Hallo und willkommen zurück.
Im heutigen Video werden wir über den IAM Access Analyzer sprechen.
Auf den ersten Blick gibt es drei Hauptfunktionen, die dieser Dienst
bietet.
Erstens ermöglicht es Organisationen, die Ressourcen in Ihrer Organisation und die Konten zu identifizieren, die mit
der externen Einheit geteilt werden.
Dies ist eine sehr nützliche Funktion.
Darüber werden wir gleich noch sprechen.
Die zweite Hauptfunktion ist die Validierung der IAM-Richtlinien anhand von Richtlinien, Grammatik und
bewährten Verfahren.
Die dritte Hauptfunktion besteht darin, dass die IAM-Richtlinien auf der Grundlage der Zugriffsaktivitäten in Ihren Cloud-Protokollen
erstellt werden.
Alle drei sind also recht interessante Fähigkeiten.
Schauen wir uns also jeden einzelnen von ihnen an.
Lassen Sie uns also zunächst die Möglichkeiten erkunden.
Einer der IAM-Zugriffsanalysatoren, der die gemeinsam genutzte Ressource identifizieren soll.
Der IAM Access Analyzer hilft Ihnen also, die Ressourcen in Ihrem Unternehmen zu identifizieren.
Diese Ressourcen können also drei Buckets sein: IAM-Regeln, EBS, Snapshots usw. die mit einer externen Einheit geteilt werden.
Verstehen wir das anhand einer kleinen Animation, in der Sie einen kritischen S3-Bucket haben.
Hier gibt es eine Menge wichtiger Inhalte in diesem S3-Bucket und dieser S3-Bucket wird mit einem externen
Client geteilt.
Sie haben also einen externen Zugang, der auch für ein externes Konto freigegeben ist.
Es gibt also zwei externe Zugänge zu diesem kritischen S3-Bucket.
Es handelt sich also um eine Ressource, die mit einer externen Einheit geteilt wird.
So kann es in Ihrer Organisation Hunderte von verschiedenen Ressourcen geben.
Meistens passiert es, dass man den externen Zugang hinzufügt und dann vergisst, ihn nach getaner Arbeit wieder
zu entfernen.
Hier hilft Ihnen also der Access Analyzer.
Für dieses Diagramm haben wir ein Beispiel für einen S3-Bucket genommen, aber es gibt viele andere Ressourcen, die
unterstützt werden.
Wenn wir uns nun die insgesamt unterstützten Ressourcentypen ansehen, haben wir die S3-Buckets, die
IM-Rollen, das CMS, die SDKs, die Geheimnisse des Secret Managers, die Snapshots des Elastic Block Store und so weiter.
Bevor wir nun zur Demo übergehen, sollten wir einige wichtige Hinweise beachten.
Die erste ist, dass IAM Access Analyzer für jede Instanz einer Ressource, die außerhalb eines US-Kontos
geteilt wird, einen Befund generiert. Nachdem der Befund generiert wurde, können Sie den Befund überprüfen,
ob er wie beabsichtigt oder nicht beabsichtigt ist, und Sie können ihn beheben.
Wenn Sie sich das Gesamtergebnis ansehen, sieht es in etwa so aus wie auf dem Screenshot
zu sehen.
Sie sehen, Sie haben den EBS-Snapshot, die IAM-Regel und den S3-Bucket.
Sie alle werden mit dem externen Prinzip geteilt.
Beispiel: Ihr S3-Bucket wird mit einer externen IP mit der Nummer 1010633213 gemeinsam genutzt.
Bevor wir also fortfahren, sollten wir uns diese spezielle Fähigkeit genauer ansehen.
In der IAM-Konsole können Sie nun den Access Analyzer aktivieren.
Ich habe sie also in der Region Singapur aktiviert.
Lassen Sie uns also zur Region Singapur gehen.
Und innerhalb eines Jahres werden Sie bestimmte Ergebnisse feststellen.
Lassen Sie uns das also schnell erweitern.
Sie haben also einen Befund im Zusammenhang mit dem EBS-Snapshot, einen Befund im Zusammenhang mit einer kontoübergreifenden IAM-Rolle und einen
Befund im Zusammenhang mit einem S3-Bucket.
Alle diese Ergebnisse, die Sie sehen, werden also außerhalb Ihres Kontos geteilt.
Zum Beispiel wird dieser S3-Bucket kontoübergreifend gesammelt Demo S3-Bucket wird mit einer bestimmten IP-Adresse hier drüben
geteilt und wie wird er geteilt?
Sie wird durch eine Eimer-Politik geteilt.
Außerdem wird angezeigt, welche Zugriffsebene mit der Datei verknüpft ist.
Sie haben also gelesen, geschrieben, gelesen und aufgelistet.
Lassen Sie uns also einen der Befunde öffnen.
Wenn Sie also dieses spezifische Ergebnis sehen, können Sie es archivieren.
Angenommen, es handelt sich um einen echten Befund, dann können Sie diesen archivieren, so dass
Sie ihn nicht als Teil des aktiven Befunds sehen.
Wenn dies nicht der Fall ist, können Sie die S3-Konsole aufrufen, um die Bucket-Richtlinie zu ändern.
So wurde ich beispielsweise direkt zum S3-Bucket weitergeleitet.
Wenn Sie sich nun die Genehmigungen ansehen, gehen wir ein bisschen tiefer.
Dies ist die Bucket-Policy, und Sie können diese spezielle Bedingung entfernen, damit der externe Zugriff
aufgehoben werden kann.
Also gut.
Ich hoffe also, dass Sie mit diesem Überblick auf hohem Niveau die Fähigkeit Nummer eins verstanden haben, die darin
besteht, die mit der externen Entität gemeinsam genutzten Ressourcen zu identifizieren.
Dies ist eine sehr wichtige Funktion, vor allem weil Sie bei Hunderten von Konten
vergessen werden, mit wem Sie Ihre Ressourcen geteilt haben, vor allem, wenn so viele Dienste verfügbar
sind.
Hier ist der Access Analyzer also sehr hilfreich.
Die zweite primäre Fähigkeit bezieht sich auf die Validierung einer IAM-Richtlinie, d. h. sie ermöglicht Ihnen die Validierung Ihrer Richtlinie
anhand der Richtliniengrammatik und der Best Practices.
So können Sie die Richtlinienüberprüfung einsehen und die Ergebnisse überprüfen, es werden Ihnen die Sicherheitswarnungen angezeigt.
Allgemeine Warnhinweise für Ihre Police.
Wenn Sie sich zum Beispiel diesen Screenshot ansehen, haben Sie eine Richtlinie geschrieben, die die Aktion
"Ressourcen-Stern" zulässt und Ihnen hier eine Sicherheitswarnung anzeigt.
Lassen Sie uns zum Beispiel diese spezielle Bucket-Policy schnell bearbeiten.
Sie sehen also, Sie haben die Sicherheit, Sie haben die Fehler, die Warnungen, sowie die Vorschläge.
Nehmen wir zum Beispiel an, dass ich in der Aktion einen Stern in der Quelle sehe.
Auch.
Ich sehe einen Stern.
Also gut.
Sie sehen also sofort, dass bestimmte Warnungen generiert worden sind.
Sie haben also Sicherheitsfehler, Warnungen und auch den Vorschlag.
Es hängt also davon ab, wie Sie Ihre Gesamtpolitik gestalten, die Sie ausweist.
Und das ist in vielen Szenarien wirklich hilfreich.
Andernfalls müssen Sie, wenn Ihre Politik scheitert, ein wenig recherchieren, warum
genau sie scheitert.
Hier wird jedoch eindeutig angegeben, dass die Bedingung Betreiber IP-Adresse.
So wird dieser spezielle mit einem ungültigen IP-Bereichswert verwendet und gibt den IP-Bereich im Standard-CIDR-Format
an.
Dies ist also sehr nützlich.
Wenn Sie also 00000 sagen.
Sie sehen also, dass die Warnung verschwunden ist und dass es jetzt einen spezifischen Vorschlag
gibt. Wenn Sie hier auf Mehr erfahren klicken, gelangen Sie zur IAM Access Analyzer Richtlinienvalidierung.
Also gut.
Ich hoffe, Sie haben damit die Grundlagen der Gesamtvalidierung verstanden.
Und die dritte interessante Fähigkeit ist die Erstellung der IAM-Richtlinie.
Auf einer hohen Ebene kann der Access Analyzer Ihre Cloud-Protokolle analysieren, um die Aktionen und Dienste zu identifizieren,
die von einer bestimmten IAM-Einheit verwendet wurden.
Diese IAM-Einheit kann also ein Benutzer oder eine Rolle sein, und basierend auf den Aktionen und Diensten, die von diesem Benutzer oder
dieser Rolle genutzt wurden, kann der Zugriffsanalysator eine IM-Richtlinie auf der Grundlage dieser spezifischen Aktivitäten erstellen.
In diesem Screenshot sehen Sie zum Beispiel, dass Sie den Zeitraum und die zu analysierenden
Cloud-Protokolle angeben können.
Es wird also mit den Cloud-Protokollen einer bestimmten Region abgeglichen, und dann wird die Richtlinie
automatisch erstellt.
Also lassen Sie uns auch das schnell erkunden.
Kehren wir also schnell zur IAM-Konsole zurück.
Wird an die Benutzer gehen.
Hier habe ich einen Demo-Benutzer und für diesen Demo-Benutzer habe ich eine Option zur Erstellung von Richtlinien auf der Grundlage von Cloud-Trail-Ereignissen.
Das haben wir also besprochen.
Auf der Grundlage des Cloud-Trail-Ereignisses, das einem Demo-Benutzer zugeordnet ist, wurde also eine Richtlinie erstellt.
Wenn Sie sich also die erstellte Richtlinie ansehen, können Sie hier sehen, welche Aktionen darin enthalten sind.
So haben wir Lambda als drei Sicherheiten Hub, LP, usw..
Sie sehen, dass die Richtlinie für Sie erstellt wird, so dass Sie sie auf einen Blick ändern und dann die gesamte Richtlinie
bereitstellen können.
Gehen wir also noch einmal kurz zurück. Beachten Sie, dass dies ein Demo-Video ist.
Wir machen kein Praktikum von Grund auf.
Ziel ist es hier, die Fähigkeiten des Access Analyzers im Überblick zu verstehen.
Wenn Sie eine Richtlinie erstellen, z. B. wenn ich eine neue Richtlinie erstellen möchte, können Sie das
Datum oder die Aktivität eines Benutzers in den letzten 20 Tagen in einem Cloud-Drill, z. B. im Cloud-Trail von Singapur, angeben
und einen entsprechenden Drill auswählen und ein Richtliniengitter erstellen.
Dies ist also ein sehr umfassender Überblick über die drei Hauptfunktionen des IAM Access Analyzers, und damit
wird das heutige Video abgeschlossen.