Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Service-linked permisos de rol para GuardDuty

GuardDuty usa la función vinculada a servicios (SLR) denominada. AWSServiceRoleForAmazonGuardDuty La SLR permite realizar GuardDuty las siguientes tareas. También permite GuardDuty incluir los metadatos recuperados que pertenecen a la instancia EC2 en las conclusiones que GuardDuty puedan generarse sobre la posible amenaza. El rol vinculado a servicios AWSServiceRoleForAmazonGuardDuty confía en el servicio guardduty.amazonaws.com para asumir el rol.

Las políticas de permisos ayudan a GuardDuty realizar las siguientes tareas:

El rol se configura con la siguiente política administrada por AWS, que se denomina AmazonGuardDutyServiceRolePolicy.

Para revisar los permisos de esta política, consulte AmazonGuardDutyServiceRolePolicy en la Guía de referencia de la política administrada de AWS .

A continuación se presenta la política de confianza que se asocia al rol vinculado a servicio AWSServiceRoleForAmazonGuardDuty:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "guardduty.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Para obtener más información sobre actualizaciones a la política AmazonGuardDutyServiceRolePolicy, consulte GuardDuty actualizaciones de AWS políticas administradas. Para obtener alertas automáticas sobre cambios en esta política, suscríbase a la fuente RSS en la página de Historial de revisión.

Crear un rol vinculado a un servicio para GuardDuty

El rol AWSServiceRoleForAmazonGuardDuty vinculado a un servicio se crea automáticamente cuando lo habilitas GuardDuty por primera vez o lo habilitas GuardDuty en una región compatible donde antes no lo tenías habilitado. También puedes crear el rol vinculado a un servicio de forma manual mediante la consola de IAM, la API de IAM o la AWS CLI API de IAM.

Debe configurar permisos para permitir a una entidad principal de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para que el rol AWSServiceRoleForAmazonGuardDuty vinculado a un servicio se cree correctamente, el director de IAM con el que utilices debe tener los GuardDuty permisos necesarios. Para conceder los permisos necesarios, asocie la siguiente política a un usuario, un grupo o un rol de :

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "guardduty:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "guardduty.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PutRolePolicy",
                "iam:DeleteRolePolicy"
            ],
            "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
        }
    ]
}

Para obtener más información acerca de cómo crear un rol manualmente, consulte Crear un rol vinculado a un servicio en la Guía del usuario de IAM.

Editar un rol vinculado a un servicio para GuardDuty

GuardDuty no permite editar el rol vinculado a un AWSServiceRoleForAmazonGuardDuty servicio. Después de crear un rol vinculado a un servicio, no puede cambiarle el nombre, ya que varias entidades pueden hacer referencia a él. Sin embargo, puede editar la descripción del rol mediante IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM.

Eliminar un rol vinculado a un servicio para GuardDuty

Si ya no necesita usar una característica o servicio que requieran un rol vinculado a un servicio, le recomendamos que elimine dicho rol. De esta forma no conservará una entidad no utilizada que no se monitoree ni se mantenga de forma activa.

Primero debe deshabilitarlo GuardDuty en todas las regiones en las que esté habilitado para poder eliminar el. AWSServiceRoleForAmazonGuardDuty Si el GuardDuty servicio no está deshabilitado cuando intentas eliminar el rol vinculado al servicio, la eliminación fallará. Para obtener más información, consulte Suspender o deshabilitar GuardDuty.

Cuando lo GuardDuty inhabilitas, AWSServiceRoleForAmazonGuardDuty no se elimina automáticamente. Si GuardDuty vuelves a habilitarlo, comenzará a usar el existenteAWSServiceRoleForAmazonGuardDuty.

Para eliminar manualmente el rol vinculado a servicios mediante IAM

Usa la consola de IAM AWS CLI, la API de IAM o la API de IAM para eliminar el rol vinculado al AWSServiceRoleForAmazonGuardDuty servicio. Para obtener más información, consulte Eliminación de un rol vinculado a servicios en la Guía del usuario de IAM.

compatible Regiones de AWS

Amazon GuardDuty admite el uso del rol AWSServiceRoleForAmazonGuardDuty vinculado al servicio en todos los lugares donde esté disponible. Regiones de AWS GuardDuty Para obtener una lista de las regiones en las que GuardDuty está disponible actualmente, consulte los GuardDuty puntos finales y las cuotas de Amazon en. Referencia general de Amazon Web Services