需要哪些AWS权限才能查看ECR增强图像扫描结果

Question

最近，我在AWS的一个ECR仓库中启用了增强型图片扫描功能。

用户可以看到该仓库中的图像，每个图像旁边都有一个“查看发现”链接。当我点击链接时，另一个页面会打开，显示该图像的所有发现。

我试图授予另一个IAM用户权限来查看这些发现。该用户已经可以看到仓库和图像。该用户甚至可以看到每个图像的“查看发现”链接。点击该链接会按预期打开新页面，但页面是空的。它显示“没有扫描发现”

我已授予该用户以下所有ECR列表和读取权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "ecr:GetRegistryPolicy",
                "ecr:DescribeImageScanFindings",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:GetDownloadUrlForLayer",
                "ecr:DescribeRegistry",
                "ecr:DescribePullThroughCacheRules",
                "ecr:DescribeImageReplicationStatus",
                "ecr:GetAuthorizationToken",
                "ecr:ListTagsForResource",
                "ecr:ListImages",
                "ecr:BatchGetRepositoryScanningConfiguration",
                "ecr:GetRegistryScanningConfiguration",
                "ecr:BatchGetImage",
                "ecr:DescribeImages",
                "ecr:DescribeRepositories",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetRepositoryPolicy",
                "ecr:GetLifecyclePolicy"
            ],
            "Resource": "*"
        }
    ]
}

请注意，这些权限已经包括“ecr:DescribeImageScanFindings”，但用户仍然无法查看结果。

应该给予该用户哪些IAM权限以使这些结果可见？

- e-mre

Answer 1

通过尝试和错误解决了它。原来需要一些来自检查器和检查器2服务的权限。将以下内容作为内联策略添加，可以使发现结果可见：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "inspector2:ListCoverageStatistics",
                "inspector2:ListFindings",
                "inspector2:ListFindingAggregations",
                "inspector2:ListCoverage",
                "inspector2:GetFindingsReportStatus",
                "inspector:ListFindings",
                "inspector:DescribeFindings"
            ],
            "Resource": "*"
        }
    ]
}

请注意，我的IAM用户已经具有对ECR的读取和列表权限。

- e-mre

Answer 2

如果您在确定脚本或应用程序使用的IAM操作时遇到困难，您可以始终使用“iamdump”作为起点：https://github.com/claranet/iamdump。请注意保留HTML标签。

- Tim Birkett