Amazon GuardDuty 的動作、資源和條件索引鍵
Amazon GuardDuty （服務字首：guardduty) 提供下列服務特定的操作、資源、動作和條件索引鍵，可用於 IAM 許可政策。
參考資料：
-
了解如何設定此服務。
-
檢視可供此服務使用的 API 操作清單。
-
了解如何使用 IAM 許可政策來保護此服務及其資源。
-
檢視此服務的程式設計服務授權參考
。
Amazon GuardDuty 定義的 API 操作
下表將 API 操作映射至其授權的 IAM 動作。只會列出具有指定 API 和動作靜態值的條件金鑰；如需每個動作支援的完整條件金鑰集，請參閱動作表格。
| 作業 | IAM 動作 | 條件鍵 | 可能的值 (s) | 存取層級 |
|---|---|---|---|---|
|
AcceptAdministratorInvitation |
寫入 |
|||
|
AcceptInvitation |
寫入 |
|||
|
ArchiveFindings |
寫入 |
|||
|
CreateCustomDetectionRuleAssociation |
寫入 |
|||
標記、寫入 |
||||
|
CreateCustomDetectionRuleOrgConfiguration |
寫入 |
|||
|
CreateDetector |
寫入 |
|||
標記、寫入 |
||||
|
CreateFilter |
寫入 |
|||
標記、寫入 |
||||
|
CreateIPSet |
寫入 |
|||
標記、寫入 |
||||
|
CreateInvestigation |
寫入 |
|||
|
CreateMalwareProtectionPlan |
寫入 |
|||
標記、寫入 |
||||
iam:PassedToService |
malware-protection-plan.guardduty.amazonaws.com |
寫入 |
||
|
CreateMembers |
寫入 |
|||
|
CreatePublishingDestination |
寫入 |
|||
標記、寫入 |
||||
|
CreateSampleFindings |
寫入 |
|||
|
CreateThreatEntitySet |
寫入 |
|||
標記、寫入 |
||||
|
CreateThreatIntelSet |
寫入 |
|||
標記、寫入 |
||||
|
CreateTrustedEntitySet |
寫入 |
|||
標記、寫入 |
||||
|
DeclineInvitations |
寫入 |
|||
|
DeleteCustomDetectionRuleAssociation |
寫入 |
|||
|
DeleteCustomDetectionRuleOrgConfiguration |
寫入 |
|||
|
DeleteDetector |
寫入 |
|||
|
DeleteFilter |
寫入 |
|||
|
DeleteIPSet |
寫入 |
|||
|
DeleteInvitations |
寫入 |
|||
|
DeleteMalwareProtectionPlan |
寫入 |
|||
|
DeleteMembers |
寫入 |
|||
|
DeletePublishingDestination |
寫入 |
|||
|
DeleteThreatEntitySet |
寫入 |
|||
|
DeleteThreatIntelSet |
寫入 |
|||
|
DeleteTrustedEntitySet |
寫入 |
|||
|
DescribeMalwareScans |
讀取 |
|||
|
DescribeOrganizationConfiguration |
讀取 |
|||
|
DescribePublishingDestination |
讀取 |
|||
|
DisableOrganizationAdminAccount |
寫入 |
|||
|
DisassociateFromAdministratorAccount |
寫入 |
|||
|
DisassociateFromMasterAccount |
寫入 |
|||
|
DisassociateMembers |
寫入 |
|||
|
EnableOrganizationAdminAccount |
寫入 |
|||
|
GetAdministratorAccount |
讀取 |
|||
|
GetCoverageStatistics |
讀取 |
|||
|
GetCustomDetectionRule |
讀取 |
|||
|
GetCustomDetectionRuleAssociation |
讀取 |
|||
|
GetCustomDetectionRuleOrgConfiguration |
讀取 |
|||
|
GetDetector |
讀取 |
|||
|
GetFilter |
讀取 |
|||
|
GetFindings |
讀取 |
|||
|
GetFindingsStatistics |
讀取 |
|||
|
GetIPSet |
讀取 |
|||
|
GetInvestigation |
讀取 |
|||
|
GetInvitationsCount |
讀取 |
|||
|
GetMalwareProtectionPlan |
讀取 |
|||
|
GetMalwareScan |
讀取 |
|||
|
GetMalwareScanSettings |
讀取 |
|||
|
GetMasterAccount |
讀取 |
|||
|
GetMemberDetectors |
讀取 |
|||
|
GetMembers |
讀取 |
|||
|
GetOrganizationStatistics |
讀取 |
|||
|
GetRemainingFreeTrialDays |
讀取 |
|||
|
GetThreatEntitySet |
讀取 |
|||
|
GetThreatIntelSet |
讀取 |
|||
|
GetTrustedEntitySet |
讀取 |
|||
|
GetUsageStatistics |
讀取 |
|||
|
InviteMembers |
寫入 |
|||
|
ListCoverage |
清單 |
|||
|
ListCustomDetectionRuleAssociations |
清單 |
|||
|
ListCustomDetectionRuleOrgConfigurations |
清單 |
|||
|
ListCustomDetectionRules |
清單 |
|||
|
ListDetectors |
清單 |
|||
|
ListFilters |
清單 |
|||
|
ListFindings |
清單 |
|||
|
ListIPSets |
清單 |
|||
|
ListInvestigations |
清單 |
|||
|
ListInvitations |
清單 |
|||
|
ListMalwareProtectionPlans |
清單 |
|||
|
ListMalwareScans |
清單 |
|||
|
ListMembers |
清單 |
|||
|
ListOrganizationAdminAccounts |
清單 |
|||
|
ListPublishingDestinations |
清單 |
|||
|
ListTagsForResource |
讀取 |
|||
|
ListThreatEntitySets |
清單 |
|||
|
ListThreatIntelSets |
清單 |
|||
|
ListTrustedEntitySets |
清單 |
|||
|
SendObjectMalwareScan |
寫入 |
|||
|
StartMalwareScan |
寫入 |
|||
iam:PassedToService |
malware-protection.guardduty.amazonaws.com |
寫入 |
||
|
StartMonitoringMembers |
寫入 |
|||
|
StopMonitoringMembers |
寫入 |
|||
|
TagResource |
標記、寫入 |
|||
|
UnarchiveFindings |
寫入 |
|||
|
UntagResource |
標記、寫入 |
|||
|
UpdateCustomDetectionRuleAssociation |
寫入 |
|||
|
UpdateCustomDetectionRuleOrgConfiguration |
寫入 |
|||
|
UpdateDetector |
寫入 |
|||
|
UpdateFilter |
寫入 |
|||
|
UpdateFindingsFeedback |
寫入 |
|||
|
UpdateIPSet |
寫入 |
|||
|
UpdateMalwareProtectionPlan |
寫入 |
|||
iam:PassedToService |
malware-protection-plan.guardduty.amazonaws.com |
寫入 |
||
|
UpdateMalwareScanSettings |
寫入 |
|||
|
UpdateMemberDetectors |
寫入 |
|||
|
UpdateOrganizationConfiguration |
寫入 |
|||
|
UpdatePublishingDestination |
寫入 |
|||
|
UpdateThreatEntitySet |
寫入 |
|||
|
UpdateThreatIntelSet |
寫入 |
|||
|
UpdateTrustedEntitySet |
寫入 |
Amazon GuardDuty 定義的動作
您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。
| 動作 | 說明 | 資源類型 (*必填項目) | 條件索引鍵 | 存取層級 |
|---|---|---|---|---|
授予許可以接受邀請成為 GuardDuty 成員帳戶 |
寫入 |
|||
授予許可以接受邀請成為 GuardDuty 成員帳戶 |
寫入 |
|||
授予許可以封存 GuardDuty 問題清單 |
寫入 |
|||
准許建立 GuardDuty 自訂偵測規則關聯 |
寫入 |
|||
准許為 GuardDuty 自訂偵測規則建立組織組態 |
寫入 |
|||
授予許可以建立偵測器 |
寫入 |
|||
授予建立 GuardDuty 篩選條件的許可。篩選條件會定義用來尋找篩選問題清單的屬性和條件 |
寫入 |
|||
授予許可以建立 IPSet |
寫入 |
|||
准許建立 GuardDuty 調查 |
寫入 |
|||
准許建立新的惡意軟體防護計劃 |
寫入 |
|||
授予許可以建立 GuardDuty 會員帳戶；用於建立會員的帳戶將成為 GuardDuty 管理員帳戶 |
寫入 |
|||
授予許可以建立發佈目標 |
寫入 |
|||
准許建立範例問題清單 |
寫入 |
|||
准許建立 GuardDuty ThreatEntitySets，其中 ThreatEntitySet 包含 GuardDuty 用來產生調查結果的已知惡意 IP 地址和/或網域 |
寫入 |
|||
授予許可以建立 GuardDuty ThreatIntelSet，其中 ThreatIntelSet 包含 GuardDuty 用於產生問題清單的已知惡意 IP 位址 |
寫入 |
|||
准許建立 TrustedEntitySet |
寫入 |
|||
授予許可以拒絕成為 GuardDuty 成員帳戶的邀請 |
寫入 |
|||
准許刪除 GuardDuty 自訂偵測規則關聯 |
寫入 |
|||
准許刪除 GuardDuty 自訂偵測規則的組織組態 |
寫入 |
|||
授予許可以刪除 GuardDuty 偵測器 |
寫入 |
|||
授予許可以刪除 GuardDuty 篩選條件 |
寫入 |
|||
授予許可以刪除 GuardDuty IPSets |
寫入 |
|||
授予許可以刪除成為 GuardDuty 成員帳戶的邀請 |
寫入 |
|||
准許刪除惡意軟體防護計劃 |
寫入 |
|||
授予許可以刪除 GuardDuty 成員帳戶 |
寫入 |
|||
授予許可以刪除發佈目標 |
寫入 |
|||
准許刪除 GuardDuty ThreatEntitySets |
寫入 |
|||
授予許可以刪除 GuardDuty ThreatIntelSet |
寫入 |
|||
准許刪除 GuardDuty TrustedEntitySets |
寫入 |
|||
准許擷取惡意軟體掃描的相關詳細資訊 |
讀取 |
|||
授予許可以擷取與 GuardDuty 偵測器相關聯之委派管理員詳細資料 |
讀取 |
|||
授予許可以擷取發佈目標的詳細資訊 |
讀取 |
|||
授予許可以停用 GuardDuty 組織委派管理員 |
寫入 |
|||
授予許可以解除 GuardDuty 成員帳戶與其 GuardDuty 管理員帳戶的關聯 |
寫入 |
|||
授予許可以解除 GuardDuty 成員帳戶與其 GuardDuty 管理員帳戶的關聯 |
寫入 |
|||
授予許可以解除 GuardDuty 成員帳戶與其管理員 GuardDuty 帳戶的關聯 |
寫入 |
|||
授予許可以啟用 GuardDuty 之組織委派管理員 |
寫入 |
|||
授予許可以擷取與成員帳戶相關聯的 GuardDuty 管理員帳戶詳細資訊 |
讀取 |
|||
准許列出區域中指定 GuardDuty 帳戶的 Amazon GuardDuty 涵蓋範圍統計資料 |
讀取 |
|||
准許擷取 GuardDuty 自訂偵測規則 |
讀取 |
|||
准許擷取 GuardDuty 自訂偵測規則關聯 |
讀取 |
|||
准許擷取 GuardDuty 自訂偵測規則的組織組態 |
讀取 |
|||
授予許可以擷取 GuardDuty 偵測器 |
讀取 |
|||
授予許可以擷取 GuardDuty 篩選條件 |
讀取 |
|||
授予許可以擷取 GuardDuty 問題清單 |
讀取 |
|||
授予許可以擷取 GuardDuty 問題清單統計資料清單 |
讀取 |
|||
准許擷取 GuardDuty IPSet |
讀取 |
|||
准許擷取 GuardDuty 調查 |
讀取 |
|||
授予許可以擷取傳送至指定帳戶的所有 GuardDuty 邀請計數 (不包括已接受的邀請) |
讀取 |
|||
准許擷取惡意軟體防護計劃詳細資訊 |
讀取 |
|||
准許擷取惡意軟體掃描的詳細資訊 |
讀取 |
|||
准許擷取惡意軟體掃描設定 |
讀取 |
|||
授予許可以擷取與成員帳戶相關聯的 GuardDuty 管理員帳戶詳細資訊 |
讀取 |
|||
准許描述成員帳戶偵測器啟用了哪些資料來源 |
讀取 |
|||
授予許可以擷取與管理員帳戶相關聯的成員帳戶 |
讀取 |
|||
授權擷取區域中成員帳戶的 GuardDuty 保護計畫涵蓋範圍統計資料 |
讀取 |
|||
准許提供免費試用期間使用的每個資料來源的剩余天數 |
讀取 |
|||
准許擷取 GuardDuty ThreatEntitySets |
讀取 |
|||
授予許可以擷取 GuardDuty ThreatIntelSet |
讀取 |
|||
准許擷取 GuardDuty TrustedEntitySets |
讀取 |
|||
准許列出過去 30 天內指定偵測器 ID 的 Amazon GuardDuty 使用統計資料 |
讀取 |
|||
准許邀請其他 AWS 帳戶啟用 GuardDuty 並成為 GuardDuty 成員帳戶 |
寫入 |
|||
准許列出區域中指定帳戶的所有資源詳細資訊 |
清單 |
|||
准許擷取 GuardDuty 自訂偵測規則關聯的清單 |
清單 |
|||
准許擷取 GuardDuty 自訂偵測規則的組織組態清單 |
清單 |
|||
准許擷取 GuardDuty 自訂偵測規則清單 |
清單 |
|||
授予許可以擷取 GuardDuty 偵測器清單 |
清單 |
|||
授予許可以擷取 GuardDuty 篩選條件清單 |
清單 |
|||
授予許可以擷取 GuardDuty 問題清單的清單 |
清單 |
|||
授予許可以擷取 GuardDuty IPSet |
清單 |
|||
准許擷取 GuardDuty 調查清單 |
清單 |
|||
准許擷取傳送至 的所有 GuardDuty 成員資格邀請清單 AWS 帳戶 |
清單 |
|||
准許擷取惡意軟體防護計劃清單 |
清單 |
|||
准許擷取惡意軟體掃描清單 |
清單 |
|||
授予許可以擷取與管理員帳戶相關聯的 GuardDuty 成員帳戶清單 |
清單 |
|||
授予許可以列出有關 GuardDuty 委派管理員之組織詳細資料 |
清單 |
|||
授予許可以擷取發佈目標的清單 |
清單 |
|||
授予許可以擷取與 GuardDuty 資源相關聯的標籤清單 |
讀取 |
|||
准許擷取 GuardDuty ThreatEntitySets 的清單 |
清單 |
|||
授予許可以擷取 GuardDuty ThreatIntelSet 清單 |
清單 |
|||
准許擷取 GuardDuty TrustedEntitySets 的清單 |
清單 |
|||
准許啟動新的物件惡意軟體掃描 |
寫入 |
|||
准許傳送區域中特定 GuardDuty 帳戶的安全遙測 |
寫入 |
|||
准許初始化新的惡意軟體掃描 |
寫入 |
|||
授予許可以 GuardDuty 管理員帳戶監控來自 GuardDuty 會員帳戶的結果 |
寫入 |
|||
授予許可以停用監控來自成員帳戶的問題清單 |
寫入 |
|||
授予許可以將標籤新增至 GuardDuty 資源 |
標記、寫入 |
|||
授予許可以解除存檔 GuardDuty 問題清單 |
寫入 |
|||
授予許可以從 GuardDuty 資源移除標籤 |
標記、寫入 |
|||
准許更新 GuardDuty 自訂偵測規則關聯 |
寫入 |
|||
准許更新 GuardDuty 自訂偵測規則的組織組態 |
寫入 |
|||
授予許可以更新 GuardDuty 偵測器 |
寫入 |
|||
授予許可以更新 GuardDuty 篩選條件 |
寫入 |
|||
授予許可以更新問題清單意見回饋，以將 GuardDuty 問題清單標示為實用或不實用 |
寫入 |
|||
授予許可以更新 GuardDuty IPSets |
寫入 |
|||
准許更新惡意軟體防護計劃 |
寫入 |
|||
准許更新惡意軟體掃描設定 |
寫入 |
|||
准許更新成員帳戶偵測器啟用了哪些資料來源 |
寫入 |
|||
授予許可以更新與 GuardDuty 偵測器相關聯的委派管理員設定 |
寫入 |
|||
授予許可以更新發佈目標 |
寫入 |
|||
准許更新 GuardDuty ThreatEntitySets |
寫入 |
|||
授予許可以更新 GuardDuty ThreatIntelSet |
寫入 |
|||
准許更新 GuardDuty TrustedEntitySets |
寫入 |
Amazon GuardDuty 定義的資源類型
此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。
| 資源類型 | ARN | 條件索引鍵 |
|---|---|---|
arn：${Partition}：guardduty：：aws：detection-rule/custom/${RuleId} |
||
arn：${Partition}：guardduty：${Region}：${Account}：detection-rule/custom/${RuleId}/association/${AssociationId} |
||
arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId} |
||
arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/filter/${FilterName} |
||
arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/ipset/${IPSetId} |
||
arn：${Partition}：guardduty：${Region}：${Account}：malware-protection-plan/${MalwareProtectionPlanId} |
||
arn：${Partition}：guardduty：${Region}：${Account}：detector/${DetectorId}/publishingdestination/${PublishingDestinationId} |
||
arn：${Partition}：guardduty：${Region}：${Account}：detector/${DetectorId}/threatentityset/${ThreatEntitySetId} |
||
arn:${Partition}:guardduty:${Region}:${Account}:detector/${DetectorId}/threatintelset/${ThreatIntelSetId} |
||
arn：${Partition}：guardduty：${Region}：${Account}：detector/${DetectorId}/trustedentityset/${TrustedEntitySetId} |
Amazon GuardDuty 的條件索引鍵
Amazon GuardDuty 定義了下列條件索引鍵，可在 IAM 政策的 Condition 元素中使用。
| 條件索引鍵 | 描述 | Type |
|---|---|---|
依請求中的標籤鍵值對篩選存取權 |
String |
|
依連接到資源的標籤鍵值對篩選存取權 |
String |
|
依請求中的標籤索引鍵篩選存取權 |
ArrayOfString |
