自應用程式、Software-as-a-Service(SaaS) 應用程式 AWS 和服務和路由的即時資料串流，因此您可以監控服務中發生的事件，並建置事件驅動型架構。 + [AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html) 是一種 AWS 服務，可擷取由 發出或代表您的 發出的 API 呼叫和相關事件 AWS 帳戶。CloudTrail 會將日誌檔案交付到您指定的 Amazon S3 儲存貯體，因此您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 地址，以及呼叫的時間。 # 使用 記錄 Amazon Inspector API 呼叫 AWS CloudTrail Amazon Inspector 已與 AWS CloudTrail在 Amazon Inspector AWS 服務中，提供 IAM 使用者或角色或 所採取動作記錄的服務整合。CloudTrail 會將 Amazon Inspector 的所有 API 呼叫擷取為事件。擷取的呼叫包括來自 Amazon Inspector 主控台的呼叫，以及對 Amazon Inspector API 操作的呼叫。如果您建立線索，則可以將 CloudTrail 事件持續交付至 Amazon S3 儲存貯體，包括 Amazon Inspector 的事件。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的**事件歷史記錄**檢視最新事件。使用 CloudTrail 收集的資訊，您可以判斷： + 向 Amazon Inspector 提出的請求。 + 提出請求的 IP 地址。 + 提出要求的人員。 + 提出請求的時間。 若要進一步了解 CloudTrail，請參閱*「[AWS CloudTrail 使用者指南」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)*。 ## CloudTrail 中的 Amazon Inspector 資訊 當您建立帳戶 AWS 帳戶 時，您的 上會啟用 CloudTrail。當 Amazon Inspector 中發生活動時，該活動會與**事件歷史記錄**中的其他 AWS 服務 事件一起記錄在 CloudTrail 事件中。您可以在 中檢視、搜尋和下載最近的事件 AWS 帳戶。如需詳細資訊，請參閱[「使用 CloudTrail 事件歷史記錄檢視事件」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。 若要持續記錄 中的事件 AWS 帳戶，包括 Amazon Inspector 的事件，請建立追蹤。*線索*能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。依預設，當您在主控台中建立追蹤時，該追蹤會套用至所有的 AWS 區域。該追蹤會記錄來自 AWS 分割區中所有區域的事件，並將日誌檔案交付到您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS 服務 來進一步分析和處理 CloudTrail 日誌中所收集的事件資料。如需詳細資訊，請參閱下列主題： + [建立追蹤的概觀](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html) + [CloudTrail 支援的服務和整合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html) + [設定 CloudTrail 的 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html) + [從多個帳戶接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html) + [從多個區域接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) CloudTrail 會記錄所有 Amazon Inspector 動作。Amazon Inspector 可以執行的所有動作都會記錄在 [Amazon Inspector API 參考](https://docs.aws.amazon.com/inspector/latest/APIReference/)中。例如，對 `CreateFindingsReport`、`ListCoverage` 以及 `UpdateOrganizationConfiguration` 動作發出的呼叫會在 CloudTrail 日誌檔案中產生項目。 每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項： + 是否使用根使用者或 IAM 使用者憑證提出該請求。 + 是否使用角色或聯合身分使用者的臨時安全登入資料提出請求。 + 該請求是否由另一項 AWS 服務服務提出。 如需詳細資訊，請參閱 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。 ## 了解 Amazon Inspector 日誌檔案項目 追蹤是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一個或多個日誌項目。事件代表來自任何來源的單一請求。事件包含請求的動作、動作的日期和時間、請求參數等相關資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。 ## CloudTrail 中的 Amazon Inspector 掃描資訊 Amazon Inspector Scan 已與 CloudTrail 整合。所有 Amazon Inspector Scan API 操作都會記錄為管理事件。如需 Amazon Inspector 記錄到 CloudTrail 的 Amazon Inspector Scan API 操作清單，請參閱[《Amazon Inspector API 參考](https://docs.aws.amazon.com/inspector/v2/APIReference/API_Operations_Inspector_Scan.html)》中的 Amazon Inspector Scan。 以下範例顯示的是展示 `ScanSbom` 動作的 CloudTrail 日誌項目： ``` { "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "AROA123456789EXAMPLE:akua_mansa", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/akua_mansa", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROA123456789EXAMPLE", "arn": "arn:aws:iam::111122223333:role/Admin", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2023-10-17T15:22:59Z", "mfaAuthenticated": "false" } } }, "eventTime": "2023-10-17T16:02:34Z", "eventSource": "gamma-inspector-scan.amazonaws.com", "eventName": "ScanSbom", "awsRegion": "us-east-1", "sourceIPAddress": "203.0.113.0", "userAgent": "aws-sdk-java/2.20.162 Mac_OS_X/13.5.2 OpenJDK_64-Bit_Server_VM/17.0.8+7-LTS Java/17.0.8 vendor/Amazon.com_Inc. io/sync http/UrlConnection cfg/retry-mode/legacy", "requestParameters": { "sbom": { "specVersion": "1.5", "metadata": { "component": { "name": "debian", "type": "operating-system", "version": "9" } }, "components": [ { "name": "packageOne", "purl": "pkg:deb/debian/packageOne@1.0.0?arch=x86_64&distro=9", "type": "application" } ], "bomFormat": "CycloneDX" } }, "responseElements": null, "requestID": "f041a27f-f33e-4f70-b09b-5fbc5927282a", "eventID": "abc8d1e4-d214-4f07-bc56-8a31be6e36fe", "readOnly": true, "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" } ``` # Amazon Inspector 的合規驗證 若要了解 是否 AWS 服務 在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # Amazon Inspector 中的彈性 AWS 全球基礎設施是以 AWS 區域 和 可用區域為基礎建置。 AWS 區域 提供多個實體隔離且隔離的可用區域，這些區域連接到低延遲、高輸送量和高度備援的網路。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 # Amazon Inspector 中的基礎設施安全性 Amazon Inspector 是受管服務，受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫，透過網路存取 Amazon Inspector。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 # Amazon Inspector 中的事件回應 安全是 AWS最重視的一環。如「雲端安全」下的[AWS 共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model)所述， AWS 負責保護在 AWS 雲端中執行所有服務的基礎設施。 AWS 也負責與 Amazon Inspector 服務相關聯的任何事件回應。 身為 AWS 客戶，您需共同負責維護 AWS 雲端的安全性。這表示您可以控制選擇實作的安全性，其中包含您存取的所有 AWS 工具和功能。這也表示您在共同責任模型中負責事件回應。 透過建立符合在 AWS 雲端中執行之應用程式所有目標的安全基準，您可以偵測可回應的偏差。由於事件回應是一個複雜的主題，請檢閱下列資源，以進一步了解事件回應的影響，以及您的選擇如何影響您的公司目標：[AWS 安全事件回應指南](https://docs.aws.amazon.com/whitepapers/latest/aws-security-incident-response-guide/welcome.html)、[AWS 安全最佳實務](https://aws.amazon.com/architecture/security-identity-compliance/?cards-all.sort-by=item.additionalFields.sortDate&cards-all.sort-order=desc)和[AWS 雲端採用架構：安全觀點](https://d1.awsstatic.com/whitepapers/AWS_CAF_Security_Perspective.pdf)。 # 使用介面端點存取 Amazon Inspector (AWS PrivateLink 您可以使用 在 VPC 和 Amazon Inspector 之間 AWS PrivateLink 建立私有連線。您可以像在 VPC 中一樣存取 Amazon Inspector，無需使用網際網路閘道、NAT 裝置、VPN 連接或 Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址即可存取 Amazon Inspector。 您可以建立由 AWS PrivateLink提供支援的*介面端點*來建立此私有連線。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是申請者管理的網路介面，可做為目的地為 Amazon Inspector 之流量的進入點。 如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[AWS 服務 透過 存取 AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) 。 ## Amazon Inspector 的考量事項 在您設定 Amazon Inspector 的介面端點之前，請檢閱 *AWS PrivateLink 指南*中的[考量事項](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。 Amazon Inspector 支援透過介面端點呼叫其所有 API 動作。 Amazon Inspector 不支援 VPC 端點政策。根據預設，允許透過介面端點完整存取 Amazon Inspector。或者，您可以將安全群組與端點網路介面建立關聯，以控制透過介面端點傳送至 Amazon Inspector 的流量。 ## 建立 Amazon Inspector 的介面端點 您可以使用 Amazon VPC 主控台或 () 為 Amazon Inspector 建立介面端點AWS CLI。 AWS Command Line Interface 如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)」。 當您為 Amazon Inspector 建立介面端點時，請使用下列其中一個服務名稱： ``` com.amazonaws.region.inspector2 ``` ``` com.amazonaws.region.inspector-scan ``` 將*區域*取代為適用的 AWS 區域 程式碼 AWS 區域。 如果您為介面端點啟用私有 DNS，您可以使用其預設的區域 DNS 名稱向 Amazon Inspector 提出 API 請求，例如，`service-name.us-east-1.amazonaws.com `或`service-name.us-east-1.api.aws.com`美國東部 （維吉尼亞北部）。