Olá a todos, e bem-vindos de volta.
Agora, no vídeo de hoje, vamos discutir sobre o analisador de acesso do IAM.
Agora, a um nível muito alto, há três capacidades principais que este serviço específico
oferece.
A primeira é que ela permite que as organizações identifiquem os recursos em sua organização e as contas que são compartilhadas
com a entidade externa.
Agora, esta é uma característica muito útil.
Estaremos discutindo sobre isso no momento exato.
A segunda capacidade primária aqui é que valida as políticas do IAM contra a política, a gramática e
as melhores práticas.
E a terceira capacidade primária aqui é que ela gera as políticas do IAM com base na atividade de acesso em
seus logs de nuvens.
Portanto, todas essas três capacidades são bastante interessantes.
Por isso, vamos em frente e olhar para cada um deles.
Portanto, primeiro vamos explorar a capacidade.
Um dos analisadores de acesso do IAM, que é o de identificar o recurso compartilhado.
Assim, em uma visão geral de alto nível, o analisador de acesso IAM ajuda você a identificar os recursos em suas organizações.
Portanto, estes recursos podem ser três baldes regras do IAM, EBS, snapshots, etc. que são compartilhadas com uma entidade externa.
Então vamos entender isto com uma pequena animação onde você tem um balde S3 crítico.
Aqui há muitos conteúdos importantes neste balde S3 e este balde S3 é compartilhado com
um cliente externo.
Portanto, você tem um acesso externo e ele também é compartilhado com uma conta externa.
Portanto, há dois acessos externos a este balde S3 crítico.
Portanto, isto se qualifica para ser um recurso que é compartilhado com uma entidade externa.
Agora, assim, podem existir centenas de recursos diferentes dentro de sua organização.
Na maioria das vezes, o que acontece é acrescentar o acesso externo e depois esquecer de removê-lo depois que o trabalho
é feito.
Então é aqui que o analisador de acesso o ajuda.
Agora, para este diagrama, tomamos um exemplo do balde S3, mas há muitos outros recursos que
são apoiados.
Agora, se olharmos para os tipos de recursos gerais suportados, você tem os baldes S3, as funções
de IM, o CMS, SDKs, os segredos do gerente secreto, os instantâneos da loja de blocos elásticos e assim por diante.
Agora, antes de prosseguirmos para uma demonstração, vamos analisar alguns dos indicadores importantes a serem observados.
A primeira é que para cada instância de um recurso que é compartilhado fora de uma conta nos EUA, o analisador
de acesso IAM gera uma descoberta e, após a descoberta ser gerada, você pode ir em frente e rever a descoberta,
seja ela conforme a intenção ou não, e você pode consertá-la.
Portanto, se você olhar para a descoberta geral, ela parece algo semelhante à que você vê na imagem
da tela.
Você vê que tem o instantâneo do EBS, a regra do IAM e o balde S3.
Todos eles são compartilhados com o princípio externo.
Por exemplo, seu balde S3 é compartilhado com um IP externo com 1010633213.
Portanto, antes de continuarmos, vamos em frente e explorar esta capacidade específica.
Agora, a partir do console IAM, você tem o analisador de acesso que você pode habilitá-lo.
Portanto, tenho-o habilitado na região de Cingapura.
Portanto, vamos para a região de Cingapura aqui.
E dentro de um ano, você verá que existem certas descobertas que você verá.
Portanto, vamos expandir isto rapidamente.
Portanto, você tem uma descoberta relacionada ao instantâneo do EBS, uma descoberta relacionada ao papel de um IAM de conta cruzada e
uma descoberta relacionada a um balde S3.
Portanto, todas essas descobertas que você vê, esses recursos são compartilhados externamente de sua conta.
Por exemplo, este balde de coleta S3 conta cruzada Demo S3 balde é compartilhado com um endereço IP específico aqui
e como ele é compartilhado?
Ela é compartilhada através de uma política de balde.
Além disso, ele também mostra qual era o nível de acesso associado.
Portanto, você já leu, escreveu, leu e listou.
Portanto, vamos abrir uma das conclusões.
Assim, uma vez que você veja esta descoberta específica, você pode ir em frente e arquivá-la.
Por exemplo, digamos que esta é uma descoberta genuína para que você possa ir em frente e arquivar esta descoberta
para que você não veja realmente como parte da descoberta ativa.
Se não for intencional, então você pode ir até o console S3 para consertar sua política de baldes.
Por exemplo, ele me levou diretamente ao balde S3.
Agora, se você olhar para as permissões, vamos um pouco para baixo.
Esta é a política do balde e você pode ir em frente e remover esta condição específica para que o acesso externo
possa ser removido.
Muito bem.
Portanto, espero que com isto em uma visão geral de alto nível, você tenha entendido sobre a capacidade,
número um, que é identificar o recurso que é compartilhado com a entidade externa.
Agora, esta é uma capacidade muito importante, principalmente porque quando você tem centenas
de contas, você esquecerá com quem compartilhou seus recursos especificamente quando há tantos serviços disponíveis.
Então é aqui que o analisador de acesso realmente ajuda.
A segunda capacidade primária está relacionada à validação de uma política do IAM, de modo que permite validar sua política
contra a gramática da política e as melhores práticas.
Para que você possa ver a validação da política, verifique a constatação, ela mostra os erros dos avisos de segurança.
Sugestões gerais de advertência para sua política.
Por exemplo, se você olhar para esta captura de tela, você tem uma política que está escrita que permite
que a ação seja a estrela dos recursos e que está mostrando um aviso de segurança aqui.
Por exemplo, vamos em frente e editemos rapidamente esta política específica de baldes.
Assim você vê que tem a segurança, tem os erros, os avisos, assim como as sugestões.
Por exemplo, digamos que na ação, eu vejo uma estrela na fonte.
Também.
Eu vejo uma estrela.
Muito bem.
Assim, imediatamente você vê que certos avisos foram gerados.
Portanto, você tem erros de segurança, avisos, assim como a sugestão.
Assim, dependendo de como você escreve sua política geral, ela o exibe.
E isto realmente ajuda em muitos cenários.
Caso contrário, o que acontece é que se sua política estiver falhando, você terá que fazer um pouco de pesquisa sobre o porquê
exatamente está falhando.
No entanto, aqui está claramente indicado que o endereço IP do operador em condições.
Portanto, este específico é usado com um valor de faixa IP inválido e está declarando especificar a faixa IP no
formato padrão CIDR.
Portanto, isto é muito útil.
Portanto, se você disser 00000.
Tudo bem, então você vê que o aviso desapareceu e há uma sugestão específica agora e aqui dentro,
se você apenas clicar em Saiba Mais, ele basicamente o leva à validação da política de análise de acesso do IAM.
Muito bem.
Portanto, espero que com isto vocês tenham entendido o básico da validação geral.
E a terceira capacidade interessante aqui é gerar a política do IAM.
Assim, em uma visão geral de alto nível, o analisador de acesso pode analisar seus logs de nuvens para identificar as ações e os
serviços que foram utilizados por uma entidade específica do IAM.
Portanto, esta entidade do IAM pode ser usuário ou função e com base em quais ações e serviços foram utilizados por
este usuário ou função, O analisador de acesso pode gerar uma política de IM com base nestas atividades específicas.
Por exemplo, aqui você vê nesta captura de tela que você pode especificar o período de tempo e também pode especificar
os logs de nuvens que precisam ser analisados.
Assim, ela irá em frente e validará contra os logs das nuvens de uma região específica e então a política será
criada automaticamente.
Portanto, vamos também explorar isso rapidamente.
Portanto, vamos voltar rapidamente para o console do IAM.
Vai para os usuários.
Aqui eu tenho um usuário demo e para este usuário demo eu tenho a opção de gerar uma política baseada em eventos de cloud trail.
Portanto, era isto que estávamos discutindo.
Assim, com base no evento Cloud Trail associado a um usuário de demonstração, foi gerada uma política.
Portanto, se você olhar para a política gerada, então aqui você pode ver as ações que estão incluídas.
Portanto, temos a Lambda como três Hub de segurança, LP, etc...
Vamos fazer nosso próximo e você verá que a política é gerada para você para que possa modificá-la em uma visão geral e
depois implantar a política geral.
Portanto, vamos rapidamente voltar um pouco atrás agora, note que este é um vídeo demonstrativo.
Não estamos fazendo uma prática a partir do zero.
O objetivo aqui é entender sobre as capacidades do analisador de acesso na visão geral.
Agora, geralmente quando você gera uma política, digamos que eu quero gerar uma nova política para que você possa
especificar a data ou você pode especificar que com base na atividade de um usuário dos últimos 20 dias em uma cloud drill, digamos, cloud
trail de Cingapura, você pode selecionar uma drill apropriada, gerar uma grade de política.
Portanto, esta é uma visão geral de alto nível sobre as três principais capacidades do analisador de acesso do
IAM, e com isto concluirá o vídeo de hoje.