Erforderliche IAM-Richtlinie für ein Mitgliedskonto

Bevor ein Mitgliedskonto Einladungen anzeigen und verwalten kann, muss die erforderliche IAM-Richtlinie seinem Hauptbenutzer zugewiesen werden. Der Prinzipal kann ein vorhandener Benutzer oder eine vorhandene Rolle sein, oder Sie können einen neuen Benutzer oder eine neue Rolle erstellen, die für Detective verwendet werden sollen.

Idealerweise fügt der IAM-Administrator dem Administratorkonto die erforderliche Richtlinie zu.

Die IAM-Richtlinie für Mitgliedskonten gewährt Zugriff auf Mitgliedskontoaktionen in Amazon Detective. Die E-Mail-Einladung, zu einem Verhaltensdiagramm beizutragen, enthält den Text dieser IAM-Richtlinie.

Um diese Richtlinie zu verwenden, <behavior graph ARN> ersetzen Sie durch den Diagramm-ARN.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "detective:AcceptInvitation",
        "detective:DisassociateMembership",
        "detective:RejectInvitation"
      ],
      "Resource": "<behavior graph ARN>"
    },
   {
    "Effect":"Allow",
    "Action":[
        "detective:BatchGetMembershipDatasources",
        "detective:GetFreeTrialEligibility",
        "detective:GetPricingInformation",
        "detective:GetUsageInformation",
        "detective:ListInvitations"
    ],
    "Resource":"*"
   }
 ]
}

Beachten Sie, dass Organisationskonten im Verhaltensdiagramm der Organisation keine Einladungen erhalten und dass ihr Konto nicht vom Organisationsverhaltensdiagramm getrennt werden kann. Wenn sie nicht zu anderen Verhaltensdiagrammen gehören, benötigen sie lediglich die ListInvitations-Genehmigung. ListInvitations ermöglicht es ihnen, das Administratorkonto für das Verhaltensdiagramm zu sehen. Die Berechtigungen zum Verwalten von Einladungen und zum Trennen von Mitgliedschaften gelten nur für Mitgliedschaften auf Einladung.