AWS Security Hub に関する IAM ポリシーのアクションを用途別にまとめてみた

AWS Security Hub に関する IAM ポリシーを検討する機会があり、機能または作業別に独自のカテゴリでアクションを整理したため、その時の内容を備忘録も兼ねてブログ化しました。

AWS Security Hub のアクション一覧

操作したい機能、または、作業ごとに独自のカテゴリに分けて掲載します。

アクション一覧は次のユーザーガイドのページに掲載されており、API へのリンクも掲載されていることから、併用して確認することをおすすめします。

AWS Security Hub のアクション、リソース、および条件キー - サービス認可リファレンス

以降のアクション一覧表において、アクション名がリンクになっていないアクションは対応する API が存在しないアクセス許可です。マネジメントコンソール上の操作に関連する権限となります。

Security Hub 全体（Hub）関連

セキュリティ基準関連

GetControlFindingSummaryを Deny した場合のマネジメントコンソール上の見え方です。概要画面などでセキュリティスコアや成功・失敗数などが表示されなくなります。

コントロール関連

ListControlEvaluationSummariesを Deny した場合のマネジメントコンソール上の見え方です。セキュリティ基準内のコントロールが「データなし」となり、確認できなくなります。Allow の場合は成功数やコンプライアンスのステータスが表示されます。

統合コントロール関連

統合コントロール関連の API は 2023 年 2 月の統合コントロールのリリースに関連して追加されました。

BatchGetControlEvaluationsを Deny した場合のマネジメントコンソール上の見え方です。統合コントロール画面でコントロールが「データなし」となり、確認できなくなります。Allow の場合は成功数やコンプライアンスのステータスが表示されます。

統合コントロールのアップデートを紹介したブログもアクションの理解の手助けになります。

オートメーション（Automation Rules）関連

オートメーション関連の API は 2023 年 6 月の Automation Rules のリリースに関連して追加されました。

Automation Rules のアップデートを紹介したブログもアクションの理解の手助けになります。

カスタムアクション関連

クロスリージョン集約関連

検出結果（Findings）関連

以降は Findings 関連のアクションが続きます。

サービス統合関連

インサイト関連

GetInsightFindingTrendを Deny した場合のマネジメントコンソール上の見え方です。インサイト画面でインサイトの結果をグラフ化して表示する内容を確認できなくなります。

GetAdhocInsightResultsを Deny した場合のマネジメントコンソール上の見え方です。各インサイトの詳細画面で結果を確認できなくなります。

メンバーアカウント関連

このカテゴリだけ、管理者アカウント側の操作とメンバーアカウント側の操作を示す列（実行主体）を追加しています。廃止になっているアクションがあることに注意が必要です。

委任関連

AWS Organizations 連携の自動有効設定関連

料金関連

執筆時点では、Amazon GuardDuty には料金関連の API がありますが、AWS Security Hub には API はありません。

タグ関連

さいごに

Amazon GuardDuty に続き、AWS Security Hub についても IAM ポリシーを検討しやすいように機能または作業別に独自のカテゴリに整理してみました。

以上、このブログがどなたかのご参考になれば幸いです。