Ciao a tutti e bentornati.
Nel video di oggi parleremo dell'analizzatore di accesso IAM.
In una panoramica di alto livello, sono tre le funzionalità principali che questo servizio specifico
offre.
Il primo è che consente alle organizzazioni di identificare le risorse dell'organizzazione e gli account
condivisi con l'entità esterna.
Si tratta di una funzione molto utile.
Ne parleremo tra poco.
La seconda capacità principale è quella di convalidare le politiche IAM rispetto alla politica, alla grammatica
e alle best practice.
La terza capacità principale è quella di generare i criteri IAM in base all'attività di accesso nei registri
del cloud.
Quindi tutte e tre queste funzionalità sono piuttosto interessanti.
Andiamo quindi ad analizzare ciascuno di essi.
Quindi, per prima cosa, esploriamo le capacità.
Uno degli analizzatori di accesso IAM, che serve a identificare la risorsa condivisa.
Quindi, in una panoramica di alto livello, l'analizzatore di accessi IAM vi aiuta a identificare le risorse nelle vostre organizzazioni.
Quindi queste risorse possono essere tre bucket regole IAM, EBS, snapshot, ecc. che sono condivisi con un'entità esterna.
Cerchiamo di capirlo con una piccola animazione in cui abbiamo un bucket S3 critico.
Qui ci sono molti contenuti importanti in questo bucket S3 e questo bucket S3 è condiviso con
un client esterno.
Quindi avete un accesso esterno e anche questo è condiviso con un account esterno.
Quindi ci sono due accessi esterni a questo bucket S3 critico.
Si tratta quindi di una risorsa condivisa con un'entità esterna.
In questo modo, possono esserci centinaia di risorse diverse all'interno della vostra organizzazione.
La maggior parte delle volte si aggiunge l'accesso esterno e poi si dimentica di rimuoverlo al termine
del lavoro.
È qui che l'analizzatore di accessi vi aiuta.
Ora, per questo diagramma abbiamo preso come esempio il bucket S3, ma ci sono molte altre risorse
supportate.
Se analizziamo i tipi di risorse complessivamente supportati, abbiamo i bucket S3, i ruoli
IM, i CMS, gli SDK, i segreti del gestore dei segreti, le istantanee dell'elastic block store e così via.
Ora, prima di procedere con la dimostrazione, analizziamo alcune importanti indicazioni da tenere presenti.
Il primo è che per ogni istanza di una risorsa condivisa al di fuori di un account statunitense, l'analizzatore
di accesso IAM genera un riscontro e dopo che il riscontro è stato generato, si può procedere a rivedere
il riscontro se è come previsto o se non è previsto e si può correggerlo.
Quindi, se si esamina il risultato complessivo, si ottiene qualcosa di simile a quello che si vede nell'immagine.
Si vede che ci sono l'istantanea EBS, la regola IAM e il bucket S3.
Tutti questi elementi sono condivisi con il principio esterno.
Ad esempio, il vostro bucket S3 è condiviso con un IP esterno con 1010633213.
Quindi, prima di continuare, andiamo ad esplorare questa funzionalità specifica.
Ora dalla console IAM è disponibile l'analizzatore degli accessi che può essere abilitato.
Quindi l'ho abilitato nella regione di Singapore.
Passiamo quindi alla regione di Singapore.
E nell'arco dell'anno si notano alcuni risultati.
Vediamo quindi di ampliare rapidamente questo aspetto.
Quindi si ha un riscontro relativo all'istantanea EBS, un riscontro relativo al ruolo IAM di un account trasversale e
un riscontro relativo a un bucket S3.
Quindi tutti i risultati che vedete, queste risorse sono condivise all'esterno del vostro account.
Ad esempio, questo bucket S3 collection cross account Il bucket Demo S3 è condiviso con un indirizzo IP specifico
qui e come viene condiviso?
È condivisa attraverso una politica dei secchi.
Inoltre, mostra anche il livello di accesso associato.
Quindi avete letto, scritto, letto ed elencato.
Apriamo quindi uno dei risultati.
Quindi, una volta individuato questo risultato specifico, è possibile procedere all'archiviazione.
Ad esempio, se si tratta di un reperto autentico, è possibile archiviarlo in modo
da non vederlo come parte del reperto attivo.
Se non è previsto, è possibile accedere alla console S3 per correggere i criteri del bucket.
Ad esempio, mi ha portato direttamente al bucket S3.
Ora, se si guarda alle autorizzazioni, scendiamo un po' più in basso.
Questo è il criterio del secchio e si può procedere a rimuovere questa condizione specifica in modo da eliminare
l'accesso esterno.
Va bene.
Spero che con questa panoramica di alto livello abbiate compreso la capacità, numero
uno, di identificare le risorse condivise con l'entità esterna.
Si tratta di una funzionalità molto importante, soprattutto perché quando si hanno centinaia di account,
si rischia di dimenticare con chi si sono condivise le risorse, in particolare quando i servizi disponibili sono così tanti.
È qui che l'analizzatore di accessi è di grande aiuto.
La seconda funzionalità principale è legata alla convalida di un criterio IAM, quindi consente di convalidare il criterio
rispetto alla grammatica dei criteri e alle best practice.
È quindi possibile visualizzare la convalida del criterio e controllare il risultato, mostrando gli errori degli avvisi di sicurezza.
Suggerimenti generali di avvertimento per la vostra polizza.
Ad esempio, se guardate questa schermata, avete un criterio che è scritto che l'azione consentita
è la stella delle risorse e vi sta mostrando un avviso di sicurezza qui.
Ad esempio, andiamo a modificare rapidamente questo criterio specifico per il bucket.
Così vedete che avete la sicurezza, gli errori, le avvertenze e i suggerimenti.
Ad esempio, diciamo che nell'azione vedo una stella nella sorgente.
Inoltre.
Vedo una stella.
Va bene.
Così si notano immediatamente alcuni avvertimenti generati.
Quindi ci sono errori di sicurezza, avvisi e suggerimenti.
Quindi, a seconda di come scrivete la vostra polizza complessiva, vi mostra.
E questo è davvero utile in molti scenari.
Altrimenti, se la vostra polizza sta fallendo, dovrete fare un po' di ricerca per capire perché sta
fallendo esattamente.
Tuttavia, qui si afferma chiaramente che la condizione dell'operatore è l'indirizzo IP.
Quindi questa specifica viene utilizzata con un valore di intervallo IP non valido e indica di specificare l'intervallo IP nel
formato CIDR standard.
È quindi molto utile.
Quindi se si dice 00000.
Bene, l'avviso è stato eliminato e ora c'è un suggerimento specifico e qui, se si fa clic su
Ulteriori informazioni, si accede alla convalida dei criteri dell'analizzatore di accesso IAM.
Va bene.
Spero quindi che abbiate capito le basi della validazione complessiva.
La terza funzionalità interessante è la generazione dei criteri IAM.
Quindi, in una panoramica di alto livello, l'analizzatore di accessi può analizzare i log del cloud per identificare
le azioni e i servizi utilizzati da una specifica entità IAM.
Quindi questa entità IAM può essere un utente o un ruolo e, in base alle azioni e ai servizi utilizzati da questo utente o ruolo,
l'analizzatore di accesso può generare una politica di messaggistica istantanea basata su queste attività specifiche.
Ad esempio, in questa schermata è possibile specificare il periodo di tempo
e i registri cloud da analizzare.
Quindi procederà alla convalida con i registri del cloud di una regione specifica e poi il criterio verrà
creato automaticamente.
Andiamo quindi a esplorare rapidamente anche questo aspetto.
Torniamo rapidamente alla console IAM.
Andrà agli utenti.
Qui ho un utente demo e per questo utente demo ho l'opzione di generare criteri basati sugli eventi del cloud trail.
Ecco di cosa stavamo discutendo.
Quindi, in base all'evento Cloud Trail associato a un utente demo, è stata generata una politica.
Se si guarda alla politica generata, si possono vedere le azioni incluse.
Quindi abbiamo Lambda come tre sistemi di sicurezza Hub, LP, ecc.
Procediamo rapidamente con il prossimo e vediamo che il criterio viene generato per voi, in modo da poterlo modificare con una visione d'insieme
e poi distribuire il criterio complessivo.
Torniamo ora rapidamente indietro, tenendo presente che si tratta di un video dimostrativo.
Non stiamo facendo una pratica da zero.
L'obiettivo è quello di comprendere le capacità dell'analizzatore di accessi in una visione d'insieme.
In genere, quando si genera un criterio, ad esempio se si vuole generare un nuovo criterio, è possibile specificare
la data o l'attività di un utente negli ultimi 20 giorni in un'esercitazione cloud, ad esempio il percorso cloud di Singapore, è possibile
selezionare l'esercitazione appropriata e generare una griglia di criteri.
Si tratta quindi di una panoramica di alto livello sulle tre funzionalità principali dell'analizzatore di accessi
IAM, che conclude il video di oggi.