Menggunakan peran terkait layanan untuk AWS Audit Manager - AWS Audit Manager

View a markdown version of this page

Menggunakan peran terkait layanan untuk AWS Audit Manager - AWS Audit Manager
Service-linked izin peran untuk AWS Audit ManagerMenciptakan AWS Audit Manager peran yang terhubung dengan layananMengedit AWS Audit Manager peran yang terhubung dengan layananMenghapus AWS Audit Manager peran yang terhubung dengan layananWilayah yang Didukung untuk AWS Audit Manager peran terkait layanan

AWS Audit Manager Tidak lagi terbuka untuk pelanggan baru. Pelanggan yang sudah ada dapat terus menggunakan layanan ini seperti biasa. Untuk informasi selengkapnya, lihat perubahan AWS Audit Manager ketersediaan.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan peran terkait layanan untuk AWS Audit Manager

AWS Audit Manager menggunakan AWS Identity and Access Management peran terkait layanan (IAM). Peran terkait layanan adalah jenis peran IAM unik yang ditautkan langsung ke Manajer Audit. Service-linked peran telah ditentukan sebelumnya oleh Manajer Audit dan menyertakan semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.

Peran terkait layanan membuat pengaturan AWS Audit Manager lebih mudah karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. Manajer Audit mendefinisikan izin peran terkait layanan, dan kecuali ditentukan lain, hanya Manajer Audit yang dapat mengambil perannya. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin, serta bahwa kebijakan izin tidak dapat dilampirkan ke entitas IAM lainnya.

Untuk informasi tentang layanan lain yang mendukung peran terkait layanan, lihat AWS layanan yang bekerja dengan IAM dan cari layanan yang memiliki Ya di kolom Peran Service-Linked . Pilih Ya dengan sebuah tautan untuk melihat dokumentasi peran terkait layanan untuk layanan tersebut.

Service-linked izin peran untuk AWS Audit Manager

Audit Manager menggunakan peran terkait layanan bernamaAWSServiceRoleForAuditManager, yang memungkinkan akses ke layanan dan sumber daya AWS yang digunakan atau dikelola oleh. AWS Audit Manager

Peran terkait layanan AWSServiceRoleForAuditManager memercayai layanan auditmanager.amazonaws.com untuk menjalankan peran.

Kebijakan izin peran, AWSAuditManagerServiceRolePolicy, memungkinkan Audit Manager mengumpulkan bukti otomatis tentang AWS penggunaan Anda. Lebih khusus lagi, ia dapat mengambil tindakan berikut atas nama Anda.

  • Audit Manager dapat digunakan AWS Security Hub CSPM untuk mengumpulkan bukti pemeriksaan kepatuhan. Dalam hal ini, Manajer Audit menggunakan izin berikut untuk melaporkan hasil pemeriksaan keamanan langsung dari AWS Security Hub CSPM. Kemudian melampirkan hasil ke kontrol penilaian Anda yang relevan sebagai bukti.

    • securityhub:DescribeStandards

    catatan

    Untuk informasi selengkapnya tentang kontrol CSPM Hub Keamanan tertentu yang dapat dijelaskan oleh Audit Manager, lihat AWS Security Hub CSPM kontrol yang didukung oleh. AWS Audit Manager

  • Audit Manager dapat digunakan AWS Config untuk mengumpulkan bukti pemeriksaan kepatuhan. Dalam hal ini, Audit Manager menggunakan izin berikut untuk melaporkan hasil evaluasi AWS Config aturan langsung dari AWS Config. Kemudian melampirkan hasil ke kontrol penilaian Anda yang relevan sebagai bukti.

    • config:DescribeConfigRules

    • config:DescribeDeliveryChannels

    • config:ListDiscoveredResources

    catatan

    Untuk informasi selengkapnya tentang AWS Config aturan tertentu yang dapat dijelaskan oleh Audit Manager, lihat A AWS Config turan yang didukung oleh AWS Audit Manager.

  • Audit Manager dapat digunakan AWS CloudTrail untuk mengumpulkan bukti aktivitas pengguna. Dalam hal ini, Audit Manager menggunakan izin berikut untuk menangkap aktivitas pengguna dari CloudTrail log. Kemudian melampirkan aktivitas ke kontrol penilaian Anda yang relevan sebagai bukti.

    • cloudtrail:DescribeTrails

    • cloudtrail:LookupEvents

    catatan

    Untuk informasi selengkapnya tentang CloudTrail peristiwa tertentu yang dapat dijelaskan oleh Audit Manager, lihat nama AWS CloudTrail acara yang didukung oleh AWS Audit Manager.

  • Audit Manager dapat menggunakan panggilan AWS API untuk mengumpulkan bukti konfigurasi sumber daya. Dalam hal ini, Audit Manager menggunakan izin berikut untuk memanggil API read-only yang menjelaskan konfigurasi sumber daya Anda untuk yang berikut ini. Layanan AWS Kemudian melampirkan tanggapan API ke kontrol penilaian Anda yang relevan sebagai bukti.

    • acm:GetAccountConfiguration

    • acm:ListCertificates

    • apigateway:GET

    • autoscaling:DescribeAutoScalingGroups

    • backup:ListBackupPlans

    • backup:ListRecoveryPointsByResource

    • bedrock:GetCustomModel

    • bedrock:GetFoundationModel

    • bedrock:GetModelCustomizationJob

    • bedrock:GetModelInvocationLoggingConfiguration

    • bedrock:ListCustomModels

    • bedrock:ListFoundationModels

    • bedrock:ListGuardrails

    • bedrock:ListModelCustomizationJobs

    • cloudfront:GetDistribution

    • cloudfront:GetDistributionConfig

    • cloudfront:ListDistributions

    • cloudtrail:DescribeTrails

    • cloudtrail:GetTrail

    • cloudtrail:ListTrails

    • cloudtrail:LookupEvents

    • cloudwatch:DescribeAlarms

    • cloudwatch:DescribeAlarmsForMetric

    • cloudwatch:GetMetricStatistics

    • cloudwatch:ListMetrics

    • cognito-idp:DescribeUserPool

    • config:DescribeConfigRules

    • config:DescribeDeliveryChannels

    • config:ListDiscoveredResources

    • directconnect:DescribeDirectConnectGateways

    • directconnect:DescribeVirtualGateways

    • dynamodb:DescribeBackup

    • dynamodb:DescribeContinuousBackups

    • dynamodb:DescribeTable

    • dynamodb:DescribeTableReplicaAutoScaling

    • dynamodb:ListBackups

    • dynamodb:ListGlobalTables

    • dynamodb:ListTables

    • ec2:DescribeAddresses

    • ec2:DescribeCustomerGateways

    • ec2:DescribeEgressOnlyInternetGateways

    • ec2:DescribeFlowLogs

    • ec2:DescribeInstanceCreditSpecifications

    • ec2:DescribeInstanceAttribute

    • ec2:DescribeInstances

    • ec2:DescribeInternetGateways

    • ec2:DescribeLocalGatewayRouteTableVirtualInterfaceGroupAssociations

    • ec2:DescribeLocalGateways

    • ec2:DescribeLocalGatewayVirtualInterfaces

    • ec2:DescribeNatGateways

    • ec2:DescribeNetworkAcls

    • ec2:DescribeRouteTables

    • ec2:DescribeSecurityGroups

    • ec2:DescribeSecurityGroupRules

    • ec2:DescribeSnapshots

    • ec2:DescribeTransitGateways

    • ec2:DescribeVolumes

    • ec2:DescribeVpcEndpoints

    • ec2:DescribeVpcEndpointConnections

    • ec2:DescribeVpcEndpointServiceConfigurations

    • ec2:DescribeVpcPeeringConnections

    • ec2:DescribeVpcs

    • ec2:DescribeVpnConnections

    • ec2:DescribeVpnGateways

    • ec2:GetEbsDefaultKmsKeyId

    • ec2:GetEbsEncryptionByDefault

    • ec2:GetLaunchTemplateData

    • ecs:DescribeClusters

    • eks:DescribeAddonVersions

    • elasticache:DescribeCacheClusters

    • elasticache:DescribeServiceUpdates

    • elasticfilesystem:DescribeAccessPoints

    • elasticfilesystem:DescribeFileSystems

    • elasticloadbalancing:DescribeLoadBalancers

    • elasticloadbalancing:DescribeSslPolicies

    • elasticloadbalancing:DescribeTargetGroups

    • elasticmapreduce:ListClusters

    • elasticmapreduce:ListSecurityConfigurations

    • es:DescribeDomains

    • es:DescribeDomain

    • es:DescribeDomainConfig

    • es:ListDomainNames

    • events:DeleteRule

    • events:DescribeRule

    • events:DisableRule

    • events:EnableRule

    • events:ListConnections

    • events:ListEventBuses

    • events:ListEventSources

    • events:ListRules

    • events:ListTargetsByRule

    • events:PutRule

    • events:PutTargets

    • events:RemoveTargets

    • firehose:ListDeliveryStreams

    • fsx:DescribeFileSystems

    • guardduty:ListDetectors

    • iam:GenerateCredentialReport

    • iam:GetAccessKeyLastUsed

    • iam:GetAccountAuthorizationDetails

    • iam:GetAccountPasswordPolicy

    • iam:GetAccountSummary

    • iam:GetCredentialReport

    • iam:GetGroupPolicy

    • iam:GetPolicy

    • iam:GetPolicyVersion

    • iam:GetRolePolicy

    • iam:GetUser

    • iam:GetUserPolicy

    • iam:ListAccessKeys

    • iam:ListAttachedGroupPolicies

    • iam:ListAttachedRolePolicies

    • iam:ListAttachedUserPolicies

    • iam:ListEntitiesForPolicy

    • iam:ListGroupPolicies

    • iam:ListGroups

    • iam:ListGroupsForUser

    • iam:ListMfaDeviceTags

    • iam:ListMfaDevices

    • iam:ListOpenIdConnectProviders

    • iam:ListPolicies

    • iam:ListPolicyVersions

    • iam:ListRolePolicies

    • iam:ListRoles

    • iam:ListSamlProviders

    • iam:ListUserPolicies

    • iam:ListUsers

    • iam:ListVirtualMFADevices

    • kafka:ListClusters

    • kafka:ListKafkaVersions

    • kinesis:ListStreams

    • kms:DescribeKey

    • kms:GetKeyPolicy

    • kms:GetKeyRotationStatus

    • kms:ListGrants

    • kms:ListKeyPolicies

    • kms:ListKeys

    • lambda:ListFunctions

    • license-manager:ListAssociationsForLicenseConfiguration

    • license-manager:ListLicenseConfigurations

    • license-manager:ListUsageForLicenseConfiguration

    • logs:DescribeDestinations

    • logs:DescribeExportTasks

    • logs:DescribeLogGroups

    • logs:DescribeMetricFilters

    • logs:DescribeResourcePolicies

    • logs:FilterLogEvents

    • logs:GetDataProtectionPolicy

    • organizations:DescribeOrganization

    • organizations:DescribePolicy

    • rds:DescribeCertificates

    • rds:DescribeDBClusterEndpoints

    • rds:DescribeDBClusterParameterGroups

    • rds:DescribeDBClusters

    • rds:DescribeDBInstances

    • rds:DescribeDBInstanceAutomatedBackups

    • rds:DescribeDBSecurityGroups

    • redshift:DescribeClusters

    • redshift:DescribeClusterSnapshots

    • redshift:DescribeLoggingStatus

    • route53:GetQueryLoggingConfig

    • s3:GetBucketAcl

    • s3:GetBucketLogging

    • s3:GetBucketOwnershipControls

    • s3:GetBucketPolicy

      • Tindakan API ini beroperasi dalam lingkup di Akun AWS mana peran yang ditautkan layanan tersedia. Itu tidak dapat mengakses kebijakan bucket lintas akun.

    • s3:GetBucketPublicAccessBlock

    • s3:GetBucketTagging

    • s3:GetBucketVersioning

    • s3:GetEncryptionConfiguration

    • s3:GetLifecycleConfiguration

    • s3:ListAllMyBuckets

    • sagemaker:DescribeAlgorithm

    • sagemaker:DescribeDomain

    • sagemaker:DescribeEndpoint

    • sagemaker:DescribeEndpointConfig

    • sagemaker:DescribeFlowDefinition

    • sagemaker:DescribeHumanTaskUi

    • sagemaker:DescribeLabelingJob

    • sagemaker:DescribeModel

    • sagemaker:DescribeModelBiasJobDefinition

    • sagemaker:DescribeModelCard

    • sagemaker:DescribeModelQualityJobDefinition

    • sagemaker:DescribeTrainingJob

    • sagemaker:DescribeUserProfile

    • sagemaker:ListAlgorithms

    • sagemaker:ListDomains

    • sagemaker:ListEndpointConfigs

    • sagemaker:ListEndpoints

    • sagemaker:ListFlowDefinitions

    • sagemaker:ListHumanTaskUis

    • sagemaker:ListLabelingJobs

    • sagemaker:ListModels

    • sagemaker:ListModelBiasJobDefinitions

    • sagemaker:ListModelCards

    • sagemaker:ListModelQualityJobDefinitions

    • sagemaker:ListMonitoringAlerts

    • sagemaker:ListMonitoringSchedules

    • sagemaker:ListTrainingJobs

    • sagemaker:ListUserProfiles

    • securityhub:DescribeStandards

    • secretsmanager:DescribeSecret

    • secretsmanager:ListSecrets

    • sns:ListTagsForResource

    • sns:ListTopics

    • sqs:ListQueues

    • waf-regional:GetLoggingConfiguration

    • waf-regional:GetRule

    • waf-regional:GetWebAcl

    • waf-regional:ListRuleGroups

    • waf-regional:ListRules

    • waf-regional:ListSubscribedRuleGroups

    • waf-regional:ListWebACLs

    • waf:GetRule

    • waf:GetRuleGroup

    • waf:ListActivatedRulesInRuleGroup

    • waf:ListRuleGroups

    • waf:ListRules

    • waf:ListWebAcls

    • wafv2:ListWebAcls

    catatan

    Untuk informasi selengkapnya tentang panggilan API tertentu yang dapat dijelaskan oleh Audit Manager, lihatPanggilan API yang didukung untuk sumber data kontrol kustom.

Untuk melihat detail izin lengkap dari peran terkait layananAWSServiceRoleForAuditManager, lihat AWSAuditManagerServiceRolePolicy di Panduan Referensi Kebijakan Ter AWS kelola.

Anda harus mengonfigurasi izin agar entitas IAM (seperti pengguna, grup, atau peran) dapat membuat, mengedit, atau menghapus peran terkait layanan. Untuk informasi selengkapnya, lihat izin Service-linked peran di Panduan Pengguna IAM.

Menciptakan AWS Audit Manager peran yang terhubung dengan layanan

Anda tidak perlu membuat peran terkait layanan secara manual. Saat Anda mengaktifkan AWS Audit Manager, layanan secara otomatis membuat peran terkait layanan untuk Anda. Anda dapat mengaktifkan Audit Manager dari halaman orientasi Konsol Manajemen AWS, atau melalui API atau AWS CLI. Untuk informasi selengkapnya, lihat Mengaktifkan AWS Audit Manager di panduan pengguna ini.

Jika Anda menghapus peran terkait layanan ini, dan ingin membuatnya lagi, Anda dapat mengulangi proses yang sama untuk membuat kembali peran tersebut di akun Anda.

Mengedit AWS Audit Manager peran yang terhubung dengan layanan

AWS Audit Manager tidak mengizinkan Anda mengedit peran AWSServiceRoleForAuditManager terkait layanan. Setelah membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat menyunting penjelasan peran menggunakan IAM. Untuk informasi selengkapnya, lihat Mengedit peran terkait layanan dalam Panduan Pengguna IAM.

Untuk mengizinkan entitas IAM mengedit deskripsi peran terkait AWSServiceRoleForAuditManager layanan

Tambahkan pernyataan berikut ke kebijakan izin untuk entitas IAM yang perlu mengedit deskripsi peran terkait layanan.

{
    "Effect": "Allow",
    "Action": [
        "iam:UpdateRoleDescription"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/auditmanager.amazonaws.com/AWSServiceRoleForAuditManager*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "auditmanager.amazonaws.com"}}
}

Menghapus AWS Audit Manager peran yang terhubung dengan layanan

Jika Anda tidak perlu lagi menggunakan Audit Manager, sebaiknya hapus peran AWSServiceRoleForAuditManager terkait layanan. Dengan begitu, Anda tidak memiliki entitas yang tidak digunakan yang tidak dipantau atau dipelihara secara aktif. Namun, Anda harus membersihkan peran terkait layanan sebelum Anda dapat menghapusnya.

Membersihkan peran terkait layanan

Sebelum Anda dapat menggunakan IAM untuk menghapus peran terkait layanan Manajer Audit, Anda harus terlebih dahulu mengonfirmasi bahwa peran tersebut tidak memiliki sesi aktif dan menghapus sumber daya apa pun yang digunakan oleh peran tersebut. Untuk melakukannya, pastikan bahwa Audit Manager dideregistrasi di semua. Wilayah AWS Setelah Anda membatalkan pendaftaran, Audit Manager tidak lagi menggunakan peran terkait layanan.

Untuk petunjuk tentang cara membatalkan pendaftaran Manajer Audit, lihat sumber daya berikut:

Untuk petunjuk tentang cara menghapus sumber daya Audit Manager secara manual, lihat Pengh apusan data Manajer Audit dalam panduan ini.

Menghapus peran tertaut layanan

Anda dapat menghapus peran terkait layanan menggunakan konsol IAM, AWS Command Line Interface (AWS CLI), atau IAM API.

IAM console

Ikuti langkah-langkah berikut untuk menghapus peran terkait layanan di konsol IAM.

Untuk menghapus peran terkait layanan (konsol)

  1. Masuk ke Konsol Manajemen AWS dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi konsol IAM, pilih Peran. Kemudian pilih kotak centang di sebelahAWSServiceRoleForAuditManager, bukan nama atau baris itu sendiri.

  3. Di bawah Tind akan peran di bagian atas halaman, pilih H apus.

  4. Di kotak dialog konfirmasi, tinjau informasi terakhir yang diakses, yang menunjukkan kapan masing-masing peran yang dipilih terakhir mengakses Layanan AWS. Hal ini membantu Anda mengonfirmasi aktif tidaknya peran tersebut saat ini. Jika Anda ingin melanjutkan, masukkan AWSServiceRoleForAuditManager di bidang input teks dan pilih H apus untuk mengirimkan peran terkait layanan untuk dihapus.

  5. Perhatikan notifikasi konsol IAM untuk memantau progres penghapusan peran terkait layanan. Karena penghapusan peran terkait layanan IAM bersifat asinkron, setelah Anda mengirimkan peran tersebut untuk penghapusan, tugas penghapusan dapat berhasil atau gagal. Jika tugas berhasil, maka peran dihapus dari daftar dan pesan sukses muncul di bagian atas halaman.

AWS CLI

Anda dapat menggunakan perintah IAM dari AWS CLI untuk menghapus peran terkait layanan.

Untuk menghapus peran terkait layanan (AWS CLI)

  1. Masukkan perintah berikut untuk mencantumkan peran di akun Anda: 

    aws iam get-role --role-name AWSServiceRoleForAuditManager

  2. Karena peran yang terhubung dengan layanan tidak dapat dihapus jika sedang digunakan atau memiliki sumber daya terkait, Anda harus mengirimkan permintaan penghapusan. Permintaan tersebut dapat ditolak jika syarat-syarat ini tidak terpenuhi. Anda harus menangkap deletion-task-id dari tanggapan untuk memeriksa status tugas penghapusan.

    Ketik perintah berikut untuk mengirimkan permintaan penghapusan peran yang terhubung dengan layanan:

    aws iam delete-service-linked-role --role-name AWSServiceRoleForAuditManager

  3. Gunakan perintah berikut untuk memeriksa status tugas penghapusan:

    aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id

    Status tugas penghapusan dapat berupa NOT_STARTED, IN_PROGRESS, SUCCEEDED, atau FAILED. Jika penghapusan gagal, panggilan akan mengembalikan alasan kegagalan panggilan agar Anda dapat memecahkan masalah.

IAM API

Anda dapat menggunakan API IAM untuk menghapus peran terkait layanan.

Untuk menghapus peran terkait layanan (API)

  1. Panggil GetRole untuk mencantumkan peran di akun Anda. Dalam permintaan, tent AWSServiceRoleForAuditManager ukan sebagaiRoleName.

  2. Karena peran yang terhubung dengan layanan tidak dapat dihapus jika sedang digunakan atau memiliki sumber daya terkait, Anda harus mengirimkan permintaan penghapusan. Permintaan tersebut dapat ditolak jika syarat-syarat ini tidak terpenuhi. Anda harus menangkap DeletionTaskId dari tanggapan untuk memeriksa status tugas penghapusan.

    Untuk mengirimkan permintaan penghapusan untuk peran terkait layanan, hubungi. DeleteServiceLinkedRole Dalam permintaan, tent AWSServiceRoleForAuditManager ukan sebagaiRoleName.

  3. Untuk memeriksa status penghapusan, panggil GetServiceLinkedRoleDeletionStatus. Di permintaan tersebut, tentukan DeletionTaskId.

    Status tugas penghapusan dapat berupa NOT_STARTED, IN_PROGRESS, SUCCEEDED, atau FAILED. Jika penghapusan gagal, panggilan akan mengembalikan alasan kegagalan panggilan agar Anda dapat memecahkan masalah.

Kiat untuk menghapus peran terkait layanan Audit Manager

Proses penghapusan untuk peran terkait layanan Manajer Audit mungkin gagal jika Manajer Audit menggunakan peran atau memiliki sumber daya terkait. Ini dapat terjadi dalam skenario berikut:

  1. Akun Anda masih terdaftar dengan Audit Manager di satu atau lebih Wilayah AWS.

  2. Akun Anda adalah bagian dari AWS organisasi, dan akun manajemen atau akun administrator yang didelegasikan masih terintegrasi ke Manajer Audit.

Untuk mengatasi masalah penghapusan yang gagal, mulailah dengan memeriksa apakah Anda Akun AWS adalah bagian dari Organisasi. Anda dapat melakukan ini dengan memanggil operasi DescribeOrganization API, atau dengan menavigasi ke AWS Organizations konsol.

Jika Akun AWS adalah bagian dari sebuah organisasi

  1. Gunakan akun manajemen Anda untuk menghapus administrator yang didelegasikan di Manajer Audit di semua Wilayah AWS tempat Anda menambahkannya.

  2. Gunakan akun manajemen Anda untuk mem batalkan pendaftaran Manajer Audit di semua Wilayah AWS tempat Anda menggunakan layanan.

  3. Coba lagi untuk menghapus peran terkait layanan dengan mengikuti langkah-langkah dalam prosedur sebelumnya.

Jika Akun AWS Bukan bagian dari sebuah organisasi

  1. Pastikan Anda membatalkan pendaftaran Audit Manager di semua Wilayah AWS tempat Anda menggunakan layanan.

  2. Coba lagi untuk menghapus peran terkait layanan dengan mengikuti langkah-langkah dalam prosedur sebelumnya.

Setelah Anda membatalkan pendaftaran dari Audit Manager, layanan akan berhenti menggunakan peran terkait layanan. Anda kemudian dapat menghapus peran dengan sukses.

Wilayah yang Didukung untuk AWS Audit Manager peran terkait layanan

AWS Audit Manager mendukung penggunaan peran terkait layanan di semua Wilayah AWS tempat layanan tersedia. Untuk informasi selengkapnya, lihat AWS titik akhir layanan.