Bonjour, tout le monde, et bienvenue à nouveau.
Dans la vidéo d'aujourd'hui, nous allons parler de l'analyseur d'accès IAM.
D'un point de vue général, ce service spécifique offre trois capacités principales.
La première est qu'elle permet aux organisations d'identifier les ressources de votre organisation et les comptes qui
sont partagés avec l'entité externe.
C'est une fonction très utile.
Nous allons en parler dans un instant.
La deuxième capacité principale ici est qu'elle valide les politiques IAM par rapport à la politique, à la grammaire et
aux meilleures pratiques.
Et la troisième capacité principale ici est qu'elle génère les politiques IAM sur la base de l'activité d'accès dans
vos journaux de nuage.
Ces trois capacités sont donc très intéressantes.
Alors allons-y et examinons chacun d'entre eux.
Commençons par explorer les possibilités.
Un des analyseurs d'accès IAM, qui consiste à identifier la ressource partagée.
Ainsi, d'un point de vue général, l'analyseur d'accès IAM vous aide à identifier les ressources de vos organisations.
Ces ressources peuvent donc être trois buckets : règles IAM, EBS, snapshots, etc. qui sont partagées avec une entité externe.
Comprenons cela avec une petite animation où vous avez un seau S3 critique.
Ici, il y a beaucoup de contenus importants dans ce seau S3 et ce seau S3 est partagé avec
un client externe.
Vous avez donc un accès externe et il est également partagé avec un compte externe.
Il y a donc deux accès externes à ce seau critique S3.
Il s'agit donc d'une ressource partagée avec une entité externe.
Maintenant, comme ça, il peut y avoir des centaines de ressources différentes dans votre organisation.
La plupart du temps, vous ajoutez l'accès externe, puis vous oubliez de le supprimer une fois le travail
terminé.
C'est donc là que l'analyseur d'accès vous aide.
Pour ce diagramme, nous avons pris l'exemple d'un seau S3, mais beaucoup d'autres ressources sont
prises en charge.
Si nous examinons l'ensemble des types de ressources prises en charge, nous avons les sceaux S3,
les rôles IM, le CMS, les SDK, les secrets du gestionnaire de secrets, les instantanés de l'elastic block store, etc.
Avant de procéder à une démonstration, examinons certains des points importants à noter.
La première est que pour chaque instance d'une ressource qui est partagée en dehors d'un compte américain,
l'analyseur d'accès IAM génère un constat et après que le constat soit généré, vous pouvez aller de l'avant
et examiner le constat, qu'il soit prévu ou non, et vous pouvez le corriger.
Ainsi, si vous regardez la conclusion générale, elle ressemble à celle que vous voyez dans la capture
d'écran.
Vous voyez que vous avez le cliché EBS, la règle IAM et le seau S3.
Tous ces éléments sont partagés avec le principe externe.
Par exemple, votre seau S3 est partagé avec une IP externe avec 1010633213.
Avant de continuer, explorons donc cette capacité spécifique.
Maintenant, à partir de la console IAM, vous avez l'analyseur d'accès que vous pouvez activer.
Je l'ai donc activé dans la région de Singapour.
Allons donc dans la région de Singapour.
Et au cours d'une année, vous verrez qu'il y a certains résultats que vous verrez.
Développons donc rapidement ce point.
Vous avez donc un résultat lié à l'instantané EBS, un résultat lié à un rôle IAM de compte croisé
et un résultat lié à un seau S3.
Ainsi, tous ces résultats que vous voyez, ces ressources sont partagées en dehors de votre compte.
Par exemple, ce seau S3 de collecte de comptes croisés Demo S3 bucket est partagé avec une adresse IP spécifique
ici et comment est-il partagé ?
Il est partagé par le biais d'une politique de seaux.
En plus de cela, il vous montre également quel était le niveau d'accès qui est associé.
Vous avez donc lu, écrit, lu et listé.
Ouvrons donc l'une des conclusions.
Donc, une fois que vous voyez ce résultat spécifique, vous pouvez aller de l'avant et l'archiver.
Par exemple, disons qu'il s'agit d'un véritable constat. Vous pouvez donc aller de l'avant et archiver ce constat
pour qu'il ne fasse pas vraiment partie du constat actif.
Si ce n'est pas le cas, vous pouvez alors vous rendre dans la console S3 pour corriger votre politique en matière de seaux.
Par exemple, il m'a conduit directement au seau S3.
Maintenant, si vous regardez dans les permissions, allons un peu plus bas.
C'est la politique du seau et vous pouvez aller de l'avant et supprimer cette condition spécifique afin que l'accès externe
puisse être supprimé.
Très bien.
J'espère donc qu'avec cette vue d'ensemble de haut niveau, vous avez compris la capacité, numéro un,
qui est d'identifier les ressources qui sont partagées avec l'entité externe.
Il s'agit d'une capacité très importante, principalement parce que lorsque vous avez des centaines
de comptes, vous oublierez avec qui vous avez partagé vos ressources, en particulier lorsqu'il y a tant de services disponibles.
C'est donc là que l'analyseur d'accès est vraiment utile.
La deuxième capacité principale est liée à la validation d'une politique IAM, elle vous permet donc de valider votre politique par rapport
à la grammaire de la politique et aux meilleures pratiques.
Ainsi, vous pouvez voir la politique de validation, vérifier le résultat, il vous montre les erreurs d'avertissements de sécurité.
Suggestions d'avertissements généraux pour votre police.
Par exemple, si vous regardez cette capture d'écran, vous avez une politique écrite qui est l'action autorisée
est l'étoile des ressources et il vous montre un avertissement de sécurité ici.
Par exemple, allons-y et modifions rapidement cette politique spécifique du seau.
Vous voyez donc que vous avez la sécurité, vous avez les erreurs, les avertissements, ainsi que les suggestions.
Par exemple, disons que dans l'action, je vois une étoile dans la source.
Aussi.
Je vois une étoile.
Très bien.
Vous voyez donc immédiatement que certains avertissements ont été générés.
Vous avez donc des erreurs de sécurité, des avertissements ainsi que la suggestion.
Ainsi, en fonction de la manière dont vous rédigez votre police globale, elle vous affiche.
Et cela aide vraiment dans de nombreux scénarios.
Sinon, si votre police échoue, vous devrez faire des recherches pour savoir pourquoi
exactement.
Cependant, ici, il est clairement indiqué que la condition opérateur adresse IP.
Ainsi, celui-ci est utilisé avec une valeur de plage d'adresses IP invalide et il indique que la plage d'adresses IP doit être spécifiée dans
le format CIDR standard.
C'est donc très utile.
Donc si vous dites 00000.
Très bien, vous voyez que l'avertissement a disparu et il y a une suggestion spécifique maintenant
et ici, si vous cliquez sur Learn More, cela vous amène à la validation de la politique de l'analyseur d'accès IAM.
Très bien.
J'espère donc qu'avec ceci vous avez compris les bases de la validation globale.
Et la troisième capacité intéressante ici est la génération de la politique IAM.
Ainsi, d'un point de vue général, l'analyseur d'accès peut analyser les journaux de votre cloud pour identifier les actions
et les services qui ont été utilisés par une entité IAM spécifique.
Cette entité IAM peut donc être un utilisateur ou un rôle et, en fonction des actions et des services qui ont été utilisés
par cet utilisateur ou ce rôle, l'analyseur d'accès peut générer une politique IM basée sur ces activités spécifiques.
Par exemple, vous voyez dans cette capture d'écran que vous pouvez spécifier la période de temps et vous pouvez également spécifier
les journaux du nuage qui doivent être analysés.
Il va donc aller de l'avant et valider contre les journaux de nuage d'une région spécifique, puis la politique
sera automatiquement créée.
Nous allons donc aussi explorer rapidement cette question.
Alors retournons rapidement à la console IAM.
S'adressera aux utilisateurs.
Ici, j'ai un utilisateur de démonstration et pour cet utilisateur de démonstration, j'ai une option de génération de politique basée sur les événements du cloud trail.
C'est donc de ça que nous parlions.
Ainsi, sur la base de l'événement Cloud Trail associé à un utilisateur de démonstration, une politique a été générée.
Si vous regardez la politique générée, vous pouvez voir ici les actions qui sont incluses.
Ainsi, nous avons Lambda comme trois sécurité Hub, LP, etc.
Faisons rapidement notre prochain et vous voyez que la politique est générée pour vous afin que vous puissiez la modifier d'un coup d'œil et
ensuite déployer la politique globale.
Revenons maintenant un peu en arrière, notez qu'il s'agit d'une vidéo de démonstration.
Nous ne faisons pas une pratique à partir de zéro.
L'objectif ici est de comprendre les capacités de l'analyseur d'accès à la vue d'ensemble.
Maintenant, généralement lorsque vous générez une politique, disons que je veux générer une nouvelle politique, vous pouvez
spécifier la date ou vous pouvez spécifier que sur la base de l'activité d'un utilisateur au cours des 20 derniers jours dans un exercice de nuage, disons, la
piste de nuage de Singapour, vous pouvez sélectionner l'exercice approprié, générer une grille de politique.
Il s'agit donc d'un aperçu de très haut niveau des trois principales fonctionnalités de l'analyseur d'accès IAM, et c'est
ainsi que se termine la vidéo d'aujourd'hui.