Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Service-linked autorisations de rôle pour GuardDuty

GuardDuty utilise le rôle lié aux services (SLR) nommé. AWSServiceRoleForAmazonGuardDuty Le reflex permet d' GuardDuty effectuer les tâches suivantes. Il permet également GuardDuty d'inclure les métadonnées récupérées appartenant à l'instance EC2 dans les résultats qui GuardDuty peuvent être générés sur la menace potentielle. Le rôle lié à un service AWSServiceRoleForAmazonGuardDuty fait confiance au service guardduty.amazonaws.com pour endosser le rôle.

Les politiques d'autorisation permettent GuardDuty d'effectuer les tâches suivantes :

Le rôle est configuré avec la stratégie gérée AWS suivante, nommée AmazonGuardDutyServiceRolePolicy.

Pour passer en revue les autorisations relatives à cette politique, consultez AmazonGuardDutyServiceRolePolicy le AWS Managed Policy Reference Guide.

Voici la stratégie d'approbation qui est attachée au rôle lié à un service AWSServiceRoleForAmazonGuardDuty :

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "guardduty.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Pour plus de détails sur les mises à jour AmazonGuardDutyServiceRolePolicy de la politique, consultezGuardDuty mises à jour de AWS stratégies gérées. Pour recevoir des alertes automatiques concernant les modifications apportées à cette politique, abonnez-vous au fil RSS de la Historique de la documentation page.

Création d'un rôle lié à un service pour GuardDuty

Le rôle AWSServiceRoleForAmazonGuardDuty lié à un service est automatiquement créé lorsque vous l'activez GuardDuty pour la première fois ou lorsque vous l'activez GuardDuty dans une région prise en charge où il n'était pas activé auparavant. Vous pouvez également créer le rôle lié à un service manuellement à l'aide de la console IAM, de l'API IAM ou de l' AWS CLI API IAM.

Vous devez configurer les autorisations de manière à permettre à un principal IAM (comme un utilisateur, un groupe ou un rôle) de créer, modifier ou supprimer un rôle lié à un service. Pour que le rôle AWSServiceRoleForAmazonGuardDuty lié à un service soit créé avec succès, le principal IAM que vous utilisez GuardDuty avec doit disposer des autorisations requises. Pour accorder les autorisations requises, attachez la stratégie suivante à cet utilisateur, groupe ou rôle  :

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "guardduty:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "guardduty.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PutRolePolicy",
                "iam:DeleteRolePolicy"
            ],
            "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
        }
    ]
}

Pour de plus amples informations sur la création manuelle d'un rôle, veuillez consulter Création d'un rôle lié à un service dans le Guide de l'utilisateur IAM.

Modifier un rôle lié à un service pour GuardDuty

GuardDuty ne vous permet pas de modifier le rôle AWSServiceRoleForAmazonGuardDuty lié au service. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence au rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Supprimer un rôle lié à un service pour GuardDuty

Si vous n’avez plus besoin d’utiliser une fonction ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n'avez aucune entité inutilisée qui n'est pas surveillée ou gérée activement.

Vous devez d'abord GuardDuty le désactiver dans toutes les régions où il est activé pour supprimer leAWSServiceRoleForAmazonGuardDuty. Si le GuardDuty service n'est pas désactivé lorsque vous tentez de supprimer le rôle lié au service, la suppression échoue. Pour de plus amples informations, veuillez consulter Suspension ou désactivation GuardDuty.

Lorsque vous le désactivez GuardDuty, AWSServiceRoleForAmazonGuardDuty il n'est pas supprimé automatiquement. Si vous l'activez GuardDuty à nouveau, il recommencera à utiliser l'existantAWSServiceRoleForAmazonGuardDuty.

Pour supprimer manuellement le rôle lié au service à l’aide d’IAM

Utilisez la console IAM AWS CLI, l'API IAM ou l'API IAM pour supprimer le rôle lié au AWSServiceRoleForAmazonGuardDuty service. Pour plus d’informations, consultez la section Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Pris en charge Régions AWS

Amazon GuardDuty prend en charge l'utilisation du AWSServiceRoleForAmazonGuardDuty rôle lié au service partout Régions AWS où il GuardDuty est disponible. Pour obtenir la liste des régions GuardDuty actuellement disponibles, consultez la section GuardDuty Points de terminaison et quotas Amazon dans le Référence générale d'Amazon Web Services.