Amazon GuardDuty に関する IAM ポリシーのアクションを用途別にまとめてみた

Amazon GuardDuty に関する IAM ポリシーのアクションを用途別にまとめてみた

Clock Icon2023.07.31

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Amazon GuardDuty の IAM ポリシーを検討しやすいように、機能または作業別に独自のカテゴリに整理する機会がありました。そのときの内容を自身の備忘録も兼ねてブログ化しました。

Amazon GuardDuty のアクション一覧

操作したい機能、または、作業ごとに独自のカテゴリに分けて掲載します。

アクション一覧は次のユーザーガイドのページに掲載されており、API へのリンクも掲載されていることから、併用して確認することをおすすめします。


GuardDuty 全体(Detector)関連

アクセスレベル アクション 概要 補足
リスト ListDetectors ディテクターの一覧を取得 -
読み取り GetDetector ディテクターの設定を取得 -
書き込み CreateDetector ディテクターを作成 -
書き込み UpdateDetector ディテクターを更新 -
書き込み DeleteDetector ディテクターを削除 -


検出結果(Findings)関連

アクセスレベル アクション 概要 補足
リスト ListFindings 検出結果の一覧を取得 -
読み取り GetFindings 検出結果を取得 -
読み取り GetFindingsStatistics 検出結果の統計結果を取得 -
書き込み ArchiveFindings 検出結果をアーカイブ -
書き込み UnarchiveFindings 検出結果のアーカイブを解除 -
書き込み CreateSampleFindings 検出結果のサンプルを生成 -


検出結果のフィードバック関連

アクセスレベル アクション 概要 補足
書き込み UpdateFindingsFeedback 検出結果のフィードバックを許可 -


フィルター・抑制関連

アクセスレベル アクション 概要 補足
リスト ListFilters フィルターの一覧を取得 -
読み取り GetFilter フィルターの設定を取得 -
書き込み CreateFilter フィルターを作成 -
書き込み UpdateFilter フィルターを更新 -
書き込み DeleteFilter フィルターを削除 -


マルウェア保護関連

アクセスレベル アクション 概要 補足
読み取り DescribeMalwareScans マルウェアスキャンの結果を取得 -
読み取り GetMalwareScanSettings マルウェアスキャンの設定を取得 -
書き込み StartMalwareScan マルウェアスキャンを開始 -
書き込み UpdateMalwareScanSettings マルウェアスキャンの設定を更新 -


EKS ランタイムモニタリング関連

アクセスレベル アクション 概要 補足
リスト ListCoverage カバレッジの一覧を取得 -
読み取り GetCoverageStatistics カバレッジの統計を取得 -
書き込み SendSecurityTelemetry セキュリティテレメトリの送信 おそらくランタイムイベントを送信するための権限と思われます


信頼されている IP リスト関連

アクセスレベル アクション 概要 補足
リスト ListIPSets 信頼されている IP リストの一覧を取得 -
読み取り GetIPSet 信頼されている IP リストの設定を取得 -
書き込み CreateIPSet 信頼されている IP リストを作成 -
書き込み UpdateIPSet 信頼されている IP リストを更新 -
書き込み DeleteIPSet 信頼されている IP リストを削除 -


脅威 IP リスト関連

アクセスレベル アクション 概要 補足
リスト ListThreatIntelSets 脅威 IP リストの一覧を取得 -
読み取り GetThreatIntelSet 脅威 IP リストの設定を取得 -
書き込み CreateThreatIntelSet 脅威 IP リストを作成 -
書き込み UpdateThreatIntelSet 脅威 IP リストを更新 -
書き込み DeleteThreatIntelSet 脅威 IP リストを削除 -


S3 へのエクスポート関連

アクセスレベル アクション 概要 補足
リスト ListPublishingDestinations エクスポート先の一覧を取得 -
読み取り DescribePublishingDestination エクスポート先を取得 -
書き込み CreatePublishingDestination エクスポート先を作成(設定) -
書き込み UpdatePublishingDestination エクスポート先を更新 -
書き込み DeletePublishingDestination エクスポート先を削除 -


メンバーアカウント関連

このカテゴリだけ、管理者アカウント側の操作とメンバーアカウント側の操作を示す列(実行主体)を追加しています。また、一部のアクションは非推奨とされており、代わりのアクションがあります。

アクセスレベル アクション 実行主体 概要 補足
リスト ListMembers 管理者 関連付け済みのメンバーアカウントの一覧を取得 -
リスト ListInvitations メンバー 招待されている一覧を取得 -
読み取り GetMembers 管理者 メンバーアカウントの情報を取得 -
読み取り GetMemberDetectors 管理者 メンバーアカウントの Detector の設定(各保護の有効化状態)を取得 -
読み取り GetInvitationsCount メンバー 招待されている数を確認 -
読み取り GetAdministratorAccount メンバー 関連付け済みの管理者アカウントの情報を取得 -
読み取り GetMasterAccount メンバー 関連付け済みの管理者アカウントの情報を取得 非推奨
書き込み CreateMembers 管理者 メンバーアカウントを作成 -
書き込み InviteMembers 管理者 メンバーアカウントを招待 -
書き込み DisassociateMembers 管理者 メンバーアカウントの関連付けを解除 -
書き込み DeleteMembers 管理者 メンバーアカウントを削除 -
書き込み StartMonitoringMembers 管理者 メンバーアカウントの保護を有効化 -
書き込み UpdateMemberDetectors 管理者 メンバーアカウントの設定を更新 -
書き込み StopMonitoringMembers 管理者 メンバーアカウントの保護を無効化 -
書き込み AcceptAdministratorInvitation メンバー 招待を承認 -
書き込み AcceptInvitation メンバー 招待を承認 非推奨
書き込み DeclineInvitations メンバー 招待を拒否 -
書き込み DeleteInvitations メンバー 招待を削除 -
書き込み DisassociateFromAdministratorAccount メンバー 管理者カウントとの関連付けを解除 -
書き込み DisassociateFromMasterAccount メンバー 管理者カウントとの関連付けを解除 非推奨


委任関連

アクセスレベル アクション 概要 補足
リスト ListOrganizationAdminAccounts 委任の一覧を取得 -
書き込み EnableOrganizationAdminAccount 委任を有効 -
書き込み DisableOrganizationAdminAccount 委任を無効 -


AWS Organizations 連携の自動有効設定関連

アクセスレベル アクション 概要 補足
読み取り DescribeOrganizationConfiguration 自動有効化設定を取得 -
書き込み UpdateOrganizationConfiguration 自動有効化設定を更新 -


料金関連

アクセスレベル アクション 概要 補足
読み取り GetRemainingFreeTrialDays 無料試用期間の残り日数を取得 -
読み取り GetUsageStatistics GuardDuty の使用状況の統計を取得 -


タグ関連

アクセスレベル アクション 概要 補足
読み取り ListTagsForResource タグの一覧を取得 -
タグ付け TagResource タグ追加 -
タグ付け UntagResource タグ削除 -

さいごに

Amazon GuardDuty の IAM ポリシーを検討しやすいように、機能または作業別に独自のカテゴリに整理してみました。

以上、このブログがどなたかのご参考になれば幸いです。

Share this article

facebook logohatena logotwitter logo

© Classmethod, Inc. All rights reserved.