Aktionen, Ressourcen und Bedingungsschlüssel für AWS Security Agent - Service-Authorization-Referenz
AktionenRessourcentypenBedingungsschlüssel

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Security Agent

AWS Der Security Agent (Dienstpräfix:securityagent) stellt die folgenden dienstspezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Vom Security Agent definierte Aktionen AWS

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

In der Spalte Zugriffsebene der Tabelle Aktionen wird beschrieben, wie die Aktion klassifiziert wird (Liste, Lesen, Rechteverwaltung oder Tagging). Diese Klassifizierung gibt an, welche Zugriffsebene die betreffende Aktion gewährt, wenn Sie sie in einer Richtlinie verwenden. Weitere Informationen zu Zugriffsebenen finden Sie unter Zugriffsebenen in Richtlinienzusammenfassungen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

In der Spalte „Abhängige Aktionen“ der Tabelle „Aktionen“ werden zusätzliche Berechtigungen angezeigt, die möglicherweise erforderlich sind, um eine Aktion erfolgreich aufzurufen. Diese Berechtigungen sind möglicherweise zusätzlich zu den Berechtigungen für die Aktion selbst erforderlich. Wenn eine Aktion abhängige Aktionen spezifiziert, können diese Abhängigkeiten für zusätzliche Ressourcen gelten, die für diese Aktion definiert wurden, nicht nur für die erste Ressource, die in der Tabelle aufgeführt ist.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen Beschreibung Zugriffsebene Ressourcentypen (*erforderlich) Bedingungsschlüssel Abhängige Aktionen
AddArtifact Erteilt die Erlaubnis, ein Artifact für die angegebene Agenteninstanz hinzuzufügen Schreiben
AddControl Erteilt die Erlaubnis, ein vom Kunden verwaltetes Steuerelement hinzuzufügen Schreiben
BatchDeletePentests Erteilt die Erlaubnis, mehrere Penetrationstests in einer einzigen Anfrage zu löschen Schreiben
BatchGetAgentInstances Erteilt die Berechtigung zum Abrufen mehrerer Agenteninstanzen in einer einzigen Anfrage Lesen
BatchGetArtifactMetadata Erteilt die Berechtigung, einen oder mehrere Artifact-Metadaten-Datensätze für die angegebene Agenteninstanz abzurufen Lesen
BatchGetFindings Erteilt die Erlaubnis, mehrere Ergebnisse von Sicherheitstests in einer einzigen Anfrage abzurufen Lesen
BatchGetPentestJobs Erteilt die Berechtigung zum Abrufen mehrerer Sicherheitstest-Jobs in einer einzigen Anfrage Lesen
BatchGetPentests Erteilt die Erlaubnis, mehrere Penetrationstests in einer einzigen Anfrage abzurufen Lesen
BatchGetSecurityTestContentMetadata Erteilt die Berechtigung zum Abrufen von Metadaten für mehrere Sicherheitstestinhalte in einer einzigen Anfrage Lesen
BatchGetTasks Erteilt die Berechtigung zum Abrufen mehrerer Sicherheitstestaufgaben in einer einzigen Anfrage Lesen
CreateAgentInstance Erteilt die Berechtigung zum Erstellen eines Agenteninstanzdatensatzes Schreiben
CreateApplication Gewährt die Berechtigung zum Erstellen einer neuen Anwendung Schreiben

iam:PassRole

sso:CreateApplication

CreateDocumentReview Erteilt die Erlaubnis, eine Dokumentenüberprüfung zu erstellen Schreiben
CreateIntegration Erteilt die Berechtigung zum Erstellen einer Sicherheitstestintegration Schreiben
CreateMembership Erteilt die Berechtigung, einer Agenteninstanz mit der angegebenen Rolle ein einzelnes Mitglied hinzuzufügen Schreiben
CreateOneTimeLoginSession Erteilt die Erlaubnis, eine einmalige Anmeldesitzung zu erstellen Schreiben
CreatePentest Erteilt die Erlaubnis, eine neue Penetrationstest-Konfiguration zu erstellen Schreiben
DeleteAgentInstance Erteilt die Berechtigung zum Löschen eines Agenteninstanzdatensatzes Schreiben
DeleteApplication Erteilt die Berechtigung zum Löschen einer Anwendung Schreiben
DeleteArtifact Erteilt die Erlaubnis, ein Artifact zu löschen Schreiben
DeleteControl Erteilt die Erlaubnis, ein vom Kunden verwaltetes Steuerelement zu löschen Schreiben
DeleteIntegration Erteilt die Erlaubnis, die Integration einer Anwendung zu löschen Schreiben
DeleteMembership Erteilt die Berechtigung, ein einzelnes Mitglied zu entfernen, das einer Agenteninstanz zugeordnet ist Schreiben
DescribeFindings Erteilt die Berechtigung zum Abrufen von Sicherheitsergebnissen für einen Penetrationstest oder für Sicherheitstestaufgaben in einem Penetrationstest Lesen
GetApplication Erteilt die Berechtigung, Anwendungsdetails anhand der Anwendungs-ID abzurufen Lesen
GetArtifact Erteilt die Erlaubnis, ein Artifact für die angegebene Agenteninstanz abzurufen Lesen
GetCodeReviewTask Erteilt die Berechtigung zum Abrufen einer Code-Review-Aufgabe Lesen
GetControl Erteilt die Berechtigung zum Abrufen eines Steuerelements Lesen
GetDocReviewTask Erteilt die Berechtigung zum Abrufen einer Aufgabe zur Dokumentenüberprüfung Lesen
GetDocumentReview Erteilt die Berechtigung, den Status der Dokumentenprüfung der zugehörigen Agenteninstanz abzurufen Lesen
GetDocumentReviewArtifact Erteilt die Erlaubnis, ein Artefakt zur Dokumentenüberprüfung für ein bestimmtes Dokument abzurufen Lesen
GetIntegration Erteilt die Erlaubnis, die Integrationsmetadaten nach ID abzurufen Lesen
GetLoginSessionCredentials Erteilt die Berechtigung zum Abrufen von Anmeldeinformationen für eine einmalige Anmeldesitzung Lesen
HandleOneTimeLoginSession Erteilt die Erlaubnis, eine einmalige Anmeldesitzung zu verarbeiten und für ungültig zu erklären Schreiben
InitiateProviderRegistration Erteilt die Berechtigung, die Registrierung der Security Agent App für den angegebenen Anbieter zu initiieren (z. B.: GitHub) Schreiben
ListAgentInstanceTasks Erteilt die Berechtigung, Aufgaben für eine bestimmte Agent-Instanz aufzulisten Auflisten
ListAgentInstances Erteilt die Berechtigung, Agenteninstanzen aufzulisten Auflisten
ListApplications Erteilt die Erlaubnis, alle Anwendungen im Konto aufzulisten Auflisten
ListArtifacts Erteilt die Erlaubnis, alle Artefakte für das angegebene Projekt aufzulisten Auflisten
ListControls Erteilt die Berechtigung, alle Steuerelemente aufzulisten Auflisten
ListDiscoveredEndpoints Erteilt die Berechtigung, entdeckte Endpunkte aufzulisten, die einem Pentest-Job zugeordnet sind, mit optionaler URI-Präfixfilterung Auflisten
ListDocumentReviewComments Erteilt die Erlaubnis, Kommentare zur Dokumentenüberprüfung aufzulisten Auflisten
ListDocumentReviews Erteilt die Erlaubnis, alle Dokumentenrezensionen für das angegebene Projekt aufzulisten Auflisten
ListFindings Erteilt die Erlaubnis, Ergebnisse mit Unterstützung für Filterung und Seitennummerierung aufzulisten Auflisten
ListIntegratedResources Erteilt die Berechtigung, integrierte Ressourcen für eine Agenteninstanz aufzulisten Auflisten
ListIntegrations Erteilt die Erlaubnis, die Integrationen abzurufen, die dem Anrufer gehören AWS-Konto Auflisten
ListMemberships Erteilt die Berechtigung, alle Mitglieder aufzulisten, die einer Agenteninstanz mit Paginierungsunterstützung zugeordnet sind Auflisten
ListPentestJobsForPentest Erteilt die Berechtigung, Penetrationstest-Jobs aufzulisten, die mit einem Penetrationstest verknüpft sind Auflisten
ListPentests Erteilt die Erlaubnis, Penetrationstests mit optionaler Filterung nach Status aufzulisten Auflisten
ListResourcesFromIntegration Erteilt die Erlaubnis, Ressourcen aus der Integration aufzulisten Auflisten
ListTasks Erteilt die Berechtigung, Sicherheitstestaufgaben aufzulisten, die mit einem Pentest-Job verknüpft sind Auflisten
StartCodeRemediation Erteilt die Erlaubnis, mit der Codekorrektur für die Ergebnisse zu beginnen Schreiben
StartPentestExecution Erteilt die Erlaubnis, die Durchführung eines Penetrationstests einzuleiten Schreiben
StopPentestExecution Erteilt die Erlaubnis, die Ausführung eines laufenden Penetrationstests zu beenden Schreiben
ToggleManagedControl Erteilt die Erlaubnis, den Status umzuschalten Schreiben
UpdateAgentInstance Erteilt die Berechtigung zum Aktualisieren eines Agenteninstanzdatensatzes Schreiben
UpdateApplication Erteilt die Berechtigung zum Aktualisieren der Anwendungskonfiguration Schreiben

iam:PassRole

UpdateControl Erteilt die Erlaubnis, ein vom Kunden verwaltetes Steuerelement zu aktualisieren Schreiben
UpdateFinding Erteilt die Berechtigung, eine bestehende Sicherheitsfeststellung mit neuen Details oder einem neuen Status zu aktualisieren Schreiben
UpdateIntegratedResources Erteilt die Berechtigung zum Aktualisieren integrierter Ressourcen für eine Agenteninstanz Schreiben
UpdatePentest Erteilt die Erlaubnis, einen vorhandenen Penetrationstest mit einer neuen Konfiguration oder neuen Einstellungen zu aktualisieren Schreiben
VerifyTargetDomain Erteilt die Berechtigung, die Inhaberschaft einer registrierten Zieldomain in einer Agent-Instanz zu überprüfen Schreiben

Vom AWS Security Agent definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle „Aktionen“ identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen ARN Bedingungsschlüssel
Application arn:${Partition}:securityagent:${Region}:${Account}:application/${ApplicationId}
Control arn:${Partition}:securityagent:${Region}:${Account}:control/${ControlId}
Integration arn:${Partition}:securityagent:${Region}:${Account}:integration/${IntegrationId}
AgentInstance arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}
Artifact arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/artifact/${ArtifactId}
Pentest arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/pentest/${PentestId}
PentestJob arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/pentest-job/${JobId}
PentestTask arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/pentest-task/${TaskId}
Finding arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/finding/${FindingId}

Bedingungsschlüssel für den AWS Security Agent

Der SecurityAgent hat keine dienstspezifischen Kontextschlüssel, die Condition in Richtlinienanweisungen verwendet werden können. Eine Liste der globalen Kontextschlüssel, die für alle Dienste verfügbar sind, finden Sie unter Kontextschlüssel für AWS globale Bedingungen.