Amazon Detective に関する IAM ポリシーのアクションを用途別にまとめてみた

Amazon Detective に関する IAM ポリシーを検討する機会があり、機能または作業別に独自のカテゴリでアクションを整理したため、その時の内容を備忘録も兼ねてブログ化しました。

Amazon Detective のアクション一覧

操作したい機能、または、作業ごとに独自のカテゴリに分けて掲載します。

アクション一覧は次のユーザーガイドのページに掲載されており、API へのリンクも掲載されていることから、併用して確認することをおすすめします。

Amazon Detective のアクション、リソース、および条件キー - サービス認可リファレンス

以降のアクション一覧表において、アクション名がリンクになっていないアクションは対応する API が存在しないアクセス許可です。マネジメントコンソール上の操作に関連する権限となります。

Detective 全体（グラフ）関連

アクセスレベル	アクション	概要	補足
リスト	ListGraphs	Detective の一覧を取得（グラフの一覧を取得）	-
リスト	ListHighDegreeEntities	リレーションの保存ができない大量のエンティティの取得を許可	大量のエンティティの詳細の表示
読み取り	SearchGraph	データの検索を許可	-
書き込み	CreateGraph	Detective を有効化（グラフを作成）	-
書き込み	DeleteGraph	Detective を無効化（グラフを削除）	-

SearchGraphを Deny した場合のマネジメントコンソール上の見え方です。データの検索ができなくなります。

データソース（ソースパッケージ）関連

アクセスレベル	アクション	概要	補足
リスト	ListDatasourcePackages	データソースの一覧を取得	-
読み取り	BatchGetMembershipDatasources	データソースの履歴（開始時刻、停止時刻）を取得	-
読み取り	GetGraphIngestState	データ取り込み状態の取得を許可	-
書き込み	UpdateDatasourcePackages	データソースの更新（有効化、無効化）	-

2023.8.13 時点で有効なデータソースの値は次の 3 種類です。AWS セキュリティ検出結果と　EKS 監査ログはオプションのソースパッケージです。

• DETECTIVE_CORE
• ASFF_SECURITYHUB_FINDING（AWS セキュリティ検出結果）
• EKS_AUDIT（EKS 監査ログ）

メンバーアカウント関連

このカテゴリだけ、管理者アカウント側の操作とメンバーアカウント側の操作を示す列（実行主体）を追加しています。

アクセスレベル	アクション	実行主体	概要	補足
リスト	ListMembers	管理者	関連付け済みのメンバーアカウントのリストを取得	-
リスト	ListInvitations	メンバー	招待されているリストを取得	-
読み取り	GetMembers	管理者	メンバーアカウントの情報を取得	-
読み取り	BatchGetGraphMemberDatasources	管理者	メンバーアカウントのデータソースを取得	-
書き込み	CreateMembers	管理者	メンバーアカウントを作成	-
書き込み	DisassociateMembership	管理者	メンバーアカウントの関連付けを解除	-
書き込み	DeleteMembers	管理者	メンバーアカウントを削除	-
書き込み	AcceptInvitation	メンバー	招待を承認	-
書き込み	RejectInvitation	メンバー	招待を拒否	-
書き込み	StartMonitoringMember	管理者	ACCEPTED_BUT_DISABLED ステータスのメンバーアカウントを有効化	-

委任関連

アクセスレベル	アクション	概要	補足
リスト	ListOrganizationAdminAccount	委任の一覧を取得	-
書き込み	DisableOrganizationAdminAccount	委任を有効	-
書き込み	EnableOrganizationAdminAccount	委任を無効	-

AWS Organizations 連携の自動有効設定関連

アクセスレベル	アクション	概要	補足
読み取り	DescribeOrganizationConfiguration	自動有効化設定を取得	-
書き込み	UpdateOrganizationConfiguration	自動有効化設定を更新	-

料金関連

アクセスレベル	アクション	概要	補足
読み取り	GetFreeTrialEligibility	無料トライアルの資格を取得	動作グラフの無料トライアル期間について
読み取り	GetPricingInformation	料金に関する情報を取得	-
読み取り	GetUsageInformation	使用状況（データの取り込み量）を取得	-

GetFreeTrialEligibilityを Deny した場合のマネジメントコンソール上の見え方です。EKS 監査ログだけ表示されないのですが、無料トライアルとの関係性が分かりませんでした。EKS 監査ログだけ対象となるログが収集されていなかったため、そのことがオプションのソースパッケージの無料トライアルと関係しているのかもしれません。

GetPricingInformationを Deny した場合のマネジメントコンソール上の見え方です。予測コストと料金を確認できません。

GetUsageInformationを Deny した場合のマネジメントコンソール上の見え方です。使用量（取り込み量）と予測コストを確認できません。

タグ関連

アクセスレベル	アクション	概要	補足
リスト	ListTagsForResource	タグのリストを取得	-
タグ付け	TagResource	タグを追加	-
タグ付け	UntagResource	タグを削除	-

さいごに

Amazon GuardDuty と AWS Security Hub に続き、Amazon Detective についても IAM ポリシーを検討しやすいように機能または作業別に独自のカテゴリに整理してみました。

以上、このブログがどなたかのご参考になれば幸いです。