檢視部署資源所需的必要的權限，以及將 AWS 帳戶連接到 TrendAI Vision One™ 時授予的權限。
 |
注意如果您在堆疊部署期間指定了
IamPermissionsBoundaryArn，則與 ARN 關聯的 IAM 政策必須包含您啟用的功能所需的最低必要的權限。權限邊界適用於為 AWS CloudTrail（包括 Control Tower）、Amazon
Security Lake 的雲端偵測以及 File Security Storage 創建的 IAM 角色。請參考下方列出的每個功能所需的權限，以確保您的邊界政策包含必要的操作。 |
檢視每個功能所需的權限：
- Core 功能所需的 AWS 權限
- AWS 無代理弱點與安全威脅偵測所需的權限
- AI 應用程式安全性所需的 AWS 權限
- Amazon Security Lake 雲端偵測所需的 AWS 權限
- AWS CloudTrail 雲端偵測所需的 AWS 權限
- 透過Amazon S3進行日誌收集所需的AWS權限
- 雲端偵測 VPC Flow Logs 所需的 AWS 權限
- AWS 雲端回應所需的 AWS 權限
- Real-Time Posture Monitoring 所需的 AWS 權限
- Container Protection for Amazon ECS 所需的 AWS 權限
- Data Security Posture 所需的 AWS 權限
- AWS 所需的 File Security 儲存權限
- AWS 所需的 Server & Workload Protection 權限
AWS 核心功能所需的權限
核心功能
|
說明
|
所需權限
|
|
這些權限是連接 AWS 雲端帳戶到 TrendAI Vision One™ 所需的。
|
CloudFormation 操作：
CloudFormation StackSet 操作：
IAM角色和策略管理操作：
IAM OIDC 提供者操作：
IAM 模擬操作：
EC2 操作：
Lambda Function 管理操作：
CloudWatch Logs 管理操作：
S3 操作：
|
AWS 無代理弱點與安全威脅偵測所需的權限
無代理弱點與安全威脅偵測
|
說明
|
所需權限
|
|
無代理弱點與安全威脅偵測是一個在您已連接的雲端帳戶中啟用的無伺服器功能。此功能會掃描支援的雲端資源以檢測弱點和惡意程式，而不會影響其他資源或正在運行的應用程式。
|
SQS Queue 管理操作：
|
|
S3 Bucket 管理操作：
|
|
|
Lambda Function 管理操作：
|
|
|
Step Functions 動作：
|
|
|
AppConfig 管理操作：
|
|
|
EventBridge 排程器操作：
|
|
|
EC2 操作：
|
|
|
ECR 儲存庫操作：
|
|
|
CodeBuild 操作：
|
|
|
SSM 參數操作：
|
|
|
IAM 實例配置文件操作：
|
|
|
Secrets Manager 操作：
|
|
|
EventBridge 規則管理操作：
|
|
|
IAM 角色和策略管理操作：
|
|
|
CloudWatch Logs 管理操作：
|
|
|
CloudFormation StackSet 操作：
|
AI 應用程式安全所需的 AWS 權限
AI Application Security
|
說明
|
所需權限
|
|
這些權限是啟用 AI 掃描器和 AI 防護功能的部署和運行所必需的。
|
Lambda Function 管理操作：
SQS Queue 管理操作：
S3 Bucket 管理操作：
AppConfig 管理操作：
Secrets Manager 操作：
IAM 實例配置文件操作：
SSM 參數操作：
IAM 角色和策略管理操作：
CloudWatch Logs 管理操作：
CloudFormation StackSet 操作：
|
AWS 在雲端偵測 Amazon Security Lake 所需的權限
Amazon Security Lake 的雲端偵測
|
說明
|
所需權限
|
|
這些權限使 Security Lake 能夠轉發和分析日誌，提供有關使用者操作和 AWS 帳戶中資源活動的見解。
|
Lambda Function 管理操作：
CloudFormation StackSet 操作：
SQS Queue 管理操作：
IAM 角色管理操作：
|
AWS CloudTrail 雲端偵測所需的 AWS 權限
AWS CloudTrail 的雲端偵測
|
說明
|
所需權限
|
|
將 CloudTrail 檔案收集到 S3 儲存桶中，並轉發以獲取此 AWS 帳戶中使用者操作和資源活動的深入見解。
|
SQS Queue 管理操作：
Lambda Function 管理操作：
EventBridge 規則管理操作：
Secrets Manager 操作：
SSM 參數操作：
IAM 角色管理操作：
CloudWatch Logs 管理操作：
|
AWS 雲端偵測 VPC Flow Logs 所需的權限
雲端偵測 VPC Flow Logs
|
說明
|
所需權限
|
|
AWS VPC Flow Logs 整合允許TrendAI Vision One™存取並監控您的 AWS VPC Flow Logs，以偵測潛在的威脅。
|
S3 Bucket 管理操作：
|
|
Lambda Function 管理操作：
|
|
|
SQS Queue 管理操作：
|
|
|
EventBridge 排程器動作：
|
|
|
EventBridge 規則管理操作：
|
|
|
SSM 參數操作：
|
|
|
IAM 實例配置文件操作：
|
|
|
Secrets Manager 操作：
|
|
|
IAM 角色和策略管理操作：
|
|
|
CloudWatch Logs 管理操作：
|
|
|
CloudFormation StackSet 操作：
|
AWS 雲端回應所需的 AWS 權限
AWS 的雲端回應
|
說明
|
所需權限
|
||
|
雲端回應需要 AWS 這些權限來採取回應行動，以便在您的雲端帳戶中遏制事件，例如撤銷可疑 IAM 使用者的存取權限。
|
|
AWS Container Protection for Amazon ECS 所需的權限
Amazon ECS 的 Container Protection
|
說明
|
所需權限
|
|
Container Security 需要這些權限來部署和配置 Amazon ECS 的 Container Protection，包括其所依賴的 ECS 叢集、服務和容器儲存庫。
如需了解 Container Security 整合部署後獲得的執行時和回應權限，請參閱 容器回應操作（隔離/恢復，終止）。
|
S3 Bucket 管理操作：
|
|
ECS 叢集和服務操作：
|
|
|
SQS Queue 管理操作：
|
|
|
ECR 儲存庫操作：
|
|
|
IAM 角色和策略管理操作：
|
|
|
CloudWatch Logs 管理操作：
|
|
|
CloudFormation StackSet 操作：
|
|
|
SSM 參數操作：
|
|
|
CodeBuild 操作：
|
|
|
Lambda Function 管理操作：
|
|
|
Secrets Manager 操作：
|
AWS 所需的 Data Security Posture 權限
Data Security Posture
|
說明
|
所需權限
|
|
這些權限是資料防護所需，以監控您在 AWS 雲端資產中的敏感資料。
|
CloudFormation StackSet 操作：
Lambda Function 管理操作：
S3 Bucket 管理操作：
SSM 參數操作：
Step Functions 操作：
EventBridge 規則管理操作：
IAM 角色管理操作：
|
AWS 所需的 File Security 儲存權限
File Security 儲存空間
|
說明
|
所需權限
|
||
|
這些權限是 File Security Storage 在雲端儲存服務中執行惡意程式防護掃描所需的。
當使用者或程式將檔案上傳至指定的雲端儲存容器時，File Security Storage 會執行掃瞄。
|
S3 Bucket 管理操作：
EC2 操作（僅當掃描器部署在 VPC 內時）：
|
AWS 透過 Amazon S3 收集日誌所需的權限
通過 Amazon S3 收集日誌
|
說明
|
所需權限
|
|
啟用從您的 Amazon S3 儲存桶收集日誌，以將第三方安全日誌導入TrendAI Vision One™。
|
Lambda Function 管理操作：
SQS Queue 管理操作：
S3 Bucket 操作：
|
AWS 所需權限以進行即時姿勢監控
即時姿勢監控
|
說明
|
所需權限
|
|
即時監控您的AWS帳戶的安全相關配置和IAM變更，因此新的配置錯誤和合規風險會在發生時立即顯示，幫助您在有風險的變更發生時及時捕捉和應對。
|
CloudFormation StackSet 操作：
EventBridge 規則管理操作：
IAM 角色和策略管理操作：
|
AWS 所需的 Server & Workload Protection 權限
Server & Workload Protection
|
說明
|
所需權限
|
|
這些權限是查看 Server & Workload Protection 中的 Amazon AWS EC2 和 Workspace 實例所需的。
如需詳細資訊，請參閱伺服器與工作負載保護
|
|