メンバーアカウントに必要なIAMポリシー

メンバーアカウントが招待を表示および管理できるようにするには、必要なIAMポリシーをプリンシパルにアタッチする必要があります。プリンシパルは、既存のユーザーまたはロールにすることができるほか、Detective で使用するために新しいユーザーまたはロールを作成することもできます。

管理者アカウントが必要なポリシーをIAMアタッチすることが理想的です。

メンバーアカウントIAMポリシーは、Amazon Detective のメンバーアカウントアクションへのアクセスを許可します。動作グラフへの招待メールには、そのIAMポリシーのテキストが含まれます。

このポリシーを使用するには、 をグラフ <behavior graph ARN>に置き換えますARN。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "detective:AcceptInvitation",
        "detective:DisassociateMembership",
        "detective:RejectInvitation"
      ],
      "Resource": "<behavior graph ARN>"
    },
   {
    "Effect":"Allow",
    "Action":[
        "detective:BatchGetMembershipDatasources",
        "detective:GetFreeTrialEligibility",
        "detective:GetPricingInformation",
        "detective:GetUsageInformation",
        "detective:ListInvitations"
    ],
    "Resource":"*"
   }
 ]
}

組織動作グラフ内の組織アカウントは招待を送信されず、そのアカウントと組織動作グラフとの関連付けを解除できないことに注意してください。他の動作グラフに属していない組織アカウントは、ListInvitations へのアクセス許可のみが必要です。ListInvitations により、動作グラフの管理者アカウントを確認できます。招待を管理したり、メンバーシップの関連付けを解除したりするアクセス許可は、招待されたメンバーにのみ適用されます。