Hola a todos y bienvenidos de nuevo.
Ahora, en el video de hoy, vamos a discutir sobre el analizador de acceso IAM.
A grandes rasgos, este servicio específico ofrece tres funciones principales.
La primera es que permite a las organizaciones identificar los recursos de su organización y las cuentas que se
comparten con la entidad externa.
Se trata de una función muy útil.
Hablaremos de ello dentro de un momento.
La segunda capacidad principal aquí es que valida las políticas IAM contra la política, la gramática y
las mejores prácticas.
Y la tercera capacidad principal aquí es que genera las políticas IAM basadas en la actividad de acceso en sus
registros de nube.
Así que estas tres capacidades son bastante interesantes.
Analicemos cada uno de ellos.
Así que primero vamos a explorar la capacidad.
Uno de los analizadores de acceso IAM, que consiste en identificar el recurso compartido.
Así, en una visión general de alto nivel, el analizador de acceso IAM le ayuda a identificar los recursos de sus organizaciones.
Así que estos recursos pueden ser tres cubos reglas IAM, EBS, instantáneas, etc. que se comparten con una entidad externa.
Así que vamos a entender esto con una pequeña animación en la que tienes un cubo S3 crítico.
Aquí hay un montón de contenidos importantes en este cubo S3 y este cubo S3 se comparte con
un cliente externo.
Así que tienes un acceso externo y también está compartido con una cuenta externa.
Así que hay dos accesos externos a este cubo S3 crítico.
Por tanto, se trata de un recurso compartido con una entidad externa.
Ahora, así, puede haber cientos de recursos diferentes dentro de su organización.
La mayoría de las veces lo que ocurre es que se añade el acceso externo y luego se olvida quitarlo una vez terminado
el trabajo.
Aquí es donde te ayuda el analizador de acceso.
Ahora, para este diagrama que habíamos tomado un ejemplo de cubo de S3, pero hay un montón de otros recursos que
son compatibles.
Ahora bien, si nos fijamos en los tipos de recursos soportados en general, tienes los cubos de S3, tienes los roles de
mensajería instantánea, el CMS, SDKs, secretos del gestor de secretos, las instantáneas del almacén de bloques elástico y así sucesivamente.
Antes de pasar a la demostración, veamos algunos puntos importantes.
La primera es que para cada instancia de un recurso que se comparte fuera de una cuenta de EE.UU., el analizador
de acceso de IAM genera un hallazgo y después de que se genera el hallazgo, puede seguir adelante y revisar
el hallazgo si es lo que se pretendía o no es lo que se pretendía y puede solucionarlo.
Así que si se fija en el resultado global, tiene un aspecto similar al que se ve en la captura de
pantalla.
Ya ves que tienes el snapshot de EBS, la regla de IAM y el bucket de S3.
Todos ellos son compartidos con el principio externo.
Por ejemplo, su bucket S3 está compartido con una IP externa con 1010633213.
Así que antes de continuar, vamos a explorar esta capacidad específica.
Ahora desde la consola de IAM, tienes el analizador de accesos que puedes habilitarlo.
Así que lo tengo activado en la región de Singapur.
Así que vamos a la región de Singapur aquí.
Y dentro de un año, verás que hay ciertos hallazgos que verás.
Así que vamos a ampliar esto rápidamente.
Así que tienes un hallazgo relacionado con la instantánea de EBS, un hallazgo relacionado con un rol IAM de cuenta cruzada y un
hallazgo relacionado con un bucket S3.
Así que todos estos hallazgos que ves, estos recursos son compartidos externamente de tu cuenta.
Por ejemplo, este S3 bucket collection cross account Demo S3 bucket se comparte con una dirección IP específica
de aquí y ¿cómo se comparte?
Se comparte mediante una política de cubos.
Además, también muestra el nivel de acceso asociado.
Así que has leído, escrito, leído y enumerado.
Así que vamos a abrir uno de los hallazgos.
Así que una vez que vea este hallazgo específico, puede seguir adelante y archivarlo.
Por ejemplo, digamos que se trata de una genuina por lo que puede seguir adelante y archivar este hallazgo por
lo que en realidad no va a ver como parte del hallazgo activo.
Si no está previsto, entonces usted puede ir a la consola de S3 para arreglar su política de cubo.
Por ejemplo, me llevó directamente al cubo S3.
Ahora, si te fijas en los permisos, vamos un poco más abajo.
Esta es la política de cubo y usted puede seguir adelante y eliminar esta condición específica para que el acceso externo
puede ser eliminado.
De acuerdo.
Así que espero que con esta visión general de alto nivel, hayas entendido la capacidad, número uno,
que es identificar los recursos que se comparten con la entidad externa.
Ahora, esta es una capacidad muy importante, principalmente porque cuando tienes cientos
de cuentas, olvidarás con quién has compartido tus recursos específicamente cuando hay tantos servicios disponibles.
Aquí es donde el analizador de acceso es realmente útil.
La segunda capacidad principal está relacionada con la validación de una política IAM, por lo que le permite validar su política
contra la gramática de la política y las mejores prácticas.
Así que usted puede ver la validación de la política de comprobar el hallazgo, que muestra los errores de advertencias de seguridad.
Sugerencias generales de advertencia para su póliza.
Por ejemplo, si nos fijamos en esta captura de pantalla, usted tiene una política que está escrito que es permitir la acción
es la estrella de los recursos y que le está mostrando una advertencia de seguridad por aquí.
Por ejemplo, vamos a editar rápidamente esta política específica de cubos.
Así que ya ves que tienes la seguridad, tienes los errores, las advertencias, así como las sugerencias.
Por ejemplo, digamos que en la acción veo una estrella en la fuente.
También.
Veo una estrella.
De acuerdo.
Así que inmediatamente ves que se han generado ciertas advertencias.
Así que usted tiene errores de seguridad, advertencias, así como la sugerencia.
Así que dependiendo de cómo redactes tu póliza general, te muestra.
Y esto realmente ayuda en muchos escenarios.
De lo contrario, lo que ocurre es que si su póliza está fallando, tendrá que investigar un poco por qué está
fallando exactamente.
Sin embargo, aquí se está indicando claramente que la dirección IP del operador condición.
Así que este específico se utiliza con un valor de rango IP no válido y está indicando especificar el rango IP en el
formato estándar CIDR.
Así que esto es muy útil.
Así que si dices 00000.
Muy bien, así que usted ve la advertencia se fue y hay una sugerencia específica ahora y dentro de aquí, si usted
acaba de hacer clic en Más información, básicamente te lleva a la validación de la política de IAM analizador de acceso.
De acuerdo.
Así que espero que con esto hayas entendido lo básico de la validación general.
Y la tercera capacidad interesante aquí es generar la política IAM.
Así, en una visión general de alto nivel, el analizador de acceso puede analizar sus registros en la nube para identificar las acciones
y los servicios que ha utilizado una entidad específica de IAM.
Así que esta entidad IAM puede ser usuario o rol y basado en las acciones y los servicios que han sido utilizados por
este usuario o rol, el analizador de acceso puede generar una política de MI basada en esas actividades específicas.
Por ejemplo, aquí puede ver en esta captura de pantalla que puede especificar el período de tiempo y también puede especificar
los registros de la nube que necesita ser analizado.
Por lo tanto, se validará con los registros de la nube de una región específica y, a continuación, se creará automáticamente
la política.
Así que vamos a explorar esto rápidamente.
Volvamos rápidamente a la consola IAM.
Irá a los usuarios.
Aquí tengo un usuario de demostración y para este usuario de demostración tengo una opción de generar política basada en eventos de rastro de nube.
Así que esto es lo que estábamos discutiendo.
Así, basándose en el evento Cloud Trail asociado a un usuario demo, se ha generado una política.
Así que si nos fijamos en la política generada, así que aquí se puede ver las acciones que se incluyen.
Así que tenemos Lambda como tres de seguridad Hub, LP, etc..
Vamos a hacer rápidamente nuestro siguiente y se ve la política se genera para usted para que pueda modificarlo en una visión general
y luego desplegar la política global.
Así que vamos a ir rápidamente un poco hacia atrás ahora de nuevo, tenga en cuenta que este es un video de demostración.
No estamos haciendo una práctica desde cero.
El objetivo aquí es entender las capacidades del analizador de acceso en la visión general.
Ahora, por lo general cuando se genera una política, digamos que quiero generar una nueva política para que pueda especificar
la fecha o puede especificar que sobre la base de la actividad de un usuario de los últimos 20 días en un taladro de nube, digamos, rastro de la nube
de Singapur, puede seleccionar taladro apropiado, generar una política de cuadrícula.
Así que esta es una visión general de muy alto nivel sobre las tres capacidades principales del analizador de acceso
IAM, y con esto concluirá el video de hoy.