本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # Security Lake 中的安全 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性： + **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。在[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用於 Amazon Security Lake 的合規計劃，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 Security Lake 時套用共同責任模型。下列主題說明如何設定 Security Lake 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 Security Lake 資源。 **Topics** + [Security Lake 的身分和存取管理](security-iam.md) + [Amazon Security Lake 中的資料保護](data-protection.md) + [Amazon Security Lake 的合規驗證](compliance-validation.md) + [Security Lake 的安全最佳實務](best-practices-overview.md) + [Amazon Security Lake 中的彈性](disaster-recovery-resiliency.md) + [Amazon Security Lake 中的基礎設施安全](infrastructure-security.md) + [Security Lake 中的組態和漏洞分析](configuration-vulnerability-analysis.md) + [Amazon Security Lake 和介面 VPC 端點 (AWS PrivateLink)](security-vpc-endpoints.md) + [監控 Amazon Security Lake](monitoring-overview.md) # Security Lake 的身分和存取管理 AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 Security Lake 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [Security Lake 如何與 IAM 搭配使用](security_iam_service-with-iam.md) + [Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md) + [AWS Security Lake 的 受管政策](security-iam-awsmanpol.md) + [使用 Security Lake 的服務連結角色](using-service-linked-roles.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 Amazon Security Lake 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [Security Lake 如何與 IAM 搭配使用](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在以資源為基礎的政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # Security Lake 如何與 IAM 搭配使用 在您使用 IAM 管理 Security Lake 的存取權之前，請先了解哪些 IAM 功能可與 Security Lake 搭配使用。 **您可以搭配 Amazon Security Lake 使用的 IAM 功能** | IAM 功能 | Security Lake 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 是 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [主體許可](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 否 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 若要全面了解 Security Lake 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## Security Lake 的身分型政策 **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 Security Lake 支援以身分為基礎的政策。如需詳細資訊，請參閱[Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Security Lake 中的資源型政策 **支援資源型政策：**是 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 Security Lake 服務會為存放資料的 Amazon S3 儲存貯體建立資源型政策。您不會將這些以資源為基礎的政策連接到 S3 儲存貯體。Security Lake 會自動代表您建立這些政策。 範例資源是 Amazon Resource Name (ARN) 為 的 S3 儲存貯體`arn:aws:s3:::aws-security-data-lake-{region}-{bucket-identifier}`。在此範例中， `region` 是您啟用 Security Lake 的特定 AWS 區域 ，`bucket-identifier`也是 Security Lake 指派給儲存貯體的區域唯一英數字串。Security Lake 會建立 S3 儲存貯體來存放來自該區域的資料。資源政策會定義哪些主體可以在儲存貯體上執行動作。以下是 Security Lake 連接到儲存貯體的範例資源型政策 （儲存貯體政策）： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": { "AWS": "*" }, "Action": "s3:*", "Resource": [ "arn:aws:s3:::aws-security-data-lake-{region}-{bucket-identifier}/*", "arn:aws:s3:::aws-security-data-lake-{region}-{bucket-identifier}" ], "Condition": { "Bool": { "aws:SecureTransport": "false" } } }, { "Sid": "PutSecurityLakeObject", "Effect": "Allow", "Principal": { "Service": "securitylake.amazonaws.com" }, "Action": "s3:PutObject", "Resource": [ "arn:aws:s3:::aws-security-data-lake-{region}-{bucket-identifier}/*", "arn:aws:s3:::aws-security-data-lake-{region}-{bucket-identifier}" ], "Condition": { "StringEquals": { "aws:SourceAccount": "{DA-AccountID}", "s3:x-amz-acl": "bucket-owner-full-control" }, "ArnLike": { "aws:SourceArn": "arn:aws:securitylake:us-east-1:111122223333:*" } } } ] } ``` ------ 若要進一步了解以資源為基礎的政策，請參閱《*IAM 使用者指南*》中的[以身分為基礎的政策和資源為基礎的政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html)。 ## Security Lake 的政策動作 **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 如需 Security Lake 動作的清單，請參閱*《服務授權參考*》中的 [Amazon Security Lake 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html#amazonsecuritylake-actions-as-permissions)。 Security Lake 中的政策動作在動作之前使用以下字首： ``` securitylake ``` 例如，若要授予使用者存取特定訂閱者相關資訊的許可，請在指派給該使用者的政策中包含 `securitylake:GetSubscriber`動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Security Lake 會定義自己的一組動作，描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "securitylake:action1", "securitylake:action2" ] ``` 若要檢視 Security Lake 身分型政策的範例，請參閱 [Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Security Lake 的政策資源 **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` Security Lake 定義下列資源類型：訂閱者，以及 AWS 帳戶 特定 的資料湖組態 AWS 區域。您可以使用 ARNs 在政策中指定這些類型的資源。 如需 Security Lake 資源類型和每個類型的 ARN 語法清單，請參閱*《服務授權參考*》中的 [Amazon Security Lake 定義的資源類型](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html#amazonsecuritylake-resources-for-iam-policies)。若要了解您可以為每種資源類型指定哪些動作，請參閱*《服務授權參考*》中的 [Amazon Security Lake 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html#amazonsecuritylake-actions-as-permissions)。 若要檢視 Security Lake 身分型政策的範例，請參閱 [Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Security Lake 的政策條件索引鍵 **支援服務特定政策條件金鑰：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 如需 Security Lake 條件金鑰的清單，請參閱*《服務授權參考*》中的 [Amazon Security Lake 的條件金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html#amazonsecuritylake-policy-keys)。若要了解您可以搭配哪些動作和資源使用條件金鑰，請參閱*《服務授權參考*》中的 [Amazon Security Lake 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html#amazonsecuritylake-actions-as-permissions)。如需使用條件索引鍵的政策範例，請參閱 [Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Security Lake 中的存取控制清單 (ACLs) **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 Security Lake 不支援 ACLs，這表示您無法將 ACL 連接至 Security Lake 資源。 ## 使用 Security Lake 的屬性型存取控制 (ABAC) **支援 ABAC (政策中的標籤)：**是 屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在主體的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 您可以將標籤連接至 Security Lake 資源 - 訂閱者，以及 AWS 帳戶 個別 的資料湖組態 AWS 區域。您也可以在政策的 `Condition`元素中提供標籤資訊，以控制對這些資源類型的存取。如需標記 Security Lake 資源的資訊，請參閱 [標記 Security Lake 資源](tagging-resources.md)。如需根據資源的標籤控制資源存取的身分型政策範例，請參閱 [Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## 搭配 Security Lake 使用臨時登入資料 **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時，會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 Security Lake 支援使用臨時登入資料。 ## 轉送 Security Lake 的存取工作階段 **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 有些 Security Lake 動作需要其他 中其他相依動作的許可 AWS 服務。如需這些動作的清單，請參閱*《服務授權參考*》中的 [Amazon Security Lake 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html#amazonsecuritylake-actions-as-permissions)。 ## Security Lake 的服務角色 **支援服務角色：**否 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 Security Lake 不會擔任或使用服務角色。不過，當您使用 Security Lake 時 AWS Lambda，Amazon EventBridge 和 Amazon S3 等相關服務會擔任服務角色。若要代表您執行動作，Security Lake 會使用服務連結角色。 **警告** 變更服務角色的許可可能會在您使用 Security Lake 時產生操作問題。只有在 Security Lake 提供指引時，才能編輯服務角色。 ## Security Lake 的服務連結角色 **支援服務連結角色：**是 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 Security Lake 使用名為 的 IAM 服務連結角色`AWSServiceRoleForAmazonSecurityLake`。Security Lake 服務連結角色會授予代表客戶操作安全資料湖服務的許可。此服務連結角色是直接連結至 Security Lake 的 IAM 角色。它由 Security Lake 預先定義，並包含 Security Lake AWS 服務 代表您呼叫其他 所需的所有許可。Security Lake 會在提供 AWS 區域 Security Lake 的所有 中使用此服務連結角色。 如需建立或管理 Security Lake 服務連結角色的詳細資訊，請參閱 [使用 Security Lake 的服務連結角色](using-service-linked-roles.md)。 # Security Lake 的身分型政策範例 根據預設，使用者和角色沒有建立或修改 Security Lake 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。 如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 如需 Security Lake 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*服務授權參考*中的 [Amazon Security Lake 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonsecuritylake.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 Security Lake 主控台](#security_iam_id-based-policy-examples-console) + [範例：允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) + [範例：允許組織管理帳戶指定和移除委派管理員](#security_iam_id-based-policy-examples-orgs) + [範例：允許使用者根據標籤檢閱訂閱者](#security_iam_id-based-policy-examples-review-subscribers-tags) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Security Lake 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 等使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 Security Lake 主控台 若要存取 Amazon Security Lake 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 Security Lake 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。 為了確保使用者和角色可以使用 Security Lake 主控台，請建立 IAM 政策，讓他們能夠存取主控台。如需詳細資訊，請參閱《[IAM 使用者指南》中的 IAM 身分](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)。 ** 如果您建立允許使用者或角色使用 Security Lake 主控台的政策，請確定政策包含這些使用者或角色在主控台上需要存取之資源的適當動作。否則，他們將無法在主控台上導覽或顯示這些資源的詳細資訊。 例如，若要使用主控台新增自訂來源，必須允許使用者執行這些動作： + `glue:CreateCrawler` + `glue:CreateDatabase` + `glue:CreateTable` + `glue:StartCrawlerSchedule` + `iam:GetRole` + `iam:PutRolePolicy` + `iam:DeleteRolePolicy` + `iam:PassRole` + `lakeformation:RegisterResource` + `lakeformation:GrantPermissions` + `s3:ListBucket` + `s3:PutObject` ## 範例：允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視連接到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 範例：允許組織管理帳戶指定和移除委派管理員 此範例說明如何建立政策，允許 AWS Organizations 管理帳戶的使用者為其組織指定和移除委派的 Security Lake 管理員。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "securitylake:RegisterDataLakeDelegatedAdministrator", "securitylake:DeregisterDataLakeDelegatedAdministrator" ], "Resource": "arn:aws:securitylake:*:*:*" } ] } ``` ------ ## 範例：允許使用者根據標籤檢閱訂閱者 在以身分為基礎的政策中，您可以使用條件來根據標籤控制對 Security Lake 資源的存取。此範例示範如何建立政策，允許使用者使用 Security Lake 主控台或 Security Lake API 來檢閱訂閱者。不過，只有在訂閱者的`Owner`標籤值是使用者的使用者名稱時，才會授予許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewSubscriberDetailsIfOwner", "Effect": "Allow", "Action": "securitylake:GetSubscriber", "Resource": "arn:aws:securitylake:*:*:subscriber/*", "Condition": { "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"} } }, { "Sid": "ListSubscribersIfOwner", "Effect": "Allow", "Action": "securitylake:ListSubscribers", "Resource": "*", "Condition": { "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"} } } ] } ``` ------ 在此範例中，如果具有使用者名稱的使用者`richard-roe`嘗試檢閱個別訂閱者的詳細資訊，則訂閱者必須加上標籤 `Owner=richard-roe`或 `owner=richard-roe`。否則，便會拒絕該使用者存取。條件標籤金鑰 `Owner` 符合 `Owner` 和 `owner`，因為條件金鑰名稱不區分大小寫。如需使用條件索引鍵的詳細資訊，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 **如需標記 Security Lake 資源的資訊，請參閱 [標記 Security Lake 資源](tagging-resources.md)。 # AWS Security Lake 的 受管政策 AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可供現有服務使用時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策：AmazonSecurityLakeMetastoreManager Amazon Security Lake 使用 AWS Lambda 函數來管理資料湖中的中繼資料。透過使用此函數，Security Lake 可以將包含您的資料和資料檔案的 Amazon Simple Storage Service (Amazon S3) 分割區索引至 AWS Glue Data Catalog 資料表。此受管政策包含 Lambda 函數將 S3 分割區和資料檔案索引到 AWS Glue 資料表的所有許可。 **許可詳細資訊** 此政策包含以下許可： + `logs` – 允許主體將 Lambda 函數的輸出記錄到 Amazon CloudWatch Logs。 + `glue` – 允許主體執行 AWS Glue Data Catalog 資料表的特定寫入動作。這也允許 AWS Glue 爬蟲程式識別資料中的分割區。 + `sqs` – 允許主體對 Amazon SQS 佇列執行特定的讀取和寫入動作，這些佇列會在資料湖中新增或更新物件時傳送事件通知。 + `s3` – 允許主體對包含資料的 Amazon S3 儲存貯體執行特定的讀取和寫入動作。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonSecurityLakeMetastoreManager](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonSecurityLakeMetastoreManager.html)。 ## AWS 受管政策：AmazonSecurityLakePermissionsBoundary Amazon Security Lake 會為第三方自訂來源建立 IAM 角色，以將資料寫入資料湖，並為第三方自訂訂閱者建立 IAM 角色以取用資料湖中的資料，並在建立這些角色時使用此政策來定義其許可界限。您不需要採取動作即可使用此政策。如果資料湖使用客戶受管 AWS KMS 金鑰加密，`kms:Decrypt`則會新增`kms:GenerateDataKey`許可。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonSecurityLakePermissionsBoundary](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonSecurityLakePermissionsBoundary.html)。 ## AWS 受管政策：AmazonSecurityLakeAdministrator 您可以將`AmazonSecurityLakeAdministrator`政策連接至委託人，然後再為其帳戶啟用 Amazon Security Lake。此政策會授予管理許可，允許主體完整存取所有 Security Lake 動作。然後，委託人可以加入 Security Lake，並在 Security Lake 中設定來源和訂閱者。 此政策包含 Security Lake 管理員可以透過 Security Lake 在其他 AWS 服務上執行的動作。 此`AmazonSecurityLakeAdministrator`政策不支援建立 Security Lake 所需的公用程式角色，以管理 Amazon S3 跨區域複寫、在 中註冊新資料分割區 AWS Glue、對新增至自訂來源的資料執行 Glue 爬蟲程式，或通知 HTTPS 端點訂閱者新資料。您可以事先建立這些角色，如中所述[Amazon Security Lake 入門](getting-started.md)。 除了 `AmazonSecurityLakeAdministrator`受管政策之外，Security Lake 需要加入和組態函數的`lakeformation:PutDataLakeSettings`許可。 `PutDataLakeSettings` 允許將 IAM 主體設定為帳戶中所有區域 Lake Formation 資源的管理員。此角色必須連接 `iam:CreateRole permission`和 `AmazonSecurityLakeAdministrator`政策。 Lake Formation 管理員可以完整存取 Lake Formation 主控台，並控制初始資料組態和存取許可。Security Lake 會將啟用 Security Lake 和`AmazonSecurityLakeMetaStoreManager`角色 （或其他指定角色） 的主體指派為 Lake Formation 管理員，以便他們可以建立資料表、更新資料表結構描述、註冊新的分割區，以及設定資料表的許可。您必須在 Security Lake 管理員使用者或角色的政策中包含下列許可： **注意** 為了提供足夠的許可來授予 Lake Formation 型訂閱者存取權，Security Lake 建議新增下列`glue:PutResourcePolicy`許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowPutLakeFormationSettings", "Effect": "Allow", "Action": "lakeformation:PutDatalakeSettings", "Resource": "*", "Condition": { "ForAnyValue:StringEquals": { "aws:CalledVia": "securitylake.amazonaws.com" } } }, { "Sid": "AllowGlueActions", "Effect": "Allow", "Action": ["glue:PutResourcePolicy", "glue:DeleteResourcePolicy"], "Resource": [ "arn:aws:glue:*:*:catalog", "arn:aws:glue:*:*:database/amazon_security_lake_glue_db*", "arn:aws:glue:*:*:table/amazon_security_lake_glue_db*/*" ], "Condition": { "ForAnyValue:StringEquals": { "aws:CalledVia": "securitylake.amazonaws.com" } } } ] } ``` ------ **許可詳細資訊** 此政策包含以下許可。 + `securitylake` – 允許主體完整存取所有 Security Lake 動作。 + `organizations` – 允許主體從 AWS Organizations 擷取有關組織中帳戶的資訊。如果帳戶屬於組織，則這些許可允許 Security Lake 主控台顯示帳戶名稱和帳戶號碼。 + `iam` – 允許主體為 Security Lake、 AWS Lake Formation和 建立服務連結角色 Amazon EventBridge，作為啟用這些服務的必要步驟。也允許建立和編輯訂閱者和自訂來源角色的政策，這些角色的許可僅限於`AmazonSecurityLakePermissionsBoundary`政策允許的許可。 + `ram` ：允許主體設定訂閱者對 Security Lake 來源的 Lake Formation查詢存取。 + `s3`– 允許主體建立和管理 Security Lake 儲存貯體，並讀取這些儲存貯體的內容。 + `lambda` – 允許主體管理 Lambda 用於在 AWS 來源交付和跨區域複寫之後更新 AWS Glue 資料表分割區的 。 + `glue` – 允許主體建立和管理 Security Lake 資料庫和資料表。 + `lakeformation` – 允許主體管理 Security Lake 資料表的 Lake Formation 許可。 + `events` – 允許主體管理用來通知訂閱者 Security Lake 來源中新資料的規則。 + `sqs` – 允許主體建立和管理用於通知訂閱者 Security Lake 來源中新資料的 Amazon SQS 佇列。 + `kms` – 允許主體授予 Security Lake 使用客戶受管金鑰寫入資料的存取權。 + `secretsmanager` – 允許主體管理用於透過 HTTPS 端點通知訂閱者 Security Lake 來源中新資料的秘密。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [AmazonSecurityLakeAdministrator](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonSecurityLakeAdministrator.html)。 ## AWS 受管政策：SecurityLakeServiceLinkedRole Security Lake 使用名為 的服務連結角色`AWSServiceRoleForSecurityLake`來建立和操作安全資料湖。 您無法將 `SecurityLakeServiceLinkedRole`受管政策連接至 IAM 實體。此政策會連接到服務連結角色，允許 Security Lake 代表您執行動作。如需詳細資訊，請參閱 [Security Lake 的服務連結角色許可](https://docs.aws.amazon.com//security-lake/latest/userguide/slr-permissions.html)。 ## AWS 受管政策：SecurityLakeResourceManagementServiceRolePolicy Security Lake 使用名為 的服務連結角色`AWSServiceRoleForSecurityLakeResourceManagement`來執行持續的監控和效能改善，進而降低延遲和成本。提供管理 Security Lake 所建立資源的存取權。授予 Security Lake 刪除 SecurityLake\$1Glue\$1Partition\$1Updater\$1Lambda 的能力。對於已執行 iceberg 遷移並移至 v2 來源的客戶，此 Lambda 已棄用。此 Lambda 使用 Python 3.9 執行期，將於 12 月棄用。與其更新這些客戶的此 Lambda 執行時間，最好刪除它們。我們有一個復原程序，將判斷客戶是否仍需要 lambda，如果不需要，則將其刪除。需要此 SLR 更新，才能允許我們刪除該 lambda。 您無法將 `SecurityLakeResourceManagementServiceRolePolicy`受管政策連接至 IAM 實體。此政策會連接到服務連結角色，允許 Security Lake 代表您執行動作。如需詳細資訊，請參閱[資源管理的服務連結角色許可](https://docs.aws.amazon.com//security-lake/latest/userguide/AWSServiceRoleForSecurityLakeResourceManagement.html)。 **許可詳細資訊** 此政策包含以下許可。 + `events` – 允許主體列出和管理 Security Lake 事件處理的 EventBridge 規則。 + `lambda` – 允許主體管理用於 Security Lake 中繼資料處理的 Lambda 函數和組態，包括刪除已棄用分割區更新程式函數的功能。 + `glue` – 允許主體在 AWS Glue Data Catalog for Security Lake 中繼資料管理中建立分割區、管理資料表和存取資料庫。 + `s3` – 允許主體管理 Security Lake 資料湖操作的 Amazon S3 儲存貯體組態、生命週期政策和中繼資料物件。 + `logs` – 允許主體存取 CloudWatch Logs 串流，並查詢 Security Lake Lambda 函數的日誌資料。 + `sqs` – 允許主體管理 Security Lake 資料處理工作流程的 Amazon SQS 佇列和訊息。 + `lakeformation` – 允許主體擷取 Security Lake 資源管理的資料湖設定和許可。 若要檢視政策的詳細資訊，包括最新版本的 JSON 政策文件，請參閱《 *AWS 受管政策參考指南*》中的 [SecurityLakeResourceManagementServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/SecurityLakeResourceManagementServiceRolePolicy.html)。 ## AWS 受管政策： AWS GlueServiceRole `AWS GlueServiceRole` 受管政策會叫用 AWS Glue 爬蟲程式，並允許 AWS Glue 編目自訂來源資料並識別分割區中繼資料。在 Data Catalog 中建立和更新資料表時，需要此中繼資料。 如需詳細資訊，請參閱[從 Security Lake 中的自訂來源收集資料](custom-sources.md)。 ## AWS 受管政策的 Security Lake 更新 檢視自此服務開始追蹤這些變更以來，Security Lake AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 Security Lake 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [SecurityLakeResourceManagementServiceRolePolicy](#security-iam-awsmanpol-SecurityLakeServiceLinkedRole-ResourceManagement) – 已更新現有政策 | Security Lake 已更新 受管政策`SecurityLakeResourceManagementServiceRolePolicy`，以新增已取代 SecurityLake\$1Glue\$1Partition\$1Updater\$1Lambda 函數的`lambda:DeleteFunction`許可。這可讓 Security Lake 在遷移至 v2 來源和 iceberg 格式的過程中清除已取代的 Lambda 函數。 | 2025 年 11 月 18 日 | | [AWSServiceRoleForSecurityLakeResourceManagement](AWSServiceRoleForSecurityLakeResourceManagement.md) – 已更新現有政策 | 此政策已更新，以將 `StringLike`運算子取代為 `ArnLike`運算子，以評估`aws:ResourceAccount`條件區塊`lambda:FunctionArn`中 的 ARN 類型金鑰。這可提供更安全的強制執行。 | 2025 年 9 月 25 日 | | [Amazon Security Lake 的服務連結角色](AWSServiceRoleForSecurityLakeResourceManagement.md) – 新的服務連結角色 | 我們新增了新的服務連結角色 `AWSServiceRoleForSecurityLakeResourceManagement`。此服務連結角色可為 Security Lake 提供許可，以執行持續的監控和效能改善，進而降低延遲和成本。 | 2024 年 11 月 14 日 | | [Amazon Security Lake 的服務連結角色](using-service-linked-roles.md) – 更新現有服務連結角色許可 | 我們已將 AWS WAF 動作新增至政策的 AWS 受管`SecurityLakeServiceLinkedRole`政策。其他動作允許 Security Lake 在 Security Lake 中啟用為 AWS WAF 日誌來源時收集日誌。 | 2024 年 5 月 22 日 | | [AmazonSecurityLakePermissionsBoundary](#security-iam-awsmanpol-AmazonSecurityLakePermissionsBoundary) – 更新現有政策 | Security Lake 已將 SID 動作新增至政策。 | 2024 年 5 月 13 日 | | [AmazonSecurityLakeMetastoreManager](#security-iam-awsmanpol-AmazonSecurityLakeMetastoreManager) – 更新現有政策 | Security Lake 已更新政策，新增中繼資料清除動作，可讓您刪除資料湖中的中繼資料。 | 2024 年 3 月 27 日 | | [AmazonSecurityLakeAdministrator](#security-iam-awsmanpol-AmazonSecurityLakeAdministrator) – 更新現有政策 | Security Lake 已更新政策以允許新`AmazonSecurityLakeMetastoreManagerV2`角色`iam:PassRole`，並讓 Security Lake 部署或更新資料湖元件。 | 2024 年 2 月 23 日 | | [AmazonSecurityLakeMetastoreManager](#security-iam-awsmanpol-AmazonSecurityLakeMetastoreManager) – 新政策 | Security Lake 新增了新的受管政策，授予 Security Lake 管理資料湖中中繼資料的許可。 | 2024 年 1 月 23 日 | | [AmazonSecurityLakeAdministrator](#security-iam-awsmanpol-AmazonSecurityLakeAdministrator) – 新政策 | Security Lake 新增了新的受管政策，授予委託人對所有 Security Lake 動作的完整存取權。 | 2023 年 5 月 30 日 | | Security Lake 開始追蹤變更 | Security Lake 開始追蹤其 AWS 受管政策的變更。 | 2022 年 11 月 29 日 | # 使用 Security Lake 的服務連結角色 Security Lake 使用 AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Security Lake 的 IAM 角色。它由 Security Lake 預先定義，其中包含 Security Lake 代表您呼叫其他 AWS 服務 並操作安全資料湖服務所需的所有許可。Security Lake 會在提供 AWS 區域 Security Lake 的所有 中使用此服務連結角色。 服務連結角色不需要在設定 Security Lake 時手動新增必要的許可。Security Lake 定義此服務連結角色的許可，除非另有定義，否則只有 Security Lake 可以擔任該角色。定義的許可包括信任政策和許可政策，並且該許可政策不能連接到任何其他 IAM 實體。 您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。只有在刪除其相關資源之後，您才能刪除服務連結角色。這可保護您的資源，避免您不小心移除資源的存取許可。 如需有關支援服務連結角色的其他 服務的資訊，請參閱服務**連結角色**欄中與 [AWS IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並尋找具有**是**的服務。選擇有連結的**是**，以檢閱該服務的服務連結角色文件。 **Topics** + [Security Lake 的服務連結角色 (SLR) 許可](slr-permissions.md) + [資源管理的服務連結角色 (SLR) 許可](AWSServiceRoleForSecurityLakeResourceManagement.md) # Security Lake 的服務連結角色 (SLR) 許可 Security Lake 使用名為 的服務連結角色`AWSServiceRoleForSecurityLake`。此服務連結角色信任`securitylake.amazonaws.com`服務擔任該角色。如需 Amazon Security Lake 受 AWS 管政策的詳細資訊，請參閱 [AWS Amazon Security Lake 的管理政策](https://docs.aws.amazon.com//security-lake/latest/userguide/security-iam-awsmanpol.html)。 角色的許可政策是名為 的 AWS 受管政策`SecurityLakeServiceLinkedRole`，可讓 Security Lake 建立和操作安全資料湖。它還允許 Security Lake 對指定的資源執行如下任務： + 使用 AWS Organizations 動作來擷取關聯帳戶的相關資訊 + 使用 Amazon Elastic Compute Cloud (Amazon EC2) 擷取 Amazon VPC 流程日誌的相關資訊 + 使用 AWS CloudTrail 動作來擷取服務連結角色的相關資訊 + 在 Security Lake 中啟用 AWS WAF 日誌來源時，使用 AWS WAF 動作來收集日誌 + 使用 `LogDelivery`動作來建立或刪除 AWS WAF 日誌交付訂閱。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [SecurityLakeServiceLinkedRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/SecurityLakeServiceLinkedRole.html)。 您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。 ## 建立 Security Lake 服務連結角色 您不需要手動建立 Security Lake `AWSServiceRoleForSecurityLake`的服務連結角色。當您為 啟用 Security Lake 時 AWS 帳戶，Security Lake 會自動為您建立服務連結角色。 ## 編輯 Security Lake 服務連結角色 Security Lake 不允許您編輯`AWSServiceRoleForSecurityLake`服務連結角色。建立服務連結角色之後，您無法變更角色的名稱，因為各種實體可能會參考角色。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除 Security Lake 服務連結角色 您無法從 Security Lake 刪除服務連結角色。反之，您可以從 IAM 主控台、API 或 刪除服務連結角色 AWS CLI。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 您必須先確認角色沒有作用中的工作階段，並移除`AWSServiceRoleForSecurityLake`正在使用的任何資源，才能刪除服務連結角色。 **注意** 如果 Security Lake 在您嘗試刪除資源時使用`AWSServiceRoleForSecurityLake`角色，刪除可能會失敗。如果發生這種情況，請等待幾分鐘，然後再次嘗試操作。 如果您刪除`AWSServiceRoleForSecurityLake`服務連結角色並需要再次建立，您可以透過為您的帳戶啟用 Security Lake 來再次建立該角色。當您再次啟用 Security Lake 時，Security Lake 會自動再次為您建立服務連結角色。 ## AWS 區域 支援 Security Lake 服務連結角色 Security Lake 支援在可使用 AWS 區域 Security Lake 的所有 中使用`AWSServiceRoleForSecurityLake`服務連結角色。如需目前可使用 Security Lake 的區域清單，請參閱 [Security Lake 區域和端點](supported-regions.md)。 # 資源管理的服務連結角色 (SLR) 許可 Security Lake 使用名為 的服務連結角色`AWSServiceRoleForSecurityLakeResourceManagement`來執行持續的監控和效能改善，進而降低延遲和成本。此服務連結角色信任`resource-management.securitylake.amazonaws.com`服務擔任該角色。啟用 `AWSServiceRoleForSecurityLakeResourceManagement`也會授予其對 Lake Formation 的存取權，並在所有區域中自動向 Lake Formation 註冊您的 Security Lake 受管 S3 儲存貯體，以提高安全性。 角色的許可政策是名為 的 AWS 受管政策`SecurityLakeResourceManagementServiceRolePolicy`，允許存取 來管理 Security Lake 建立的資源，包括管理資料湖中的中繼資料。如需 Amazon Security Lake 受 AWS 管政策的詳細資訊，請參閱 [AWS Amazon Security Lake 的受管政策](https://docs.aws.amazon.com//security-lake/latest/userguide/security-iam-awsmanpol.html#security-iam-awsmanpol-SecurityLakeServiceLinkedRole-ResourceManagement.html)。 此服務連結角色可讓 Security Lake 監控 Security Lake (S3 儲存貯體、 AWS Glue 資料表、Amazon SQS 佇列、中繼存放區管理員 (MSM) Lambda 函數和 EventBridge 規則） 部署至您帳戶的資源運作狀態。Security Lake 可以使用此服務連結角色執行的一些操作範例如下： + Apache Iceberg 資訊清單檔案壓縮，可改善查詢效能並降低 Lambda MSM 處理時間和成本。 + 監控 Amazon SQS 的狀態，以偵測擷取問題。 + 最佳化跨區域資料複寫以排除中繼資料檔案。 **注意** 如果您未安裝`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色，Security Lake 將繼續運作，但強烈建議您接受此服務連結角色，以便 Security Lake 可以監控和最佳化您帳戶中的資源。 **許可詳細資訊** 使用下列許可政策來設定角色： + `events` – 允許主體管理日誌來源和日誌訂閱者所需的 EventBridge 規則。 + `lambda` – 允許主體管理用於在 AWS 來源交付和跨區域複寫之後更新 AWS Glue 資料表分割區的 lambda。 + `glue` – 允許主體執行 AWS Glue Data Catalog 資料表的特定寫入動作。這還允許 AWS Glue 爬蟲程式識別資料中的分割區，並允許 Security Lake 管理 Apache Iceberg 資料表的 Apache Iceberg 中繼資料。 + `s3` – 允許主體在包含日誌資料和 Glue 資料表中繼資料的 Security Lake 儲存貯體上執行特定的讀取和寫入動作。 + `logs` – 允許主體讀取存取權，將 Lambda 函數的輸出記錄到 CloudWatch Logs。 + `sqs` – 允許主體對 Amazon SQS 佇列執行特定的讀取和寫入動作，這些佇列會在資料湖中新增或更新物件時接收事件通知。 + `lakeformation` – 允許主體讀取 Lake Formation 設定，以監控組態錯誤。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*》中的 [SecurityLakeResourceManagementServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/SecurityLakeResourceManagementServiceRolePolicy.html)。 您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。 ## 建立 Security Lake 服務連結角色 您可以使用 Security Lake 主控台或 為 Security Lake 建立`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色 AWS CLI。 若要建立服務連結角色，您必須將下列許可授予 IAM 使用者或 IAM 角色。IAM 角色必須是所有啟用 Security Lake 的區域中的 Lake Formation 管理員。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowLakeFormationActionsViaSecurityLakeConsole", "Effect": "Allow", "Action": [ "lakeformation:GrantPermissions", "lakeformation:ListPermissions", "lakeformation:ListResources", "lakeformation:RegisterResource", "lakeformation:RevokePermissions" ], "Resource": "*" }, { "Sid": "AllowIamActionsViaSecurityLakeConsole", "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole", "iam:GetPolicyVersion", "iam:GetRole", "iam:PutRolePolicy" ], "Resource": [ "arn:*:iam::*:role/aws-service-role/resource-management.securitylake.amazonaws.com/AWSServiceRoleForSecurityLakeResourceManagement", "arn:*:iam::*:role/*AWSServiceRoleForLakeFormationDataAccess", "arn:*:iam::aws:policy/service-role/AWSGlueServiceRole", "arn:*:iam::aws:policy/service-role/AmazonSecurityLakeMetastoreManager", "arn:*:iam::aws:policy/aws-service-role/SecurityLakeResourceManagementServiceRolePolicy" ], "Condition": { "StringLikeIfExists": { "iam:AWSServiceName": [ "securitylake.amazonaws.com", "resource-management.securitylake.amazonaws.com", "lakeformation.amazonaws.com" ] } } }, { "Sid": "AllowGlueActionsViaConsole", "Effect": "Allow", "Action": [ "glue:GetDatabase", "glue:GetTables" ], "Resource": [ "arn:*:glue:*:*:catalog", "arn:*:glue:*:*:database/amazon_security_lake_glue_db*", "arn:*:glue:*:*:table/amazon_security_lake_glue_db*/*" ] } ] } ``` ------ ------ #### [ Console ] 1. 開啟位於 https：//[https://console.aws.amazon.com/securitylake/](https://console.aws.amazon.com/securitylake/) 的 Security Lake 主控台。 1. 在摘要頁面上的資訊列中按一下**啟用服務連結角色，以接受新的服務連結角色**。 啟用服務連結角色後，您不需要重複此程序以供日後使用 Security Lake。 ------ #### [ CLI ] 若要以程式設計方式建立`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色，請使用下列 CLI 命令。 ``` $ aws iam create-service-linked-role --aws-service-name resource-management.securitylake.amazonaws.com ``` 使用 建立`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色時 AWS CLI，您還必須將 Lake Formation 資料表層級許可 (ALTER、DESCRIBE) 授予 Security Lake Glue 資料庫上的所有資料表，以管理資料表中繼資料和存取資料。如果任何區域中的 Glue 資料表參考先前 Security Lake 啟用的 S3 儲存貯體，您必須暫時允許 DATA\$1LOCATION\$1ACCESS 許可給服務連結角色，以允許 Security Lake 修復這種情況。 您也必須將 Lake Formation 許可授予您帳戶的 `AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色。 下列範例顯示如何將 Lake Formation 許可授予指定區域中的服務連結角色。此範例已針對 Linux、macOS 或 Unix 格式化，並使用反斜線 (\$1) 行接續字元來改善可讀性。 ``` $ aws lakeformation grant-permissions --region {region} --principal DataLakePrincipalIdentifier={AWSServiceRoleForSecurityLakeResourceManagement ARN} \ --permissions ALTER DESCRIBE --resource '{ "Table": { "DatabaseName": "amazon_security_lake_glue_db_{region}", "TableWildcard": {} } }' ``` 下列範例顯示角色 ARN 的外觀。您必須編輯角色 ARN 以符合您的區域。 `"AWS": "arn:[partition]:iam::[accountid]:role/aws-service-role/resource-management.securitylake.amazonaws.com/AWSServiceRoleForSecurityLakeResourceManagement"` 您也可以使用 [CreateServiceLinkedRole](https://docs.aws.amazon.com//IAM/latest/APIReference/API_CreateServiceLinkedRole.html) API 呼叫。在請求中，將 指定`AWSServiceName`為 `resource-management.securitylake.amazonaws.com`。 ------ 啟用`AWSServiceRoleForSecurityLakeResourceManagement`角色之後，如果您使用 AWS KMS 客戶受管金鑰 (CMK) 進行加密，您必須允許服務連結角色將加密的物件寫入 CMK 存在的 AWS 區域中的 S3 儲存貯體。在 AWS KMS 主控台中，將下列政策新增至 CMK 存在的 AWS 區域中的 KMS 金鑰。如需如何變更 KMS 金鑰政策的詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的 [中的金鑰政策 AWS KMS](https://docs.aws.amazon.com//kms/latest/developerguide/key-policies.html)。 ``` { "Sid": "Allow SLR", "Effect": "Allow", "Principal": { "AWS": "arn:[partition]:iam::[accountid]:role/aws-service-role/resource-management.securitylake.amazonaws.com/AWSServiceRoleForSecurityLakeResourceManagement" }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey*" ], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::[regional-datalake-s3-bucket-name]" }, "StringLike": { "kms:ViaService": "s3.[region].amazonaws.com" } } }, ``` ## 編輯 Security Lake 服務連結角色 Security Lake 不允許您編輯`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色。建立服務連結角色之後，您無法變更角色的名稱，因為各種實體可能會參考角色。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除 Security Lake 服務連結角色 您無法從 Security Lake 刪除服務連結角色。反之，您可以從 IAM 主控台、API 或 刪除服務連結角色 AWS CLI。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 您必須先確認角色沒有作用中的工作階段，並移除`AWSServiceRoleForSecurityLakeResourceManagement`正在使用的任何資源，才能刪除服務連結角色。 **注意** 如果 Security Lake 在您嘗試刪除資源時使用`AWSServiceRoleForSecurityLakeResourceManagement`角色，刪除可能會失敗。如果發生這種情況，請等待幾分鐘，然後再次嘗試操作。 如果您刪除`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色並需要再次建立，您可以為您的帳戶啟用 Security Lake 來再次建立該角色。當您再次啟用 Security Lake 時，Security Lake 會自動再次為您建立服務連結角色。 ## AWS 區域 支援 Security Lake 服務連結角色 Security Lake 支援在所有可使用 Security Lake AWS 區域 的 中使用`AWSServiceRoleForSecurityLakeResourceManagement`服務連結角色。如需目前可使用 Security Lake 的區域清單，請參閱 [Security Lake 區域和端點](supported-regions.md)。 # Amazon Security Lake 中的資料保護 AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 Amazon Security Lake 中的資料保護。如此模型所述， AWS 負責保護執行所有 的 全球基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 Security Lake 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 靜態加密 Amazon Security Lake 使用 AWS 加密解決方案安全地存放靜態資料。原始安全日誌和事件資料存放在 Security Lake 管理的帳戶中的來源特定[多租用戶 Amazon Simple Storage Service (Amazon S3) 儲存貯](https://docs.aws.amazon.com/AmazonS3/latest/userguide/common-bucket-patterns.html#multi-tenant-buckets)體中。每個日誌來源都有自己的多租用戶儲存貯體。Security Lake 使用來自 AWS Key Management Service (AWS KMS) 的 [AWS 擁有金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-owned-cmk)來加密此原始資料。 AWS 擁有的金鑰是 AWS 服務擁有和管理的 AWS KMS 金鑰集合，可用於多個 AWS 帳戶。 Security Lake 會在原始日誌和事件資料上執行擷取、轉換和載入 (ETL) 任務。 ETL 任務完成後，Security Lake 會在您的帳戶中建立單一租用戶 S3 儲存貯體 （您已啟用 Security Lake AWS 區域 的每個儲存貯體各一個儲存貯體）。資料只會暫時存放在多租用戶 S3 儲存貯體中，直到 Security Lake 能夠可靠地將資料交付至單一租用戶 S3 儲存貯體為止。單一租用戶儲存貯體包含以資源為基礎的政策，提供 Security Lake 將日誌和事件資料寫入儲存貯體的許可。若要加密 S3 儲存貯體中的資料，您可以選擇 [S3-managed加密金鑰](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html)或[客戶受管金鑰 ](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk) （來自 AWS KMS)。這兩個選項都使用對稱加密。 ### 使用 KMS 金鑰來加密您的資料 根據預設，Security Lake 交付至 S3 儲存貯體的資料會透過 Amazon [ S3-managed加密金鑰 (SSE-S3) 的 Amazon 伺服器端加密進行加密](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html)。若要提供直接管理的安全層，您可以改為為 Security Lake 資料使用[伺服器端加密與 AWS KMS 金鑰 (SSE-KMS)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html)。 Security Lake 主控台不支援 SSE-KMS。若要搭配 Security Lake API 或 CLI 使用 SSE-KMS，您必須先[建立 KMS 金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html)或使用現有的金鑰。您可以將政策連接至金鑰，以決定哪些使用者可以使用金鑰來加密和解密 Security Lake 資料。 如果您使用客戶受管金鑰來加密寫入 S3 儲存貯體的資料，則無法選擇多區域金鑰。對於客戶受管金鑰，Security Lake 會透過傳送`CreateGrant`請求至 來代表您建立[授予](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html) AWS KMS。中的授予 AWS KMS 用於授予 Security Lake 存取客戶帳戶中 KMS 金鑰的權限。 Security Lake 需要授予 ，才能將客戶受管金鑰用於下列內部操作： + 傳送`GenerateDataKey`請求至 AWS KMS ，以產生由客戶受管金鑰加密的資料金鑰。 + 將`RetireGrant`請求傳送至 AWS KMS。當您更新資料湖時，此操作會讓新增至 AWS KMS 金鑰以進行 ETL 處理的授予淘汰。 Security Lake 不需要`Decrypt`許可。當金鑰的授權使用者讀取 Security Lake 資料時，S3 會管理解密，且授權使用者能夠以未加密的形式讀取資料。不過，訂閱者需要`Decrypt`許可才能使用來源資料。如需訂閱者許可的詳細資訊，請參閱 [管理 Security Lake 訂閱者的資料存取](subscriber-data-access.md)。 如果您想要使用現有的 KMS 金鑰來加密 Security Lake 資料，您必須修改 KMS 金鑰的金鑰政策。金鑰政策必須允許與 Lake Formation 資料湖位置相關聯的 IAM 角色使用 KMS 金鑰來解密資料。如需如何變更 KMS 金鑰金鑰政策的說明，請參閱《 AWS Key Management Service 開發人員指南》中的[變更金鑰政策](https://docs.aws.amazon.com//kms/latest/developerguide/key-policy-modifying.html)。 當您建立金鑰政策或使用具有適當許可的現有金鑰政策時，KMS 金鑰可以接受授予請求，允許 Security Lake 存取金鑰。如需建立金鑰政策的指示，請參閱《 *AWS Key Management Service 開發人員指南*》中的[建立金鑰政策](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-overview.html)。 將下列金鑰政策連接至您的 KMS 金鑰： ``` { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleRole"}, "Action": [ "kms:CreateGrant", "kms:DescribeKey", "kms:GenerateDataKey" ], "Resource": "*" } ``` ### 使用客戶受管金鑰時所需的 IAM 許可 如需使用 Security Lake 時需要建立的 IAM 角色概觀，請參閱[入門：先決條件](get-started-programmatic.md#prerequisites)一節。 當您新增自訂來源或訂閱者時，Security Lake 會在您的帳戶中建立 IAM 角色。這些角色旨在與其他 IAM 身分共用。它們允許自訂來源將資料寫入資料湖，並允許訂閱者從資料湖取用資料。名為 的 AWS 受管政策會`AmazonSecurityLakePermissionsBoundary`設定這些角色的許可界限。 ### 加密 Amazon SQS 佇列 當您建立資料湖時，Security Lake 會在委派的 Security Lake 管理員帳戶中建立兩個未加密的 Amazon Simple Queue Service (Amazon SQS) 佇列。您應該加密這些佇列來保護您的資料。Amazon Simple Queue Service 提供的預設伺服器端加密 (SSE) 不足。您必須在 AWS Key Management Service (AWS KMS) 中建立客戶受管金鑰來加密佇列，並授予 Amazon S3 服務主體使用加密佇列的許可。如需授予這些許可的指示，請參閱 AWS 知識中心的[為什麼 Amazon S3 事件通知不會傳送到使用伺服器端加密的 Amazon SQS 佇列？](https://repost.aws/knowledge-center/sqs-s3-event-notification-sse)。 由於 Security Lake 使用 AWS Lambda 來支援資料上的擷取、傳輸和載入 (ETL) 任務，因此您還必須提供 Lambda 許可來管理 Amazon SQS 佇列中的訊息。如需詳細資訊，請參閱《 *AWS Lambda 開發人員指南*》中的[執行角色許可](https://docs.aws.amazon.com/lambda/latest/dg/with-sqs.html#events-sqs-permissions)。 ## 傳輸中加密 Security Lake 會加密 AWS 服務之間傳輸的所有資料。Security Lake 透過使用 Transport Layer Security (TLS) 1.2 加密通訊協定自動加密所有網路間資料，保護傳輸中資料往返服務。傳送到 Security Lake APIs直接 HTTPS 請求是透過使用 [AWS Signature 第 4 版演算法](https://docs.aws.amazon.com/general/latest/gr/sigv4_signing.html)來建立安全連線來簽署。 # 選擇不使用您的資料以改善服務 您可以使用選擇退出政策，選擇不讓資料用於開發和改善 Security Lake AWS Organizations 和其他 AWS 安全服務。即使 Security Lake 目前未收集任何此類資料，您也可以選擇不接收。如需有關如何選擇退出的詳細資訊，請參閱《AWS Organizations 使用者指南》**中的 [AI 服務選擇退出政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html)。 目前，Security Lake 不會收集其代表您處理的任何安全資料，或您上傳至此服務所建立之安全資料湖的安全資料。為了開發並改善 Security Lake 服務和其他 AWS 安全服務的功能，Security Lake 可能會在未來收集此類資料，包括您從第三方資料來源上傳的資料。當 Security Lake 打算收集任何此類資料並描述其運作方式時，我們將更新此頁面。您仍然有機會隨時選擇退出。 **注意** 若要使用選擇退出政策， AWS 您的帳戶必須由 集中管理 AWS Organizations。如果您尚未為 AWS 帳戶建立組織，請參閱*AWS Organizations 《 使用者指南*》中的[建立和管理組織](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org.html)。 選擇退出具有以下影響： + Security Lake 將刪除在您選擇退出之前收集和存放的資料 （如果有的話）。 + 在您選擇退出後，Security Lake 將不再收集或儲存此資料。 # Amazon Security Lake 的合規驗證 若要了解 是否 AWS 服務 在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[下載報告 in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html) 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # Security Lake 的安全最佳實務 請參閱下列使用 Amazon Security Lake 的最佳實務。 ## 授予 Security Lake 使用者最低可能許可 遵循最低權限原則，為您的 AWS Identity and Access Management (IAM) 使用者、使用者群組和角色授予最低存取政策許可集。例如，您可以允許 IAM 使用者檢視 Security Lake 中的日誌來源清單，但不能建立來源或訂閱者。如需詳細資訊，請參閱[Security Lake 的身分型政策範例](security_iam_id-based-policy-examples.md) 您也可以使用 AWS CloudTrail 來追蹤 Security Lake 中的 API 用量。CloudTrail 提供由使用者、群組或角色在 Security Lake 中採取的 API 動作記錄。如需詳細資訊，請參閱[使用 CloudTrail 記錄 Security Lake API 呼叫](securitylake-cloudtrail.md)。 ## 檢視摘要頁面 Security Lake 主控台的**摘要**頁面提供過去 14 天的問題概觀，這些問題會影響 Security Lake 服務和存放資料的 Amazon S3 儲存貯體。您可以進一步調查這些問題，以協助您減輕可能的安全相關影響。 ## 與 Security Hub CSPM 整合 整合 Security Lake 和 AWS Security Hub CSPM 以接收 Security Lake 中的 Security Hub CSPM 調查結果。Security Hub CSPM 會從許多不同的 AWS 服務 第三方整合產生問題清單。接收 Security Hub CSPM 調查結果可協助您取得合規狀態的概觀，以及您是否符合 AWS 安全最佳實務。 如需詳細資訊，請參閱[與 整合 AWS Security Hub CSPM](securityhub-integration.md)。 ## 刪除 AWS Lambda 刪除函數時，建議您先不要停用該 AWS Lambda 函數。在刪除之前停用 Lambda 函數可能會干擾資料查詢功能，並可能影響其他功能。最好直接刪除 Lambda 函數，而不停用它。如需刪除 Lambda 函數的詳細資訊，請參閱[AWS Lambda 開發人員指南](https://docs.aws.amazon.com//lambda/latest/dg/example_lambda_DeleteFunction_section.html)。 ## 監控 Security Lake 事件 您可以使用 Amazon CloudWatch 指標來監控 Security Lake。CloudWatch 每分鐘從 Security Lake 收集原始資料，並將其處理為指標。您可以設定警示，在指標符合指定的閾值時觸發通知。 如需詳細資訊，請參閱[Amazon Security Lake 的 CloudWatch 指標](cloudwatch-metrics.md)。 # Amazon Security Lake 中的彈性 AWS 全域基礎設施是以 AWS 區域 和 可用區域為基礎建置。 AWS 區域 提供多個實體分隔和隔離的可用區域，這些區域與低延遲、高輸送量和高備援聯網連接。這些可用區域可讓您有效設計和操作應用程式與資料庫，可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 Security Lake 的可用性與區域可用性相關。跨多個可用區域分佈有助於服務容忍任何單一可用區域中的故障。 Security Lake 資料平面的可用性與任何區域可用性無關。不過，Security Lake 控制平面的可用性與美國東部 （維吉尼亞北部） 區域的可用性密切相關。 如需 AWS 區域 和 可用區域的詳細資訊，請參閱[AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 除了 AWS 全球基礎設施之外，Security Lake 還支援 Amazon Simple Storage Service (Amazon S3) 的資料； 提供多種功能，可協助支援您的資料彈性和備份需求。 **生命週期組態** 生命週期組態是一組規則，可定義 Amazon S3 套用至一組物件的動作。透過生命週期組態規則，您可以指示 Amazon S3 將物件轉換為較便宜的儲存體方案、進行封存或刪除。如需詳細資訊，請參閱 *Simple Storage Service (Amazon S3) 使用者指南*中的[管理儲存生命週期](https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lifecycle-mgmt.html)。 **版本控制** 版本控制是在相同儲存貯體中保留多個物件版本的方式。您可以使用版本控制功能來保留、擷取和恢復在 Amazon S3 儲存貯體中存放的每個物件的每個版本。版本控制可協助您從意外的使用者動作和應用程式失敗中復原。如需詳細資訊，請參閱《Amazon [ S3 使用者指南》中的在 S3 儲存貯體中使用版本控制](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html)。 *Amazon S3 * **儲存類別** Amazon S3 根據您的工作負載需求，提供各種儲存類別供選擇。S3 標準 – IA 和 S3 單區域 – IA 儲存類別是針對您每月存取約一次且需要毫秒存取的資料所設計。S3 Glacier Instant Retrieval 儲存類別專為長期存在且可以毫秒存取的封存資料而設計，您可以每季度存取一次。對於不需要立即存取的封存資料，例如備份，您可以使用 S3 Glacier Flexible Retrieval 或 S3 Glacier Deep Archive 儲存類別。如需詳細資訊，請參閱《[Amazon S3 使用者指南》中的使用 Amazon S3 儲存類別](https://docs.aws.amazon.com/AmazonS3/latest/userguide/storage-class-intro.html)。 *Amazon S3 * # Amazon Security Lake 中的基礎設施安全 Amazon Security Lake 是受管服務，受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及 如何 AWS 保護基礎設施的相關資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫，透過網路存取 Security Lake。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 # Security Lake 中的組態和漏洞分析 組態和 IT 控制是 AWS 與身為我們客戶的您共同的責任。如需詳細資訊，請參閱 AWS [共同的責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)。 # Amazon Security Lake 和介面 VPC 端點 (AWS PrivateLink) 您可以建立介面 VPC *端點*，在 VPC 和 Amazon Security Lake 之間建立私有連線。介面端點採用 [AWS PrivateLink](https://aws.amazon.com/privatelink)技術，可讓您在沒有網際網路閘道、NAT 裝置、VPN 連接或 AWS Direct Connect 連接的情況下私密存取 Security Lake APIs。VPC 中的執行個體不需要公有 IP 地址，即可與 Security Lake APIs通訊。VPC 和 Security Lake 之間的流量不會離開 Amazon 網路。 每個介面端點都是由您子網路中的一或多個[彈性網路介面](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html)表示。 如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[界面 VPC 端點 (AWS PrivateLink)](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html)。 ## Security Lake VPC 端點的考量事項 設定 Security Lake 的介面 VPC 端點之前，請務必檢閱 *AWS PrivateLink 指南*中的[介面端點屬性和限制](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-interface-limitations)。 Security Lake 支援從您的 VPC 呼叫其所有 API 動作。 Security Lake 僅在下列存在 FIPS 的區域支援 FIPS VPC 端點： + 美國東部 (維吉尼亞北部) + 美國東部 (俄亥俄) + 美國西部 (加利佛尼亞北部) + 美國西部 (奧勒岡) ## 為 Security Lake 建立介面 VPC 端點 您可以使用 Amazon VPC 主控台或 AWS Command Line Interface () 為 Security Lake 服務建立 VPC 端點AWS CLI。如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)」。 使用下列服務名稱建立 Security Lake 的 VPC 端點： + com.amazonaws.*region*.securitylake + com.amazonaws.*region*.securitylake-fips (FIPS 端點） 如果您為端點啟用私有 DNS，您可以使用區域的預設 DNS 名稱向 Security Lake 提出 API 請求，例如 `securitylake.us-east-1.amazonaws.com`。 如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[透過介面端點存取服務](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#access-service-though-endpoint)。 ## 為 Security Lake 建立 VPC 端點政策 您可以將端點政策連接至控制 Security Lake 存取的 VPC 端點。此政策會指定下列資訊： + 可執行動作的主體。 + 可執行的動作。 + 可供執行動作的資源。 如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[使用 VPC 端點控制對 服務的存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)。 **範例：Security Lake 動作的 VPC 端點政策** 以下是 Security Lake 端點政策的範例。連接到端點時，此政策會授予所有資源上所有主體所列出的 Security Lake 動作的存取權。 ``` { "Statement":[ { "Principal":"*", "Effect":"Allow", "Action":[ "securitylake:ListDataLakes", "securitylake:ListLogSources", "securitylake:ListSubscribers" ], "Resource":"*" } ] } ``` ## 共用子網路 無法在與您共用的子網路中建立、描述、修改或刪除 VPC 端點。不過，可以在與您共用的子網路中使用 VPC 端點。如需有關 VPC 子網路共用的資訊，請參閱《*Amazon VPC 使用者指南*》中的[與其他帳戶共用 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html)。 # 監控 Amazon Security Lake Security Lake 與 整合 AWS CloudTrail，此服務提供使用者、角色或其他使用者在 Security Lake 中採取的動作記錄 AWS 服務。這包括來自 Security Lake 主控台的動作，以及對 Security Lake API 操作的程式設計呼叫。透過使用 CloudTrail 收集的資訊，您可以判斷向 Security Lake 提出了哪些請求。對於每個請求，您可以識別提出時間、提出請求的 IP 地址、提出請求者，以及其他詳細資料。如需詳細資訊，請參閱[使用 CloudTrail 記錄 Security Lake API 呼叫](securitylake-cloudtrail.md)。 Security Lake 和 Amazon CloudWatch 已整合，因此您可以收集、檢視和分析 Security Lake 收集之日誌的指標。Security Lake 資料湖的 CloudWatch 指標會自動收集，並每隔一分鐘推送至 CloudWatch。您也可以設定警示，在達到 Security Lake 指標的指定閾值時傳送通知給您。如需 Security Lake 傳送至 CloudWatch 的所有指標清單，請參閱 [Security Lake 指標和維度](cloudwatch-metrics.md#available-securitylake-metrics)。 # Amazon Security Lake 的 CloudWatch 指標 您可以使用 Amazon CloudWatch 監控 Security Lake，它會每分鐘收集原始資料，並將其處理為可讀且近乎即時的指標。這些統計資料會保留 15 個月，讓您可以存取歷史資訊，並更清楚資料湖中的資料。您也可以設定留意特定閾值的警示，當滿足這些閾值時傳送通知或採取動作。 **Topics** + [Security Lake 指標和維度](#available-securitylake-metrics) + [檢視 Security Lake 的 CloudWatch 指標](#view-securitylake-metrics) + [設定 Security Lake 指標的 CloudWatch 警示](#securitylake-alarm-metrics) ## Security Lake 指標和維度 `AWS/SecurityLake` 命名空間包含下列指標。 | 指標 | Description | | --- | --- | | `ProcessedSize` | AWS 服務 目前存放在您的資料湖中，來自原生支援的資料量。 單位：位元組 | 下列維度適用於 Security Lake 指標。 | 維度 | Description | | --- | --- | | `Account` | `ProcessedSize` 特定 的 指標 AWS 帳戶。只有在 CloudWatch `Per-Account Source Version Metrics` 上檢視 時，才能使用此維度。 | | `Region` | `ProcessedSize` 特定 的 指標 AWS 區域。 | | `Source` | `ProcessedSize` 特定 AWS 日誌來源的 指標。 | | `SourceVersion` | `ProcessedSize` AWS 日誌來源特定版本的 指標。 | 您可以檢視 specific AWS 帳戶 (`Per-Account Source Version Metrics`) 或組織 () 中所有帳戶的指標`Per-Source Version Metrics`。 ## 檢視 Security Lake 的 CloudWatch 指標 您可以使用 CloudWatch 主控台、CloudWatch 自己的命令列界面 (CLI) 或以程式設計方式使用 CloudWatch API 來監控 Security Lake 的指標。選擇您偏好的方法，然後依照步驟存取 Security Lake 指標。 ------ #### [ CloudWatch console ] 1. 透過 [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/) 開啟 CloudWatch 主控台。 1. 在導覽窗格中，選擇**指標、所有指標**。 1. 在**瀏覽**索引標籤上，選擇 **Security Lake**。 1. 選擇**每個帳戶來源版本指標**或**每個來源版本指標**。 1. 選取指標以檢視詳細資訊。您也可以選擇執行下列動作： + 若要排序指標，請使用欄標題。 + 若要繪製指標圖形，請選取指標名稱，然後選擇圖形選項。 + 若要依指標篩選，請選取指標名稱，然後選擇**新增至搜尋**。 ------ #### [ CloudWatch API ] 若要使用 CloudWatch API 存取 Security Lake 指標，請使用 [https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetMetricStatistics.html](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetMetricStatistics.html)動作。 ------ #### [ AWS CLI ] 若要使用 存取 Security Lake 指標 AWS CLI，請執行 [https://docs.aws.amazon.com/cli/latest/reference/cloudwatch/get-metric-statistics.html](https://docs.aws.amazon.com/cli/latest/reference/cloudwatch/get-metric-statistics.html)命令。 ------ 如需使用指標進行監控的詳細資訊，請參閱《[Amazon CloudWatch 使用者指南》中的使用](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/working_with_metrics.html) *Amazon CloudWatch *指標。 ## 設定 Security Lake 指標的 CloudWatch 警示 CloudWatch 亦可讓您設定到達指標的閾值時的警示。例如，您可以設定 **ProcessedSize** 指標的警示，以便在特定來源的資料量超過特定閾值時收到通知。 如需設定警示的指示，請參閱《[Amazon CloudWatch 使用者指南》中的使用 Amazon CloudWatch 警示](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/AlarmThatSendsEmail.html)。 *Amazon CloudWatch *