AWS políticas gestionadas para Amazon Inspector

Una política AWS gestionada es una política independiente creada y administrada por AWS. AWS Las políticas administradas están diseñadas para proporcionar permisos para muchos casos de uso comunes, de modo que pueda empezar a asignar permisos a usuarios, grupos y funciones.

Ten en cuenta que es posible que las políticas AWS administradas no otorguen permisos con privilegios mínimos para tus casos de uso específicos, ya que están disponibles para que los usen todos los AWS clientes. Se recomienda definir políticas administradas por el cliente específicas para sus casos de uso a fin de reducir aún más los permisos.

No puedes cambiar los permisos definidos en AWS las políticas administradas. Si AWS actualiza los permisos definidos en una política AWS administrada, la actualización afecta a todas las identidades principales (usuarios, grupos y roles) a las que está asociada la política. AWS es más probable que actualice una política AWS administrada cuando Servicio de AWS se lance una nueva o cuando estén disponibles nuevas operaciones de API para los servicios existentes.

Para obtener más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

AWS política gestionada: AmazonInspector2FullAccess_v2

Puede adjuntar la política AmazonInspector2FullAccess a las identidades de IAM.

Esta política otorga acceso total a Amazon Inspector y acceso a otros servicios relacionados.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• inspector2— Permite el acceso completo a Amazon Inspector APIs.

• codeguru-security— Permite a los administradores recuperar los datos de seguridad y los ajustes de configuración de una cuenta.

• iam— Permite a Amazon Inspector crear las funciones AWSServiceRoleForAmazonInspector2 vinculadas al servicio y. AWSServiceRoleForAmazonInspector2Agentless AWSServiceRoleForAmazonInspector2es necesario para que Amazon Inspector realice operaciones como recuperar información sobre EC2 instancias de Amazon, repositorios de Amazon ECR e imágenes de contenedores de Amazon ECR. También es necesario descifrar las instantáneas de Amazon EBS cifradas con claves. AWS KMS Para obtener más información, consulte Uso de roles vinculados a servicios para Amazon Inspector.

• organizations— solo AllowServicePrincipalBasedAccessToOrganizationApis permite a los directores de servicio crear funciones vinculadas al servicio Cuentas de AWS, registrarlas Cuenta de AWS como administradores delegados de una organización y enumerar los administradores delegados de una organización. AllowOrganizationalBasedAccessToOrganizationApispermite al titular de la póliza recuperar información, específicamente a nivel de recursos ARNs, sobre una unidad organizativa. AllowAccountsBasedAccessToOrganizationApispermite al titular de la póliza recuperar información, específicamente a nivel de recursos ARNs, sobre una. Cuenta de AWSAllowAccessToOrganizationApispermite al titular de la póliza ver la información Servicios de AWS integrada con una organización y la organización.

JSON

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "AllowFullAccessToInspectorApis",
      "Effect" : "Allow",
      "Action" : "inspector2:*",
      "Resource" : "*"
    },
    {
      "Sid" : "AllowAccessToCodeGuruApis",
      "Effect" : "Allow",
      "Action" : [
        "codeguru-security:BatchGetFindings",
        "codeguru-security:GetAccountConfiguration"
      ],
      "Resource" : "*"
    },
    {
      "Sid" : "AllowAccessToCreateSlr",
      "Effect" : "Allow",
      "Action" : "iam:CreateServiceLinkedRole",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "iam:AWSServiceName" : [
            "agentless.inspector2.amazonaws.com",
            "inspector2.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid" : "AllowServicePrincipalBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListDelegatedAdministrators"
      ],
      "Resource" : "*",
      "Condition": {
        "StringEquals": {
          "organizations:ServicePrincipal": [
            "inspector2.amazonaws.com",
            "agentless.inspector2.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid" : "AllowOrganizationalBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:DescribeOrganizationalUnit"
      ],
      "Resource" : "arn:*:organizations::*:ou/o-*/ou-*"
    },
    {
      "Sid" : "AllowAccountsBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:DescribeAccount"
      ],
      "Resource" : "arn:*:organizations::*:account/o-*/*"
    },
    {
      "Sid" : "AllowAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganization"
      ],
      "Resource" : "*"
    }
  ]
}

AWS política gestionada: AmazonInspector2FullAccess

Puede adjuntar la política AmazonInspector2FullAccess a las identidades de IAM.

Esta política concede permisos administrativos que ofrecen acceso completo a Amazon Inspector.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• inspector2: permite el acceso completo a la funcionalidad de Amazon Inspector.

• iam— Permite a Amazon Inspector crear las funciones AWSServiceRoleForAmazonInspector2 vinculadas al servicio y. AWSServiceRoleForAmazonInspector2Agentless AWSServiceRoleForAmazonInspector2es necesario para que Amazon Inspector lleve a cabo operaciones como recuperar información sobre las EC2 instancias de Amazon, los repositorios de Amazon ECR y las imágenes de los contenedores. También es necesario que Amazon Inspector analice su red de VPC y describa las cuentas asociadas a su organización. AWSServiceRoleForAmazonInspector2Agentlesses necesario para que Amazon Inspector pueda realizar operaciones, como recuperar información sobre las EC2 instancias de Amazon y las instantáneas de Amazon EBS. También es necesario para descifrar las instantáneas de Amazon EBS que están cifradas con claves. AWS KMS Para obtener más información, consulte Uso de roles vinculados a servicios para Amazon Inspector.

• organizations: permite a los administradores utilizar Amazon Inspector para una organización en AWS Organizations. Al activar el acceso de confianza para Amazon Inspector en AWS Organizations, los miembros de la cuenta de administrador delegado pueden gestionar la configuración y ver los resultados de toda la organización.

• codeguru-security— Permite a los administradores utilizar Amazon Inspector para recuperar fragmentos de código de información y cambiar la configuración de cifrado del código que almacena CodeGuru Security. Para obtener más información, consulte Cifrado de código en reposo en los resultados .

JSON

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowFullAccessToInspectorApis",
			"Effect": "Allow",
			"Action": "inspector2:*",
			"Resource": "*"
		},
		{
			"Sid": "AllowAccessToCodeGuruApis",
			"Effect": "Allow",
			"Action": [
				"codeguru-security:BatchGetFindings",
				"codeguru-security:GetAccountConfiguration"
			],
			"Resource": "*"
		},
		{
			"Sid": "AllowAccessToCreateSlr",
			"Effect": "Allow",
			"Action": "iam:CreateServiceLinkedRole",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"agentless.inspector2.amazonaws.com",
						"inspector2.amazonaws.com"
					]
				}
			}
		},
		{
			"Sid": "AllowAccessToOrganizationApis",
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess",
				"organizations:RegisterDelegatedAdministrator",
				"organizations:ListDelegatedAdministrators",
				"organizations:ListAWSServiceAccessForOrganization",
				"organizations:DescribeOrganizationalUnit",
				"organizations:DescribeAccount",
				"organizations:DescribeOrganization"
			],
			"Resource": "*"
		}
	]
}

AWS política gestionada: AmazonInspector2ReadOnlyAccess

Puede adjuntar la política AmazonInspector2ReadOnlyAccess a las identidades de IAM.

Esta política concede permisos que ofrecen acceso de solo lectura a Amazon Inspector.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• inspector2: permite el acceso de solo lectura a la funcionalidad de Amazon Inspector.

• organizations— Permite ver los detalles sobre la cobertura de Amazon Inspector AWS Organizations para una organización.

• codeguru-security— Permite recuperar fragmentos de código de CodeGuru Seguridad. También permite ver la configuración de cifrado del código almacenado en CodeGuru Security.

JSON

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators",
				"organizations:ListAWSServiceAccessForOrganization",
				"organizations:DescribeOrganizationalUnit",
				"organizations:DescribeAccount",
				"organizations:DescribeOrganization",
				"inspector2:BatchGet*",
				"inspector2:List*",
				"inspector2:Describe*",
				"inspector2:Get*",
				"inspector2:Search*",
				"codeguru-security:BatchGetFindings",
				"codeguru-security:GetAccountConfiguration"
			],
			"Resource": "*"
		}
	]
}

AWS política gestionada: AmazonInspector2ManagedCisPolicy

También puede asociar la política AmazonInspector2ManagedCisPolicy a sus entidades de IAM. Esta política debe estar asociada a un rol que conceda permisos a tus EC2 instancias de Amazon para ejecutar escaneos CIS de la instancia. Puedes usar un rol de IAM para administrar las credenciales temporales de las aplicaciones que se ejecutan en una EC2 instancia y que realizan AWS CLI solicitudes a la AWS API. Esto es preferible a almacenar las claves de acceso en la EC2 instancia. Para asignar un AWS rol a una EC2 instancia y ponerlo a disposición de todas sus aplicaciones, debe crear un perfil de instancia adjunto a la instancia. Un perfil de instancia contiene el rol y permite que los programas que se ejecutan en la EC2 instancia obtengan credenciales temporales. Para obtener más información, consulte Usar un rol de IAM para conceder permisos a las aplicaciones que se ejecutan en EC2 instancias de Amazon en la Guía del usuario de IAM.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• inspector2: permite el acceso a las acciones utilizadas para ejecutar los análisis del CIS.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "inspector2:StartCisSession",
                "inspector2:StopCisSession",
                "inspector2:SendCisSessionTelemetry",
                "inspector2:SendCisSessionHealth"
            ],
            "Resource": "*"
        }
    ]
}

AWS política gestionada: AmazonInspector2ServiceRolePolicy

No puede asociar la política AmazonInspector2ServiceRolePolicy a sus entidades de IAM. Esta política está asociada a un rol vinculado a servicios que permite que Amazon Inspector realice acciones en su nombre. Para obtener más información, consulte Uso de roles vinculados a servicios para Amazon Inspector.

AWS política gestionada: AmazonInspector2AgentlessServiceRolePolicy

No puede asociar la política AmazonInspector2AgentlessServiceRolePolicy a sus entidades de IAM. Esta política está asociada a un rol vinculado a servicios que permite que Amazon Inspector realice acciones en su nombre. Para obtener más información, consulte Uso de roles vinculados a servicios para Amazon Inspector.

Amazon Inspector actualiza las políticas AWS gestionadas

Consulta los detalles sobre las actualizaciones de las políticas AWS gestionadas de Amazon Inspector desde que este servicio comenzó a realizar el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página de historial de documentos de Amazon Inspector.

Cambio	Descripción	Fecha
AmazonInspector2 FullAccess _v2 — Nueva política	Amazon Inspector ha añadido una nueva política gestionada que proporciona acceso total a Amazon Inspector y acceso a otros servicios relacionados.	3 de julio de 2025
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido un nuevo permiso que permite a Amazon Inspector describir las direcciones IP y las pasarelas de Internet.	29 de abril de 2025
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido nuevos permisos que permiten el acceso de solo lectura a las acciones de Amazon ECS y Amazon EKS.	25 de marzo de 2025
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a Amazon Inspector devolver etiquetas de funciones en AWS Lambda.	31 de julio de 2024
AmazonInspector2 FullAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado permisos que permiten a Amazon Inspector crear el rol vinculado al servicio AWSServiceRoleForAmazonInspector2Agentless. Esto permite a los usuarios realizar análisis con agentes y análisis sin agentes cuando habilitan Amazon Inspector.	24 de abril de 2024
AmazonInspector2 ManagedCisPolicy — Nueva política	Amazon Inspector ha agregado una nueva política de administración que puede usar como parte de un perfil de instancia para permitir los análisis del CIS en una instancia.	23 de enero de 2024
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a Amazon Inspector iniciar análisis del CIS en las instancias de destino.	23 de enero de 2024
AmazonInspector2 AgentlessServiceRolePolicy — Nueva política	Amazon Inspector ha añadido una nueva política de funciones vinculadas al servicio para permitir el escaneo de instancias sin agentes. EC2	27 de noviembre de 2023
AmazonInspector2 ReadOnlyAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a los usuarios de solo lectura obtener detalles sobre la inteligencia de vulnerabilidades de resultados de vulnerabilidades de paquetes.	22 de septiembre de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido nuevos permisos que permiten a Amazon Inspector escanear las configuraciones de red de las EC2 instancias de Amazon que forman parte de los grupos objetivo de Elastic Load Balancing.	31 de agosto de 2023
AmazonInspector2 ReadOnlyAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a los usuarios de solo lectura exportar listados de componentes de software (SBOM) de sus recursos.	29 de junio de 2023
AmazonInspector2 ReadOnlyAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a los usuarios de solo lectura obtener detalles de la configuración de cifrado de los resultados de análisis de código de Lambda de su cuenta.	13 de junio de 2023
AmazonInspector2 FullAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a los usuarios configurar un clave de KMS administrada por el cliente para cifrar el código en los resultados de análisis de código de Lambda.	13 de junio de 2023
AmazonInspector2 ReadOnlyAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a los usuarios de solo lectura obtener detalles del estado y los resultados de análisis de código de Lambda de su cuenta.	2 de mayo de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido nuevos permisos que permiten a Amazon Inspector crear canales AWS CloudTrail vinculados a servicios en su cuenta al activar el escaneo Lambda. Esto permite a Amazon Inspector supervisar CloudTrail los eventos de tu cuenta.	30 de abril de 2023
AmazonInspector2 FullAccess — Actualizaciones de una política existente	Amazon Inspector ha agregado nuevos permisos que permiten a los usuarios obtener detalles de los resultados de vulnerabilidades de código de los análisis de código de Lambda.	21 de abril de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido nuevos permisos que permiten a Amazon Inspector enviar información a Amazon EC2 Systems Manager sobre las rutas personalizadas que un cliente ha definido para la inspección EC2 profunda de Amazon.	17 de abril de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido nuevos permisos que permiten a Amazon Inspector crear canales AWS CloudTrail vinculados a servicios en su cuenta al activar el escaneo Lambda. Esto permite a Amazon Inspector supervisar CloudTrail los eventos de tu cuenta.	30 de abril de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido nuevos permisos que permiten a Amazon Inspector solicitar escaneos del código del desarrollador en AWS Lambda las funciones y recibir datos escaneados de Amazon CodeGuru Security. Además, Amazon Inspector ha agregado permisos para revisar las políticas de IAM. Amazon Inspector utiliza esta información para analizar las funciones de Lambda en busca de vulnerabilidades de código.	28 de febrero de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido una nueva declaración que permite a Amazon Inspector recuperar información CloudWatch sobre cuándo se invocó una AWS Lambda función por última vez. Amazon Inspector utiliza esta información para centrar los análisis en las funciones de Lambda de su entorno que han estado activas durante los últimos 90 días.	20 de febrero de 2023
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha añadido una nueva declaración que permite a Amazon Inspector recuperar información sobre AWS Lambda las funciones, incluida la versión de cada capa asociada a cada función. Amazon Inspector utiliza esta información para analizar las funciones de Lambda en busca de vulnerabilidades de seguridad.	28 de noviembre de 2022
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha agregado una nueva acción que permite a Amazon Inspector describir las ejecuciones de asociaciones de SSM. Además, Amazon Inspector ha agregado ámbitos de aplicación de recursos adicionales que permiten a Amazon Inspector crear, actualizar, eliminar e iniciar asociaciones de SSM con documentos de SSM propiedad de AmazonInspector2.	31 de agosto de 2022
AmazonInspector2. ServiceRolePolicy Actualizaciones de una política existente	Amazon Inspector ha actualizado el alcance de los recursos de la política para que Amazon Inspector pueda recopilar el inventario de software de otras AWS particiones.	12 de agosto de 2022
AmazonInspector2 ServiceRolePolicy — Actualizaciones de una política existente	Amazon Inspector ha reestructurado el ámbito de aplicación de recursos de las acciones para permitir que Amazon Inspector pueda crear, eliminar y actualizar asociaciones de SSM.	10 de agosto de 2022
AmazonInspector2 ReadOnlyAccess — Nueva política	Amazon Inspector ha agregado una nueva política para permitir el acceso de solo lectura a la funcionalidad de Amazon Inspector.	21 de enero de 2022
AmazonInspector2 FullAccess — Nueva política	Amazon Inspector ha agregado una nueva política para permitir el acceso completo a la funcionalidad de Amazon Inspector.	29 de noviembre de 2021
AmazonInspector2 ServiceRolePolicy — Nueva política	Amazon Inspector ha agregado una nueva política que permite a Amazon Inspector realizar acciones en otros servicios en su nombre.	29 de noviembre de 2021
Amazon Inspector ha comenzado a realizar un seguimiento de los cambios	Amazon Inspector comenzó a realizar un seguimiento de los cambios en sus políticas AWS gestionadas.	29 de noviembre de 2021