AWS Amazon Inspector 的 受管政策

AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。

請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義使用案例專屬的客戶管理政策，以便進一步減少許可。

您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。

如需詳細資訊，請參閱《IAM 使用者指南》中的 AWS 受管政策。

AWS 受管政策： AmazonInspector2FullAccess_v2

您可將 AmazonInspector2FullAccess 政策連接到 IAM 身分。

此政策授予 Amazon Inspector 的完整存取權，以及其他相關服務的存取權。

許可詳細資訊

此政策包含以下許可。

• inspector2 – 允許完整存取 Amazon Inspector APIs。

• codeguru-security – 允許管理員擷取帳戶的安全調查結果和組態設定。

• iam – 允許 Amazon Inspector 建立服務連結角色AWSServiceRoleForAmazonInspector2和 AWSServiceRoleForAmazonInspector2Agentless。Amazon Inspector AWSServiceRoleForAmazonInspector2 需要 才能執行操作，例如擷取 Amazon EC2 執行個體、Amazon ECR 儲存庫和 Amazon ECR 容器映像的相關資訊。也需要解密使用 AWS KMS 金鑰加密的 Amazon EBS 快照。如需詳細資訊，請參閱使用 Amazon Inspector 的服務連結角色。

• organizations – AllowServicePrincipalBasedAccessToOrganizationApis 僅允許服務主體為 建立服務連結角色 AWS 帳戶、將 註冊 AWS 帳戶 為組織的委派管理員，以及列出組織中的委派管理員。 AllowOrganizationalBasedAccessToOrganizationApis 允許政策持有者擷取有關組織單位的資訊，特別是資源層級 ARNs。 AllowAccountsBasedAccessToOrganizationApis 允許政策持有者擷取有關 的資訊，特別是資源層級 ARNs AWS 帳戶。 AllowAccessToOrganizationApis 允許政策持有者檢視與組織和組織資訊 AWS 服務 整合的資訊。

JSON

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "AllowFullAccessToInspectorApis",
      "Effect" : "Allow",
      "Action" : "inspector2:*",
      "Resource" : "*"
    },
    {
      "Sid" : "AllowAccessToCodeGuruApis",
      "Effect" : "Allow",
      "Action" : [
        "codeguru-security:BatchGetFindings",
        "codeguru-security:GetAccountConfiguration"
      ],
      "Resource" : "*"
    },
    {
      "Sid" : "AllowAccessToCreateSlr",
      "Effect" : "Allow",
      "Action" : "iam:CreateServiceLinkedRole",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "iam:AWSServiceName" : [
            "agentless.inspector2.amazonaws.com",
            "inspector2.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid" : "AllowServicePrincipalBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListDelegatedAdministrators"
      ],
      "Resource" : "*",
      "Condition": {
        "StringEquals": {
          "organizations:ServicePrincipal": [
            "inspector2.amazonaws.com",
            "agentless.inspector2.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid" : "AllowOrganizationalBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:DescribeOrganizationalUnit"
      ],
      "Resource" : "arn:*:organizations::*:ou/o-*/ou-*"
    },
    {
      "Sid" : "AllowAccountsBasedAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:DescribeAccount"
      ],
      "Resource" : "arn:*:organizations::*:account/o-*/*"
    },
    {
      "Sid" : "AllowAccessToOrganizationApis",
      "Effect" : "Allow",
      "Action" : [
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganization"
      ],
      "Resource" : "*"
    }
  ]
}

AWS 受管政策： AmazonInspector2FullAccess

您可將 AmazonInspector2FullAccess 政策連接到 IAM 身分。

此政策會授予允許完整存取 Amazon Inspector 的管理許可。

許可詳細資訊

此政策包含以下許可。

• inspector2 – 允許完整存取 Amazon Inspector 功能。

• iam – 允許 Amazon Inspector 建立服務連結角色AWSServiceRoleForAmazonInspector2和 AWSServiceRoleForAmazonInspector2Agentless。Amazon Inspector AWSServiceRoleForAmazonInspector2需要 才能執行操作，例如擷取 Amazon EC2 執行個體、Amazon ECR 儲存庫和容器映像的相關資訊。Amazon Inspector 也需要分析您的 VPC 網路並描述與您組織相關聯的帳戶。Amazon Inspector AWSServiceRoleForAmazonInspector2Agentless 需要 才能執行操作，例如擷取 Amazon EC2 執行個體和 Amazon EBS 快照的相關資訊。也需要解密使用 AWS KMS 金鑰加密的 Amazon EBS 快照。如需詳細資訊，請參閱使用 Amazon Inspector 的服務連結角色。

• organizations – 允許管理員將 Amazon Inspector 用於 中的組織 AWS Organizations。當您在 中啟用 Amazon Inspector 的受信任存取時 AWS Organizations，委派管理員帳戶的成員可以管理設定並檢視整個組織的調查結果。 Amazon Inspector

• codeguru-security – 允許管理員使用 Amazon Inspector 擷取資訊程式碼片段，並變更 CodeGuru Security 存放程式碼的加密設定。如需詳細資訊，請參閱對問題清單中的程式碼進行靜態加密。

JSON

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowFullAccessToInspectorApis",
			"Effect": "Allow",
			"Action": "inspector2:*",
			"Resource": "*"
		},
		{
			"Sid": "AllowAccessToCodeGuruApis",
			"Effect": "Allow",
			"Action": [
				"codeguru-security:BatchGetFindings",
				"codeguru-security:GetAccountConfiguration"
			],
			"Resource": "*"
		},
		{
			"Sid": "AllowAccessToCreateSlr",
			"Effect": "Allow",
			"Action": "iam:CreateServiceLinkedRole",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"agentless.inspector2.amazonaws.com",
						"inspector2.amazonaws.com"
					]
				}
			}
		},
		{
			"Sid": "AllowAccessToOrganizationApis",
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess",
				"organizations:RegisterDelegatedAdministrator",
				"organizations:ListDelegatedAdministrators",
				"organizations:ListAWSServiceAccessForOrganization",
				"organizations:DescribeOrganizationalUnit",
				"organizations:DescribeAccount",
				"organizations:DescribeOrganization"
			],
			"Resource": "*"
		}
	]
}

AWS 受管政策： AmazonInspector2ReadOnlyAccess

您可將 AmazonInspector2ReadOnlyAccess 政策連接到 IAM 身分。

此政策授予許可，允許唯讀存取 Amazon Inspector。

許可詳細資訊

此政策包含以下許可。

• inspector2 – 允許唯讀存取 Amazon Inspector 功能。

• organizations – 允許 AWS Organizations 檢視 中組織 Amazon Inspector 涵蓋範圍的詳細資訊。

• codeguru-security – 允許從 CodeGuru Security 擷取程式碼片段。也允許檢視儲存在 CodeGuru Security 中程式碼的加密設定。

JSON

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators",
				"organizations:ListAWSServiceAccessForOrganization",
				"organizations:DescribeOrganizationalUnit",
				"organizations:DescribeAccount",
				"organizations:DescribeOrganization",
				"inspector2:BatchGet*",
				"inspector2:List*",
				"inspector2:Describe*",
				"inspector2:Get*",
				"inspector2:Search*",
				"codeguru-security:BatchGetFindings",
				"codeguru-security:GetAccountConfiguration"
			],
			"Resource": "*"
		}
	]
}

AWS 受管政策： AmazonInspector2ManagedCisPolicy

您可將 AmazonInspector2ManagedCisPolicy 政策附加至 IAM 實體。此政策應連接至授予 Amazon EC2 執行個體執行執行個體 CIS 掃描許可的角色。您可以使用 IAM 角色來管理在 EC2 執行個體上執行之應用程式的臨時登入資料，以及提出 AWS CLI 或 AWS API 請求。這是在 EC2 執行個體內儲存存取金鑰的較好方式。若要將 AWS 角色指派給 EC2 執行個體並將其提供給其所有應用程式，您可以建立連接至執行個體的執行個體描述檔。執行個體設定檔包含該角色，並且可讓 EC2 執行個體上執行的程式取得臨時憑證。如需詳細資訊，請參閱《IAM 使用者指南》中的使用 IAM 角色來授予許可權給 Amazon EC2 執行個體上執行的應用程式。

許可詳細資訊

此政策包含以下許可。

• inspector2 – 允許存取用於執行 CIS 掃描的動作。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "inspector2:StartCisSession",
                "inspector2:StopCisSession",
                "inspector2:SendCisSessionTelemetry",
                "inspector2:SendCisSessionHealth"
            ],
            "Resource": "*"
        }
    ]
}

AWS 受管政策： AmazonInspector2ServiceRolePolicy

您無法將 AmazonInspector2ServiceRolePolicy 政策附加至 IAM 實體。此政策會連接到服務連結角色，允許 Amazon Inspector 代表您執行動作。如需詳細資訊，請參閱使用 Amazon Inspector 的服務連結角色。

AWS 受管政策： AmazonInspector2AgentlessServiceRolePolicy

您無法將 AmazonInspector2AgentlessServiceRolePolicy 政策附加至 IAM 實體。此政策會連接到服務連結角色，允許 Amazon Inspector 代表您執行動作。如需詳細資訊，請參閱使用 Amazon Inspector 的服務連結角色。

AWS 受管政策的 Amazon Inspector 更新

檢視自此服務開始追蹤 Amazon Inspector AWS 受管政策更新以來的詳細資訊。如需此頁面變更的自動提醒，請訂閱 Amazon Inspector 文件歷史記錄頁面上的 RSS 摘要。

變更	描述	日期
AmazonInspector2FullAccess_v2 – 新政策	Amazon Inspector 已新增新的受管政策，提供 Amazon Inspector 的完整存取權，以及其他相關服務的存取權。	2025 年 7 月 3 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增允許 Amazon Inspector 描述 IP 地址和網際網路閘道的新許可。	2025 年 4 月 29 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增允許唯讀存取 Amazon ECS 和 Amazon EKS 動作的新許可。	2025 年 3 月 25 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增允許 Amazon Inspector 傳回函數標籤的許可 AWS Lambda。	2024 年 7 月 31 日
AmazonInspector2FullAccess – 現有政策的更新	Amazon Inspector 已新增許可，允許 Amazon Inspector 建立服務連結角色AWSServiceRoleForAmazonInspector2Agentless。這可讓使用者在啟用 Amazon Inspector 時執行代理程式型掃描和無代理程式掃描。	2024 年 4 月 24 日
AmazonInspector2ManagedCisPolicy – 新政策	Amazon Inspector 已新增新的受管政策，您可以將其做為執行個體描述檔的一部分，以允許在執行個體上進行 CIS 掃描。	2024 年 1 月 23 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增允許 Amazon Inspector 在目標執行個體上啟動 CIS 掃描的新許可。	2024 年 1 月 23 日
AmazonInspector2AgentlessServiceRolePolicy – 新政策	Amazon Inspector 已新增服務連結角色政策，以允許無代理程式掃描 EC2 執行個體。	2023 年 11 月 27 日
AmazonInspector2ReadOnlyAccess – 現有政策的更新	Amazon Inspector 新增了新的許可，允許唯讀使用者擷取套件漏洞調查結果的漏洞情報詳細資訊。	2023 年 9 月 22 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 新增了新的許可，允許 Amazon Inspector 掃描屬於 Elastic Load Balancing 目標群組的 Amazon EC2 執行個體的網路組態。	2023 年 8 月 31 日
AmazonInspector2ReadOnlyAccess – 現有政策的更新	Amazon Inspector 新增了新的許可，允許唯讀使用者匯出其資源的軟體物料清單 (SBOM)。	2023 年 6 月 29 日
AmazonInspector2ReadOnlyAccess – 現有政策的更新	Amazon Inspector 新增了新的許可，允許唯讀使用者擷取其帳戶的 Lambda 程式碼掃描問題清單加密設定的詳細資訊。	2023 年 6 月 13 日
AmazonInspector2FullAccess – 現有政策的更新	Amazon Inspector 已新增新的許可，允許使用者設定客戶受管 KMS 金鑰來加密 Lambda 程式碼掃描問題清單中的程式碼。	2023 年 6 月 13 日
AmazonInspector2ReadOnlyAccess – 現有政策的更新	Amazon Inspector 新增了新的許可，允許唯讀使用者擷取其帳戶 Lambda 程式碼掃描狀態和調查結果的詳細資訊。	2023 年 5 月 2 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增新的許可，允許 Amazon Inspector 在您啟用 Lambda 掃描時，在您的帳戶中建立 AWS CloudTrail 服務連結頻道。這可讓 Amazon Inspector 監控您帳戶中的 CloudTrail 事件。	2023 年 4 月 30 日
AmazonInspector2FullAccess – 現有政策的更新	Amazon Inspector 已新增新的許可，允許使用者從 Lambda 程式碼掃描擷取程式碼漏洞問題清單的詳細資訊。	2023 年 4 月 21 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 新增了新的許可，允許 Amazon Inspector 將客戶為 Amazon EC2 深度檢查定義的自訂路徑的相關資訊傳送至 Amazon EC2 Systems Manager。 Amazon EC2	2023 年 4 月 17 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增新的許可，允許 Amazon Inspector 在您啟用 Lambda 掃描時，在您的帳戶中建立 AWS CloudTrail 服務連結頻道。這可讓 Amazon Inspector 監控您帳戶中的 CloudTrail 事件。	2023 年 4 月 30 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 新增了新的許可，允許 Amazon Inspector 請求掃描 AWS Lambda 函數中的開發人員程式碼，並從 Amazon CodeGuru Security 接收掃描資料。此外，Amazon Inspector 已新增檢閱 IAM 政策的許可。Amazon Inspector 會使用此資訊來掃描 Lambda 函數是否有程式碼漏洞。	2023 年 2 月 28 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增新陳述式，允許 Amazon Inspector 從 CloudWatch 擷取上次調用 AWS Lambda 函數的時間的相關資訊。Amazon Inspector 會使用此資訊，將掃描重點放在您環境中在過去 90 天內處於作用中狀態的 Lambda 函數。	2023 年 2 月 20 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增新的陳述式，允許 Amazon Inspector 擷取 AWS Lambda 函數的相關資訊，包括與每個函數相關聯的每個 layer 版本。Amazon Inspector 會使用此資訊來掃描 Lambda 函數是否有安全漏洞。	2022 年 11 月 28 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已新增動作，以允許 Amazon Inspector 描述 SSM 關聯執行。此外，Amazon Inspector 已新增其他資源範圍，以允許 Amazon Inspector 建立、更新、刪除和啟動與AmazonInspector2擁有 SSM 文件的 SSM 關聯。	2022 年 8 月 31 日
AmazonInspector2ServiceRolePolicy 現有政策的更新	Amazon Inspector 已更新政策的資源範圍，以允許 Amazon Inspector 收集其他 AWS 分割區中的軟體庫存。	2022 年 8 月 12 日
AmazonInspector2ServiceRolePolicy – 現有政策的更新	Amazon Inspector 已重組允許 Amazon Inspector 建立、刪除和更新 SSM 關聯之動作的資源範圍。	2022 年 8 月 10 日
AmazonInspector2ReadOnlyAccess – 新政策	Amazon Inspector 新增了新的政策，以允許唯讀存取 Amazon Inspector 功能。	2022 年 1 月 21 日
AmazonInspector2FullAccess – 新政策	Amazon Inspector 新增了新的政策，以允許完整存取 Amazon Inspector 功能。	2021 年 11 月 29 日
AmazonInspector2ServiceRolePolicy – 新政策	Amazon Inspector 新增了新的政策，以允許 Amazon Inspector 代表您在其他 服務中執行動作。	2021 年 11 月 29 日
Amazon Inspector 開始追蹤變更	Amazon Inspector 開始追蹤其 AWS 受管政策的變更。	2021 年 11 月 29 日