Amazon GuardDuty に関する IAM ポリシーのアクションを用途別にまとめてみた

Amazon GuardDuty の IAM ポリシーを検討しやすいように、機能または作業別に独自のカテゴリに整理する機会がありました。そのときの内容を自身の備忘録も兼ねてブログ化しました。

Amazon GuardDuty のアクション一覧

操作したい機能、または、作業ごとに独自のカテゴリに分けて掲載します。

アクション一覧は次のユーザーガイドのページに掲載されており、API へのリンクも掲載されていることから、併用して確認することをおすすめします。

• Amazon GuardDuty のアクション、リソース、および条件キー - サービス認可リファレンス

GuardDuty 全体（Detector）関連

アクセスレベル	アクション	概要	補足
リスト	ListDetectors	ディテクターの一覧を取得	-
読み取り	GetDetector	ディテクターの設定を取得	-
書き込み	CreateDetector	ディテクターを作成	-
書き込み	UpdateDetector	ディテクターを更新	-
書き込み	DeleteDetector	ディテクターを削除	-

検出結果（Findings）関連

アクセスレベル	アクション	概要	補足
リスト	ListFindings	検出結果の一覧を取得	-
読み取り	GetFindings	検出結果を取得	-
読み取り	GetFindingsStatistics	検出結果の統計結果を取得	-
書き込み	ArchiveFindings	検出結果をアーカイブ	-
書き込み	UnarchiveFindings	検出結果のアーカイブを解除	-
書き込み	CreateSampleFindings	検出結果のサンプルを生成	-

検出結果のフィードバック関連

アクセスレベル	アクション	概要	補足
書き込み	UpdateFindingsFeedback	検出結果のフィードバックを許可	-

フィルター・抑制関連

アクセスレベル	アクション	概要	補足
リスト	ListFilters	フィルターの一覧を取得	-
読み取り	GetFilter	フィルターの設定を取得	-
書き込み	CreateFilter	フィルターを作成	-
書き込み	UpdateFilter	フィルターを更新	-
書き込み	DeleteFilter	フィルターを削除	-

マルウェア保護関連

アクセスレベル	アクション	概要	補足
読み取り	DescribeMalwareScans	マルウェアスキャンの結果を取得	-
読み取り	GetMalwareScanSettings	マルウェアスキャンの設定を取得	-
書き込み	StartMalwareScan	マルウェアスキャンを開始	-
書き込み	UpdateMalwareScanSettings	マルウェアスキャンの設定を更新	-

EKS ランタイムモニタリング関連

アクセスレベル	アクション	概要	補足
リスト	ListCoverage	カバレッジの一覧を取得	-
読み取り	GetCoverageStatistics	カバレッジの統計を取得	-
書き込み	SendSecurityTelemetry	セキュリティテレメトリの送信	おそらくランタイムイベントを送信するための権限と思われます

信頼されている IP リスト関連

アクセスレベル	アクション	概要	補足
リスト	ListIPSets	信頼されている IP リストの一覧を取得	-
読み取り	GetIPSet	信頼されている IP リストの設定を取得	-
書き込み	CreateIPSet	信頼されている IP リストを作成	-
書き込み	UpdateIPSet	信頼されている IP リストを更新	-
書き込み	DeleteIPSet	信頼されている IP リストを削除	-

脅威 IP リスト関連

アクセスレベル	アクション	概要	補足
リスト	ListThreatIntelSets	脅威 IP リストの一覧を取得	-
読み取り	GetThreatIntelSet	脅威 IP リストの設定を取得	-
書き込み	CreateThreatIntelSet	脅威 IP リストを作成	-
書き込み	UpdateThreatIntelSet	脅威 IP リストを更新	-
書き込み	DeleteThreatIntelSet	脅威 IP リストを削除	-

S3 へのエクスポート関連

アクセスレベル	アクション	概要	補足
リスト	ListPublishingDestinations	エクスポート先の一覧を取得	-
読み取り	DescribePublishingDestination	エクスポート先を取得	-
書き込み	CreatePublishingDestination	エクスポート先を作成（設定）	-
書き込み	UpdatePublishingDestination	エクスポート先を更新	-
書き込み	DeletePublishingDestination	エクスポート先を削除	-

メンバーアカウント関連

このカテゴリだけ、管理者アカウント側の操作とメンバーアカウント側の操作を示す列（実行主体）を追加しています。また、一部のアクションは非推奨とされており、代わりのアクションがあります。

アクセスレベル	アクション	実行主体	概要	補足
リスト	ListMembers	管理者	関連付け済みのメンバーアカウントの一覧を取得	-
リスト	ListInvitations	メンバー	招待されている一覧を取得	-
読み取り	GetMembers	管理者	メンバーアカウントの情報を取得	-
読み取り	GetMemberDetectors	管理者	メンバーアカウントの Detector の設定（各保護の有効化状態）を取得	-
読み取り	GetInvitationsCount	メンバー	招待されている数を確認	-
読み取り	GetAdministratorAccount	メンバー	関連付け済みの管理者アカウントの情報を取得	-
読み取り	GetMasterAccount	メンバー	関連付け済みの管理者アカウントの情報を取得	非推奨
書き込み	CreateMembers	管理者	メンバーアカウントを作成	-
書き込み	InviteMembers	管理者	メンバーアカウントを招待	-
書き込み	DisassociateMembers	管理者	メンバーアカウントの関連付けを解除	-
書き込み	DeleteMembers	管理者	メンバーアカウントを削除	-
書き込み	StartMonitoringMembers	管理者	メンバーアカウントの保護を有効化	-
書き込み	UpdateMemberDetectors	管理者	メンバーアカウントの設定を更新	-
書き込み	StopMonitoringMembers	管理者	メンバーアカウントの保護を無効化	-
書き込み	AcceptAdministratorInvitation	メンバー	招待を承認	-
書き込み	AcceptInvitation	メンバー	招待を承認	非推奨
書き込み	DeclineInvitations	メンバー	招待を拒否	-
書き込み	DeleteInvitations	メンバー	招待を削除	-
書き込み	DisassociateFromAdministratorAccount	メンバー	管理者カウントとの関連付けを解除	-
書き込み	DisassociateFromMasterAccount	メンバー	管理者カウントとの関連付けを解除	非推奨

委任関連

アクセスレベル	アクション	概要	補足
リスト	ListOrganizationAdminAccounts	委任の一覧を取得	-
書き込み	EnableOrganizationAdminAccount	委任を有効	-
書き込み	DisableOrganizationAdminAccount	委任を無効	-

AWS Organizations 連携の自動有効設定関連

アクセスレベル	アクション	概要	補足
読み取り	DescribeOrganizationConfiguration	自動有効化設定を取得	-
書き込み	UpdateOrganizationConfiguration	自動有効化設定を更新	-

料金関連

アクセスレベル	アクション	概要	補足
読み取り	GetRemainingFreeTrialDays	無料試用期間の残り日数を取得	-
読み取り	GetUsageStatistics	GuardDuty の使用状況の統計を取得	-

タグ関連

アクセスレベル	アクション	概要	補足
読み取り	ListTagsForResource	タグの一覧を取得	-
タグ付け	TagResource	タグ追加	-
タグ付け	UntagResource	タグ削除	-

さいごに

Amazon GuardDuty の IAM ポリシーを検討しやすいように、機能または作業別に独自のカテゴリに整理してみました。

以上、このブログがどなたかのご参考になれば幸いです。