Entendendo a conta de administrador delegado e a conta de membro no Amazon Inspector

Ao usar o Amazon Inspector em um ambiente com várias contas, a conta do administrador delegado tem acesso a metadados específicos. Os metadados incluem escaneamento padrão para Amazon EC2, Amazon ECR e Lambda e escaneamento de código Lambda. Também inclui resultados de busca de segurança para contas de membros.

Ações de administrador delegado

Geralmente, quando o administrador delegado aplica configurações à sua conta, essas configurações são aplicadas a todas as outras contas na organização. O administrador delegado também pode visualizar e recuperar informações da própria conta e de qualquer membro associado. Uma conta de administrador delegado do Amazon Inspector pode executar as seguintes ações:

• Visualize e gerencie o status do Amazon Inspector para contas associadas, incluindo a ativação e a desativação do Amazon Inspector.

• Habilitar ou desabilitar tipos de verificação para todas as contas-membro da organização.

• Visualize dados agregados de descoberta em toda a organização e detalhes de localização de todas as contas de membros da organização.

• Crie e gerencie regras de supressão que sejam aplicáveis às descobertas de todas as contas na organização.

• Ative o escaneamento aprimorado do Amazon ECR para todos os membros da organização.

• Veja a cobertura de recursos para toda a organização.

• Defina a duração para verificações automáticas de imagens de contêiner do ECR para todas as contas-membro da organização. A configuração de duração do escaneamento do administrador delegado substitui qualquer configuração definida anteriormente pela conta do membro. Todas as contas da organização compartilham a duração de nova verificação automática do Amazon ECR dos administradores delegados. Você não pode definir durações de nova verificação diferentes para contas individuais.

• Especifique cinco caminhos personalizados para a inspeção profunda do Amazon Inspector para o Amazon EC2, que serão usados em todas as contas da organização. Eles são um acréscimo aos cinco caminhos personalizados que um administrador delegado pode definir para sua conta individual. Para obter mais informações sobre como configurar caminhos personalizados de inspeção profunda, consulteCaminhos personalizados para a inspeção profunda do Amazon Inspector.

• Ative e desative a inspeção profunda do Amazon Inspector para contas de membros.

• Exporte SBOMs para qualquer conta de membro da organização.

• Defina o modo de verificação do Amazon EC2 para todas as contas de membro da organização. Para ter mais informações, consulte Gerenciar o modo de digitalização.

• Crie e gerencie configurações de escaneamento CIS para todas as contas na organização, exceto para quaisquer configurações de escaneamento criadas por contas de membros.

  nota

  Se uma conta membro sair da organização, o administrador delegado não poderá mais ver as configurações de escaneamento agendadas por essa conta.

• Veja os resultados da verificação do CIS para todas as contas na organização.

Ações da conta de membro

Uma conta de membro pode visualizar e recuperar informações sobre sua conta no Amazon Inspector, enquanto as configurações de sua conta são gerenciadas pelo administrador delegado. As contas de membro de uma empresa podem executar as seguintes ações no Amazon Inspector:

• Ativar os escaneamentos do Amazon Inspector para sua conta.

• Visualizar a cobertura de recursos para sua própria conta.

• Visualizar os detalhes das descobertas para sua conta.

• Visualizar a configuração de duração da nova digitalização automática da imagem do contêiner ECR para sua conta.

• Especifique cinco caminhos personalizados para a inspeção profunda do Amazon Inspector para EC2 que serão usados para sua conta individual. Esses caminhos são escaneados, além de qualquer caminho personalizado que o administrador delegado tenha especificado para a organização. Para obter mais informações sobre como configurar caminhos de inspeção profunda, consulteCaminhos personalizados para a inspeção profunda do Amazon Inspector.

• Veja os caminhos personalizados definidos pelo seu administrador delegado para a inspeção profunda do Amazon Inspector.

• Exporte SBOMs para qualquer recurso associado à conta.

• Visualize o modo de verificação da conta.

• Crie e gerencie as configurações de escaneamento do CIS para sua conta.

• Veja os resultados de qualquer verificação do CIS em busca de recursos em sua conta, incluindo aquelas agendadas pelo administrador delegado.

nota

Após a ativação, o Amazon Inspector pode ser desativado somente por uma conta de administrador delegado.