Für die Benennung eines delegierten GuardDuty Administratorkontos sind Berechtigungen erforderlich

Wenn Sie ein delegiertes GuardDuty Administratorkonto delegieren, müssen Sie über Berechtigungen zum Aktivieren GuardDuty sowie für bestimmte API-Aktionen verfügen. AWS Organizations Sie können die folgende Anweisung am Ende einer vorhandenen IAM-Richtlinie hinzufügen, um diese Berechtigungen zu erteilen:

{
    "Sid": "PermissionsForGuardDutyAdmin",
    "Effect": "Allow",
    "Action": [
        "guardduty:EnableOrganizationAdminAccount",
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:ListAccounts"
    ],
    "Resource": "*"
}

Wenn Sie Ihr AWS Organizations Verwaltungskonto als GuardDuty delegiertes GuardDuty Administratorkonto festlegen möchten, benötigt CreateServiceLinkedRole diese Entität außerdem Berechtigungen zur Initialisierung. GuardDuty Fügen Sie dazu der IAM-Richtlinie die folgende Anweisung hinzu und ersetzen Sie 111122223333 durch die ID des AWS-Konto Verwaltungskontos Ihrer Organisation:

{
	"Sid": "PermissionsToEnableGuardDuty"
	"Effect": "Allow",
	"Action": [
		"iam:CreateServiceLinkedRole"
	],
	"Resource": "arn:aws:iam::111122223333:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
	"Condition": {
		"StringLike": {
			"iam:AWSServiceName": "guardduty.amazonaws.com"
		}
	}
}