View a markdown version of this page

IAM 動作和資源遷移 - AWS 安全代理程式
計劃變更準備遷移

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

IAM 動作和資源遷移

AWS Security Agent 是一種前端代理程式，可在所有環境的開發生命週期中主動保護您的應用程式。如果您在 2026 年 2 月 9 日之前加入 AWS 安全代理程式，您將受到 2026 年 3 月 9 日現有代理程式執行個體資源和 AWS 安全代理程式 IAM 動作的近期變更的影響。為了準備發佈公有 API/SDK 支援，正在將 代理程式執行個體資源重新命名為 代理程式空間，並且正在重新命名特定 IAM 動作。這些變更將影響您在 2026 年 3 月 9 日之前建立的任何應用程式或代理程式執行個體 IAM 角色。為了避免在 2026 年 3 月 9 日之後看到身分驗證問題，您將需要遵循準備遷移中的步驟。

注意

如果您在 2026 年 2 月 9 日之後建立任何新的 代理程式執行個體，新的 代理程式執行個體將建立為 代理程式空間，而且不需要任何遷移步驟。

計劃變更

AWS Security Agent 正在將代理程式執行個體資源重新命名為 Agent Space：arn:aws:securityagent:us-east-1:{{accountId}}:agent-instance/*重新命名為 arn:aws:securityagent:us-east-1:{{accountId}}:agent-space/*。此外，以下 IAM 動作正在重新命名：

  • securityagent:ListAgentInstances 重新命名為 securityagent:ListAgentSpaces

  • securityagent:ListControls 重新命名為 securityagent:ListSecurityRequirements

  • securityagent:BatchGetAgentInstances 重新命名為 securityagent:BatchGetAgentSpaces

  • securityagent:BatchGetSecurityTestContentMetadata 重新命名為 securityagent:BatchGetPentestJobContentMetadata

  • securityagent:BatchGetTasks 重新命名為 securityagent:BatchGetPentestJobTasks

  • securityagent:CreateDocumentReview 重新命名為 securityagent:CreateDesignReview

  • securityagent:GetDocumentReview 重新命名為 securityagent:GetDesignReview

  • securityagent:GetDocumentReviewArtifact 重新命名為 securityagent:GetDesignReviewArtifact

  • securityagent:ListDocumentReviews 重新命名為 securityagent:ListDesignReviews

  • securityagent:ListDocumentReviewComments 重新命名為 securityagent:ListDesignReviewComments

  • securityagent:ListTasks 重新命名為 securityagent:ListPentestJobTasks

  • securityagent:StartPentestExecution 重新命名為 securityagent:StartPentestJob

  • securityagent:StopPentestExecution 重新命名為 securityagent:StopPentestJob

  • securityagent:DeleteDocumentReview 重新命名為 securityagent:DeleteDesignReview

準備遷移

為了避免在 2026 年 3 月 9 日之前繼續使用 AWS Security Agent 時，在 2026 年 3 月 9 日之前發現問題，您將需要信任 IAM 角色/政策中的新舊資源和 IAM 動作，直到 2026 年 3 月 9 日為止。以下說明將提供遷移至新資源和動作格式的指南：

  1. 登入您的 AWS 帳戶並導覽至 AWS Security Agent 主控台

  2. 在左側面板中，選取設定，然後在服務角色下選擇角色

  3. 在關聯角色的 IAM 主控台中，選取新增許可和連接政策

  4. 選取 AWSSecurityAgentWebAppPolicy，然後選擇新增許可

    1. 重要注意事項：確認您已選取 AWSSecurityAgentWebAppPolicy 做為新政策，而非 SecurityAgentWebAppAPIPolicy

  5. 在許可政策下，確認您的 IAM 角色現在同時具有 AWSSecurityAgentWebAppPolicy 和 SecurityAgentWebAppAPIPolicy

  6. 在相同的 IAM 角色主控台中，選取信任關係，然後選取編輯信任政策

  7. 將您的信任政策更新為下列格式，以您的 AWS 帳戶 ID 取代 {{accountId}} 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{accountId}}"
        },
        "ArnLike": {
          "aws:SourceArn": [
            "arn:aws:securityagent:us-east-1:{{accountId}}:application/*",
            "arn:aws:securityagent:us-east-1:{{accountId}}:agent-space/*",
            "arn:aws:securityagent:us-east-1:{{accountId}}:agent-instance/*"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:SetContext",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{accountId}}"
        },
        "ForAllValues:ArnEquals": {
          "sts:RequestContextProviders": "arn:aws:iam::aws:contextProvider/IdentityCenter"
        },
        "ArnLike": {
          "aws:SourceArn": [
            "arn:aws:securityagent:us-east-1:{{accountId}}:application/*",
            "arn:aws:securityagent:us-east-1:{{accountId}}:agent-space/*",
            "arn:aws:securityagent:us-east-1:{{accountId}}:agent-instance/*"
          ]
        }
      }
    }
  ]
}

  1. 導覽回 AWS Security Agent 主控台。從左側面板中，選取客服人員空間

  2. 針對啟用滲透測試的每個客服人員空間，執行下列步驟

    1. 導覽至客服人員空間，然後選取滲透測試

    2. 在服務存取下，選擇服務角色名稱下的角色

    3. 在關聯角色的 IAM 主控台中，選取信任關係，然後選取編輯信任政策

    4. 將您的信任政策更新為下列格式，以您的 AWS 帳戶 ID 取代 {{accountId}} 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{accountId}}"
        },
        "ArnLike": {
          "aws:SourceArn": [
            "arn:aws:securityagent:us-east-1:{{accountId}}:agent-space/*",
            "arn:aws:securityagent:us-east-1:{{accountId}}:agent-instance/*"
          ]
        }
      }
    }
  ]
}