Macie 以身分識別為基礎的政策範例

根據預設，使用者和角色沒有建立或修改 Macie 資源的權限。他們也無法使用 AWS Management Console、 AWS Command Line Interface (AWS CLI) 或執行工作 AWS API。若要授與使用者對所需資源執行動作的權限，IAM管理員可以建立IAM策略。然後，系統管理員可以將IAM原則新增至角色，使用者可以擔任這些角色。

若要瞭解如何使用這些範例原則文件來建立以IAM身分識別為基礎的JSON策略，請參閱使用指南中的IAM建立IAM策略。

如需 Macie 定義的動作和資源類型的詳細資訊，包括每個ARNs資源類型的格式，請參閱服務授權參考中的 Amazon Macie 的動作、資源和條件金鑰。

建立原則時，請務必先解決安全性警告、錯誤、一般警告和 AWS Identity and Access Management Access Analyzer (IAMAccess Analyzer) 的建議，然後再儲存原則。IAMAccess Analyzer 會執行原則檢查，以針對原IAM則文法和最佳做法來驗證原則。這些檢查會產生問題清單並提供可行的建議，協助您撰寫具有功能性且符合安全最佳實務的政策。若要了解如何使用IAM存取分析器驗證原則，請參閱使用IAM者指南中的IAM存取分析器原則驗證。若要檢閱 IAM Access Analyzer 可傳回的警告、錯誤和建議清單，請參閱IAM使用者指南中的IAM存取分析器原則檢查參考資料。

政策最佳實務

以身分識別為基礎的政策會決定某人是否可以在您的帳戶中建立、存取或刪除 Macie 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

• 開始使用 AWS 受管原則並邁向最低權限權限 — 若要開始授與使用者和工作負載的權限，請使用可授與許多常見使用案例權限的AWS 受管理原則。它們在您的 AWS 帳戶. 建議您透過定義特定於您使用案例的 AWS 客戶管理政策，進一步降低使用權限。如需詳細資訊，請參閱AWS 《IAM使用指南》中針對工作職能的AWS 受管理策略或受管理的策略。

• 套用最低權限權限 — 當您使用原則設定權限時，IAM只授與執行工作所需的權限。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊，請參閱《使用指南》IAM中的IAM《策略與權限》。

• 使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件，以指定必須使用傳送所有要求SSL。您也可以使用條件來授與對服務動作的存取權 (如透過特定 AWS 服務) 使用 AWS CloudFormation。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。

• 使用 IAM Access Analyzer 驗證您的原IAM則，以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則，以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可行的建議，協助您撰寫安全且功能正常的原則。如需詳細資訊，請參閱IAM使IAM用指南中的存取分析器原則驗證。

• 需要多因素驗證 (MFA) — 如果您的案例需要使IAM用者或 root 使用者 AWS 帳戶，請開啟以取得額外MFA的安全性。若要在呼叫API作業MFA時需要，請在原則中新增MFA條件。如需詳細資訊，請參閱《IAM使用指南》中的 ＜ 設定MFA受保護的API存取 ＞。

如需中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

使用 Amazon Macie 控制台

若要存取 Amazon Macie 主控台，您必須擁有最少一組許可。這些權限必須允許您列出並檢視您 AWS 帳戶的. 如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。

您不需要為只對 AWS CLI 或撥打電話的使用者允許最低主控台權限 AWS API。而是只允許存取符合他們嘗試執行之API作業的動作。

為確保使用者和角色可以使用 Amazon Macie 主控台，請建立IAM政策以提供主控台存取權限。如需詳細資訊，請參閱《IAM使用指南》IAM中的「策略和權限」。

如果您建立允許使用者或角色使用 Amazon Macie 主控台的政策，請確保該政策允許該macie2:GetMacieSession動作。否則，這些使用者或角色將無法存取主控台上的任何 Macie 資源或資料。

此外，也請確定策略允許macie2:List對這些使用者或角色在主控台上存取的資源採取適當的動作。否則，他們將無法在控制台上導航到或顯示有關這些資源的詳細信息。例如，若要使用主控台檢閱敏感資料探索工作的詳細資料，必須允許使用者針對工作和macie2:DescribeClassificationJob動作執行macie2:ListClassificationJobs動作。如果不允許使用者執行macie2:ListClassificationJobs動作，使用者將無法在主控台的 [工作] 頁面上顯示工作清單，因此無法選擇工作來顯示其詳細資料。如需詳細資訊包含工作使用的自訂資料識別碼的相關資訊，還必須允許使用者針對自訂資料識別碼執行macie2:BatchGetCustomDataIdentifiers動作。

範例：允許使用者檢閱自己的權限

此範例顯示如何建立原則，讓使IAM用者檢視附加至其使用者身分識別的內嵌和受管理原則。此原則包含在主控台上或以程式設計方式使用或完成此動作的 AWS CLI 權限 AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

範例：允許使用者建立敏感資料探索工作

此範例顯示如何建立允許使用者建立敏感資料探索工作的原則。

在此範例中，第一個陳述式會將macie2:CreateClassificationJob權限授與使用者。這些權限可讓使用者建立工作。該聲明還授予macie2:DescribeClassificationJob權限。這些權限可讓使用者存取現有工作的詳細資料。雖然建立工作不需要這些權限，但存取這些詳細資料可協助使用者建立具有唯一組態設定的工作。

範例中的第二個陳述式可讓使用者使用 Amazon Macie 主控台建立、設定和檢閱任務。macie2:ListClassificationJobs權限可讓使用者在主控台的 [工作] 頁面上顯示現有的工作。陳述式中的所有其他權限可讓使用者使用主控台上的 [建立工作] 頁面來設定和建立工作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAndReviewJobs",
            "Effect": "Allow",
            "Action": [
                "macie2:CreateClassificationJob",
                "macie2:DescribeClassificationJob"
            ],
            "Resource": "arn:aws:macie2:*:*:classification-job/*"
        },
        {
            "Sid": "CreateAndReviewJobsOnConsole",
            "Effect": "Allow",
            "Action": [
                "macie2:ListClassificationJobs",
                "macie2:ListAllowLists",
                "macie2:ListCustomDataIdentifiers",
                "macie2:ListManagedDataIdentifiers",
                "macie2:SearchResources",
                "macie2:DescribeBuckets"
            ],
            "Resource": "*"
        }
    ]
}

範例：允許使用者管理敏感資料探索工作

此範例顯示如何建立原則，以允許使用者存取特定敏感資料探索工作 (ID 為的工作) 的詳細資料3ce05dbb7ec5505def334104bexample。此範例也可讓使用者視需要變更工作狀態。

範例中的第一個陳述式會授macie2:DescribeClassificationJob與使用者和macie2:UpdateClassificationJob權限。這些權限可讓使用者分別擷取工作的詳細資訊並變更工作的狀態。第二個陳述式將macie2:ListClassificationJobs許可授與使用者，讓使用者可以使用 Amazon Macie 主控台上的「作業」頁面存取任務。

{
   "Version": "2012-10-17",
   "Statement": [
	{
         "Sid": "ManageOneJob",
         "Effect": "Allow",
         "Action": [
            "macie2:DescribeClassificationJob",
            "macie2:UpdateClassificationJob"
         ],
         "Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample"
	},
	{
         "Sid": "ListJobsOnConsole",
         "Effect": "Allow",
         "Action": "macie2:ListClassificationJobs",
         "Resource": "*"
	}
   ]
}

您也可以允許使用者存取 Macie 針對任務發佈到 Amazon Logs 的記錄資料 ( CloudWatch 日誌事件)。若要這麼做，您可以新增陳述式，以授與對 CloudWatch 記錄群組執行 Logs (logs) 動作的權限，並為工作進行串流。例如：

"Statement": [
    {
        "Sid": "AccessLogGroupForMacieJobs",
        "Effect": "Allow",
        "Action": [
            "logs:DescribeLogGroups",
            "logs:DescribeLogStreams"
        ],
        "Resource": "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs"
    },
    {
        "Sid": "AccessLogEventsForOneMacieJob",
        "Effect": "Allow",
        "Action": "logs:GetLogEvents",
        "Resource": [
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs/*",
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs:log-stream:3ce05dbb7ec5505def334104bexample"
        ]
    }
]

如需管理 CloudWatch 日誌存取權限的相關資訊，請參閱 Amazon Logs 使用者指南中的管理 CloudWatch 日 CloudWatch 誌資源存取許可概觀。

範例：允許使用者檢閱發現項目

此範例顯示如何建立允許使用者存取發現項目資料的策略。

在此範例中，macie2:GetFindings和macie2:GetFindingStatistics許可允許使用者使用 Amazon Macie API 或 Amazon Macie 主控台擷取資料。這些macie2:ListFindings許可允許使用者使用 Amazon Macie 主控台上的「摘要」儀表板和「發現項目」頁面來擷取和檢閱資料。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        }
    ]
}

您也可以允許使用者建立和管理發現項目的篩選規則和抑制規則。若要這麼做，您可能會包含授與下列權限的陳述式：macie2:CreateFindingsFiltermacie2:GetFindingsFiltermacie2:UpdateFindingsFilter、、和macie2:DeleteFindingsFilter。若要允許使用者使用 Amazon Macie 主控台來管理規則，請在政策中包含macie2:ListFindingsFilters許可。例如：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ManageRules",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindingsFilter",
                "macie2:UpdateFindingsFilter",
                "macie2:CreateFindingsFilter",
                "macie2:DeleteFindingsFilter"
            ],
            "Resource": "arn:aws:macie2:*:*:findings-filter/*"
        },
        {
            "Sid": "ListRulesOnConsole",
            "Effect": "Allow",
            "Action": "macie2:ListFindingsFilters",
            "Resource": "*"
        }
    ]
}

範例：允許使用者根據標籤檢閱自訂資料識別碼

在以身分為基礎的政策中，您可以使用條件根據標籤來控制 Amazon Macie 資源的存取。此範例說明如何建立政策，以允許使用者使用 Amazon Macie 主控台或 Amazon Macie 檢閱自訂資料識別碼。API不過，只有當Owner標籤的值是使用者的使用者名稱時，才會授與權限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewCustomDataIdentifiersIfOwner",
            "Effect": "Allow",
            "Action": "macie2:GetCustomDataIdentifier",
            "Resource": "arn:aws:macie2:*:*:custom-data-identifier/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        },
        {
            "Sid": "ListCustomDataIdentifiersOnConsoleIfOwner",
            "Effect": "Allow",
            "Action": "macie2:ListCustomDataIdentifiers",
            "Resource": "*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

在此範例中，如果具有使用者名稱的使用者richard-roe嘗試檢閱自訂資料識別碼的詳細資料，則必須標記自訂資料識別碼Owner=richard-roe或owner=richard-roe。否則，便會拒絕該使用者存取。條件標籤鍵同時Owner匹配Owner和owner因為條件鍵名稱不區分大小寫。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。