Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Servicebezogene Rollenberechtigungen für Malware Protection for EC2
Malware Protection for EC2 verwendet die angegebene dienstverknüpfte Rolle (SLR). AWSServiceRoleForAmazonGuardDutyMalwareProtection
Diese Spiegelreflexkamera ermöglicht es Malware Protection for EC2, agentenlose Scans durchzuführen, um Malware in Ihrem Konto zu erkennen. GuardDuty Es ermöglicht GuardDuty die Erstellung eines EBS-Volume-Snapshots in Ihrem Konto und die gemeinsame Nutzung dieses Snapshots mit dem Dienstkonto. GuardDuty Nach der GuardDuty Auswertung des Snapshots werden die abgerufenen EC2-Instance- und Container-Workload-Metadaten in die Ergebnisse von Malware Protection for EC2 aufgenommen. Die serviceverknüpfte Rolle AWSServiceRoleForAmazonGuardDutyMalwareProtection
vertraut dem Service malware-protection.guardduty.amazonaws.com
, sodass dieser die Rolle annehmen kann.
Die Berechtigungsrichtlinien für diese Rolle helfen Malware Protection for EC2 dabei, die folgenden Aufgaben auszuführen:
-
Verwenden Sie Amazon Elastic Compute Cloud (Amazon EC2) -Aktionen, um Informationen über Ihre Amazon EC2 EC2-Instances, Volumes und Snapshots abzurufen. Malware Protection for EC2 gewährt auch die Erlaubnis, auf die Amazon EKS- und Amazon ECS-Cluster-Metadaten zuzugreifen.
-
Erstellen Sie Snapshots für EBS-Volumes, bei denen das
GuardDutyExcluded
-Tag nicht auftrue
gesetzt ist. Standardmäßig werden die Snapshots mit einemGuardDutyScanId
-Tag erstellt. Entfernen Sie dieses Tag nicht, da Malware Protection for EC2 sonst keinen Zugriff auf die Snapshots hat.Wichtig
Wenn Sie das
GuardDutyExcluded
auf setzentrue
, kann der GuardDuty Dienst in future nicht mehr auf diese Snapshots zugreifen. Dies liegt daran, dass die anderen Anweisungen in dieser dienstbezogenen Rolle GuardDuty verhindern, dass Aktionen für die Snapshots ausgeführt werden, für die der Wert auf gesetzt ist.GuardDutyExcluded
true
-
Lassen Sie das Teilen und Löschen von Snapshots nur zu, wenn das
GuardDutyScanId
-Tag existiert und dasGuardDutyExcluded
-Tag nicht auftrue
gesetzt ist.Anmerkung
Lässt nicht zu, dass Malware Protection for EC2 die Snapshots veröffentlicht.
-
Greifen Sie auf vom Kunden verwaltete Schlüssel zu, mit Ausnahme von Schlüsseln, für die ein
GuardDutyExcluded
Tag auf gesetzt isttrue
,CreateGrant
um über den verschlüsselten Snapshot, der mit dem Dienstkonto geteilt wird, ein verschlüsseltes EBS-Volume zu erstellen und darauf zuzugreifen. GuardDuty Eine Liste der GuardDuty Dienstkonten für jede Region finden Sie unterGuardDuty Dienstkonten von AWS-Region. -
Greifen Sie auf CloudWatch Kundenprotokolle zu, um die Protokollgruppe Malware Protection for EC2 zu erstellen und die Malware-Scan-Ereignisprotokolle der
/aws/guardduty/malware-scan-events
Protokollgruppe zuzuordnen. -
Lassen Sie den Kunden entscheiden, ob er die Snapshots, auf denen Malware erkannt wurde, in seinem Konto behalten möchte. Wenn beim Scan Malware erkannt wird, ermöglicht GuardDuty die mit dem Service verknüpfte Rolle das Hinzufügen von zwei Tags zu Snapshots: und.
GuardDutyFindingDetected
GuardDutyExcluded
Anmerkung
Das
GuardDutyFindingDetected
-Tag gibt an, dass die Snapshots Malware enthalten. -
Ermitteln Sie, ob ein Volume mit einem von EBS verwalteten Schlüssel verschlüsselt ist. GuardDuty führt die
DescribeKey
Aktion durch, um denkey Id
von EBS verwalteten Schlüssel in Ihrem Konto zu ermitteln. -
Rufen Sie den Snapshot der EBS-Volumes, verschlüsselt mit Von AWS verwalteter Schlüssel, von Ihrem ab AWS-Konto und kopieren Sie ihn in den. GuardDuty Dienstkonto Zu diesem Zweck verwenden wir die Berechtigungen
GetSnapshotBlock
und.ListSnapshotBlocks
GuardDuty scannt dann den Snapshot im Dienstkonto. Derzeit ist die Unterstützung von Malware Protection for EC2 für das Scannen von EBS-Volumes, die mit verschlüsselt sind, Von AWS verwalteter Schlüssel möglicherweise nicht in allen verfügbar. AWS-Regionen Weitere Informationen finden Sie unter Verfügbarkeit regionsspezifischer Feature. -
Erlauben Sie Amazon EC2, AWS KMS im Namen von Malware Protection for EC2 anzurufen, um verschiedene kryptografische Aktionen mit vom Kunden verwalteten Schlüsseln durchzuführen. Aktionen wie
kms:ReEncryptTo
undkms:ReEncryptFrom
sind erforderlich, um die Snapshots zu teilen, die mit den vom Kunden verwalteten Schlüsseln verschlüsselt sind. Es sind nur die Schlüssel zugänglich, für die dasGuardDutyExcluded
-Tag nicht auftrue
festgelegt ist.
Die Rolle ist mit der folgenden AWS -verwalteten Richtlinie namens AmazonGuardDutyMalwareProtectionServiceRolePolicy
konfiguriert.
{ "Version": "2012-10-17", "Statement": [{ "Sid": "DescribeAndListPermissions", "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeVolumes", "ec2:DescribeSnapshots", "ecs:ListClusters", "ecs:ListContainerInstances", "ecs:ListTasks", "ecs:DescribeTasks", "eks:DescribeCluster" ], "Resource": "*" }, { "Sid": "CreateSnapshotVolumeConditionalStatement", "Effect": "Allow", "Action": "ec2:CreateSnapshot", "Resource": "arn:aws:ec2:*:*:volume/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } }, { "Sid": "CreateSnapshotConditionalStatement", "Effect": "Allow", "Action": "ec2:CreateSnapshot", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "ForAnyValue:StringEquals": { "aws:TagKeys": "GuardDutyScanId" } } }, { "Sid": "CreateTagsPermission", "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:*/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateSnapshot" } } }, { "Sid": "AddTagsToSnapshotPermission", "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:ResourceTag/GuardDutyScanId": "*" }, "ForAllValues:StringEquals": { "aws:TagKeys": [ "GuardDutyExcluded", "GuardDutyFindingDetected" ] } } }, { "Sid": "DeleteAndShareSnapshotPermission", "Effect": "Allow", "Action": [ "ec2:DeleteSnapshot", "ec2:ModifySnapshotAttribute" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "ec2:ResourceTag/GuardDutyScanId": "*" }, "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } }, { "Sid": "PreventPublicAccessToSnapshotPermission", "Effect": "Deny", "Action": [ "ec2:ModifySnapshotAttribute" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringEquals": { "ec2:Add/group": "all" } } }, { "Sid": "CreateGrantPermission", "Effect": "Allow", "Action": "kms:CreateGrant", "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" }, "StringLike": { "kms:EncryptionContext:aws:ebs:id": "snap-*" }, "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "CreateGrant", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "RetireGrant", "DescribeKey" ] }, "Bool": { "kms:GrantIsForAWSResource": "true" } } }, { "Sid": "ShareSnapshotKMSPermission", "Effect": "Allow", "Action": [ "kms:ReEncryptTo", "kms:ReEncryptFrom" ], "Resource": "arn:aws:kms:*:*:key/*", "Condition": { "StringLike": { "kms:ViaService": "ec2.*.amazonaws.com" }, "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } }, { "Sid": "DescribeKeyPermission", "Effect": "Allow", "Action": "kms:DescribeKey", "Resource": "arn:aws:kms:*:*:key/*" }, { "Sid": "GuardDutyLogGroupPermission", "Effect": "Allow", "Action": [ "logs:DescribeLogGroups", "logs:CreateLogGroup", "logs:PutRetentionPolicy" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/guardduty/*" }, { "Sid": "GuardDutyLogStreamPermission", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/guardduty/*:log-stream:*" }, { "Sid": "EBSDirectAPIPermissions", "Effect": "Allow", "Action": [ "ebs:GetSnapshotBlock", "ebs:ListSnapshotBlocks" ], "Resource": "arn:aws:ec2:*:*:snapshot/*", "Condition": { "StringLike": { "aws:ResourceTag/GuardDutyScanId": "*" }, "Null": { "aws:ResourceTag/GuardDutyExcluded": "true" } } } ] }
Nachfolgend wird die der serviceverknüpften Rolle AWSServiceRoleForAmazonGuardDutyMalwareProtection
zugeordnete Vertrauensrichtlinie gezeigt:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "malware-protection.guardduty.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
Eine servicebezogene Rolle für Malware Protection for EC2 erstellen
Die AWSServiceRoleForAmazonGuardDutyMalwareProtection
dienstbezogene Rolle wird automatisch erstellt, wenn Sie Malware Protection for EC2 zum ersten Mal aktivieren oder Malware Protection for EC2 in einer unterstützten Region aktivieren, in der Sie sie zuvor nicht aktiviert hatten. Sie können die serviceverknüpfte Rolle namens AWSServiceRoleForAmazonGuardDutyMalwareProtection
auch manuell erstellen, indem Sie die IAM-Konsole, die CLI oder die IAM-API verwenden.
Anmerkung
Wenn Sie neu bei Amazon sind GuardDuty, ist Malware Protection for EC2 standardmäßig automatisch aktiviert.
Wichtig
Die dienstbezogene Rolle, die für das delegierte GuardDuty Administratorkonto erstellt wurde, gilt nicht für die Mitgliedskonten. GuardDuty
Sie müssen Berechtigungen konfigurieren, damit ein IAM-Prinzipal (z. B. ein Benutzer, eine Gruppe oder eine Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Damit die AWSServiceRoleForAmazonGuardDutyMalwareProtection
dienstverknüpfte Rolle erfolgreich erstellt werden kann, muss die IAM-Identität, die Sie GuardDuty mit verwenden, über die erforderlichen Berechtigungen verfügen. Um die erforderlichen Berechtigungen zu erteilen, weisen Sie diesem -Benutzer bzw. dieser-Gruppe oder -Rolle die folgende Richtlinie zu:
{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": "guardduty:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": [ "malware-protection.guardduty.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": [ "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:GetRole", "Resource": "arn:aws:iam::*:role/*AWSServiceRoleForAmazonGuardDutyMalwareProtection" } ] }
Weitere Informationen zum Erstellen von IAM-Rollen finden Sie unter Erstellen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.
Bearbeiten einer dienstbezogenen Rolle für Malware Protection for EC2
Mit Malware Protection for EC2 können Sie die dienstbezogene Rolle nicht bearbeiten. AWSServiceRoleForAmazonGuardDutyMalwareProtection
Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.
Löschen einer dienstbezogenen Rolle für Malware Protection for EC2
Wenn Sie ein Feature oder einen Service, die bzw. der eine serviceverknüpfte Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte Entität, die nicht aktiv überwacht oder verwaltet wird.
Wichtig
Um den zu löschenAWSServiceRoleForAmazonGuardDutyMalwareProtection
, müssen Sie zuerst den Malware-Schutz für EC2 in allen Regionen deaktivieren, in denen er aktiviert ist.
Wenn Malware Protection for EC2 nicht deaktiviert ist, wenn Sie versuchen, die dienstbezogene Rolle zu löschen, schlägt der Löschvorgang fehl. Weitere Informationen finden Sie unter Um den GuardDuty -initiierten Malware-Scan zu aktivieren oder zu deaktivieren.
Wenn Sie „Deaktivieren“ wählen, um den Dienst Malware Protection for EC2 zu beenden, AWSServiceRoleForAmazonGuardDutyMalwareProtection
wird der Dienst nicht automatisch gelöscht. Wenn Sie dann „Aktivieren“ wählen, um den Dienst Malware Protection for EC2 erneut zu starten, GuardDuty wird der vorhandene Dienst wieder verwendet. AWSServiceRoleForAmazonGuardDutyMalwareProtection
So löschen Sie die serviceverknüpfte Rolle mit IAM
Verwenden Sie die IAM-Konsole, die AWS CLI oder die IAM-API, um die AWSServiceRoleForAmazonGuardDutyMalwareProtection
serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter Löschen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.
Wird unterstützt AWS-Regionen
Amazon GuardDuty unterstützt die Verwendung der AWSServiceRoleForAmazonGuardDutyMalwareProtection
serviceverknüpften Rolle in allen Bereichen, in AWS-Regionen denen Malware Protection for EC2 verfügbar ist.
Eine Liste der Regionen, in denen GuardDuty das Produkt derzeit verfügbar ist, finden Sie unter GuardDuty Amazon-Endpunkte und Kontingente in der Allgemeine Amazon Web Services-Referenz.
Anmerkung
Malware Protection for EC2 ist derzeit in AWS GovCloud (USA-Ost) und AWS GovCloud (US-West) nicht verfügbar.