AWS Security Agent のアクション、リソース、および条件キー

AWS Security Agent (サービスプレフィックス: securityagent) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

• このサービスを設定する方法について説明します。

• このサービスで使用可能な API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

AWS Security Agent で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

アクションテーブルの [アクセスレベル] 列では、アクションの指定方法 (リスト、読み取り、アクセス許可管理、タグ付け) について説明します。このように分類することで、ポリシーで使用する際にアクションで付与するアクセスレベルを理解しやすくなります。アクセスレベルの詳細については、「ポリシー概要内のアクセスレベル」を参照してください。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

Actions テーブルの [依存アクション] 列には、アクションを正常に呼び出すために必要な追加のアクセス許可が表示されます。これらのアクセス許可は、アクション自体のアクセス許可に加えて必要になる場合があります。アクションが依存アクションを指定すると、それらの依存関係は、テーブルにリストされている最初のリソースだけでなく、そのアクションに定義された追加のリソースに適用される場合があります。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AddArtifact	指定されたエージェントインスタンスにアーティファクトを追加するアクセス許可を付与します	書き込み
AddControl	カスタマーマネージドコントロールを追加するアクセス許可を付与します	書き込み
BatchDeletePentests	1 つのリクエストで複数の侵入テストを削除する許可を付与	書き込み
BatchGetAgentInstances	1 つのリクエストで複数のエージェントインスタンスを取得する許可を付与	読み取り
BatchGetArtifactMetadata	指定されたエージェントインスタンスの 1 つ以上のアーティファクトメタデータレコードを取得するアクセス許可を付与します	読み取り
BatchGetFindings	1 つのリクエストで複数のセキュリティテストの結果を取得する許可を付与	読み取り
BatchGetPentestJobs	1 つのリクエストで複数のセキュリティテストジョブを取得する許可を付与	読み取り
BatchGetPentests	1 つのリクエストで複数のペネトレーションテストを取得する許可を付与	読み取り
BatchGetSecurityTestContentMetadata	1 つのリクエストで複数のセキュリティテストコンテンツのメタデータを取得する許可を付与	読み取り
BatchGetTasks	1 つのリクエストで複数のセキュリティテストタスクを取得する許可を付与	読み取り
CreateAgentInstance	エージェントインスタンスレコードを作成するアクセス許可を付与します	書き込み
CreateApplication	新しいアプリケーションを作成する許可を付与	書き込み			iam:PassRole sso:CreateApplication
CreateDocumentReview	ドキュメントレビューを作成するアクセス許可を付与します	書き込み
CreateIntegration	セキュリティテスト統合を作成するアクセス許可を付与します	書き込み
CreateMembership	指定されたロールを持つエージェントインスタンスに単一のメンバーを追加するアクセス許可を付与します	書き込み
CreateOneTimeLoginSession	1 回限りのログインセッションを作成するアクセス許可を付与します	書き込み
CreatePentest	新しいペネトレーションテスト設定を作成するアクセス許可を付与します	書き込み
DeleteAgentInstance	エージェントインスタンスレコードを削除するアクセス許可を付与します	書き込み
DeleteApplication	アプリケーションを削除するアクセス許可を付与します	書き込み
DeleteArtifact	アーティファクトを削除するアクセス許可を付与します	書き込み
DeleteControl	カスタマーマネージドコントロールを削除するアクセス許可を付与します	書き込み
DeleteIntegration	アプリケーションの統合を削除するアクセス許可を付与します	書き込み
DeleteMembership	エージェントインスタンスに関連付けられた単一のメンバーを削除するアクセス許可を付与します	書き込み
DescribeFindings	ペネトレーションテストまたはペネトレーションテストタスクのセキュリティ検出結果を取得するアクセス許可を付与します	読み取り
GetApplication	アプリケーション ID でアプリケーションの詳細を取得するアクセス許可を付与します	読み取り
GetArtifact	指定されたエージェントインスタンスのアーティファクトを取得するアクセス許可を付与します	読み取り
GetCodeReviewTask	コードレビュータスクを取得するアクセス許可を付与します	読み取り
GetControl	コントロールを取得するアクセス許可を付与します	読み取り
GetDocReviewTask	ドキュメントレビュータスクを取得するアクセス許可を付与します	読み取り
GetDocumentReview	関連付けられたエージェントインスタンスドキュメントのレビューのステータスを取得するアクセス許可を付与します	読み取り
GetDocumentReviewArtifact	特定のドキュメントのドキュメントレビューアーティファクトを取得する許可を付与	読み取り
GetIntegration	ID で統合メタデータを取得する許可を付与	読み取り
GetLoginSessionCredentials	1 回限りのログインセッションの認証情報を取得するアクセス許可を付与します	読み取り
HandleOneTimeLoginSession	1 回限りのログインセッションを処理および無効化するアクセス許可を付与します	書き込み
InitiateProviderRegistration	特定のプロバイダー (GitHub など) のセキュリティエージェントアプリの登録を開始するアクセス許可を付与します	書き込み
ListAgentInstanceTasks	特定のエージェントインスタンスのタスクを一覧表示するアクセス許可を付与します	リスト
ListAgentInstances	エージェントインスタンスを一覧表示するアクセス許可を付与します	リスト
ListApplications	アカウント内のすべてのアプリケーションを一覧表示するアクセス許可を付与します	リスト
ListArtifacts	特定のプロジェクトのすべてのアーティファクトを一覧表示するアクセス許可を付与します	リスト
ListControls	すべてのコントロールを一覧表示するアクセス許可を付与します	リスト
ListDiscoveredEndpoints	オプションの URI プレフィックスフィルタリングを使用して、ペンテストジョブに関連付けられた検出されたエンドポイントを一覧表示するアクセス許可を付与します	リスト
ListDocumentReviewComments	ドキュメントレビューコメントを一覧表示するアクセス許可を付与します	リスト
ListDocumentReviews	特定のプロジェクトのすべてのドキュメントレビューを一覧表示するアクセス許可を付与します	リスト
ListFindings	フィルタリングとページ分割のサポートを使用して結果を一覧表示するアクセス許可を付与します	リスト
ListIntegratedResources	エージェントインスタンスの統合リソースを一覧表示するアクセス許可を付与します	リスト
ListIntegrations	呼び出し元の が所有する統合を取得するアクセス許可を付与します AWS アカウント	リスト
ListMemberships	ページ分割サポートを持つエージェントインスタンスに関連付けられているすべてのメンバーを一覧表示するアクセス許可を付与します	リスト
ListPentestJobsForPentest	侵入テストに関連付けられた侵入テストジョブを一覧表示するアクセス許可を付与します	リスト
ListPentests	ステータスによるオプションのフィルタリングを使用して侵入テストを一覧表示するアクセス許可を付与します	リスト
ListResourcesFromIntegration	統合からリソースを一覧表示するアクセス許可を付与します	リスト
ListTasks	ペンテストジョブに関連付けられたセキュリティテストタスクを一覧表示する許可を付与	リスト
StartCodeRemediation	検出結果のコード修復を開始するアクセス許可を付与します	書き込み
StartPentestExecution	ペネトレーションテストの実行を開始するアクセス許可を付与します	書き込み
StopPentestExecution	実行中のペネトレーションテストの実行を停止するアクセス許可を付与します	書き込み
ToggleManagedControl	ステータスを切り替えるアクセス許可を付与します	書き込み
UpdateAgentInstance	エージェントインスタンスレコードを更新するアクセス許可を付与します	書き込み
UpdateApplication	アプリケーション設定を更新するアクセス許可を付与します	書き込み			iam:PassRole
UpdateControl	カスタマーマネージドコントロールを更新するアクセス許可を付与します	書き込み
UpdateFinding	既存のセキュリティ検出結果を新しい詳細またはステータスで更新する許可を付与	書き込み
UpdateIntegratedResources	エージェントインスタンスの統合リソースを更新する許可を付与	書き込み
UpdatePentest	既存のペネトレーションテストを新しい設定で更新する許可を付与	書き込み
VerifyTargetDomain	エージェントインスタンスに登録されたターゲットドメインの所有権を検証するアクセス許可を付与します	書き込み

AWS Security Agent で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
Application	arn:${Partition}:securityagent:${Region}:${Account}:application/${ApplicationId}
Control	arn:${Partition}:securityagent:${Region}:${Account}:control/${ControlId}
Integration	arn:${Partition}:securityagent:${Region}:${Account}:integration/${IntegrationId}
AgentInstance	arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}
Artifact	arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/artifact/${ArtifactId}
Pentest	arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/pentest/${PentestId}
PentestJob	arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/pentest-job/${JobId}
PentestTask	arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/pentest-task/${TaskId}
Finding	arn:${Partition}:securityagent:${Region}:${Account}:agent-instance/${AgentId}/finding/${FindingId}

AWS セキュリティエージェントの条件キー

securityagent には、ポリシーステートメントの Condition要素で使用できるサービス固有のコンテキストキーはありません。すべてのサービスで使用できるグローバルなコンテキストキーのリストについては、「AWS クローバル条件コンテキストキー」を参照してください。