Verfeinern von Berechtigungen in AWS mithilfe der Informationen zum letzten Zugriff

Nachverfolgungszeitraum – Die kürzlich erfolgten Aktivitäten werden innerhalb von vier Stunden in der IAM-Konsole angezeigt. Der Nachverfolgungszeitraum für Service-Informationen beträgt mindestens 400 Tage, je nachdem, wann der Service mit der Nachverfolgung von Aktionsinformationen begonnen hat. Der Nachverfolgungszeitraum für Amazon S3 Aktionsinformationen begann am 12. April 2020. Der Nachverfolgungszeitraum für Amazon EC2, IAM- und Lambda-Aktionen begann am 7. April 2021. Der Nachverfolgungszeitraum für alle anderen Services begann am 23. Mai 2023. Eine Liste der Services, für die Informationen über die zuletzt aufgerufene Aktion verfügbar sind, finden Sie unter IAM-Aktion, zuletzt aufgerufene Informationsservices und Aktionen. Weitere Informationen darüber, in welchen Regionen die Aktion zuletzt aufgerufen wurde, finden Sie unter Wo AWS die Informationen zum letzten Zugriff nachverfolgt.

Gemeldete Zugriffsversuche – Die Angaben des letzten Service-Zugriffsdatums umfassen alle Zugriffsversuche auf ein AWS-API, nicht nur die erfolgreichen Zugriffe. Sie umfassen alle Zugriffsversuche über die AWS-Managementkonsole, die AWS-API über beliebige SDKs oder das Befehlszeilen-Tool. Ein unerwarteter Eintrag als letztes Service-Zugriffsdatum bedeutet nicht, dass Ihr Konto beschädigt oder infiziert worden ist, da der Zugriff möglicherweise verweigert wurde. In Ihren CloudTrail-Protokollen als verbindliche Quelle für Informationen über alle API-Aufrufe finden Sie weitere Informationen darüber, ob diese erfolgreich waren oder der Zugriff verweigert wurde.

PassRole – Die iam:PassRole-Aktion wird nicht nachverfolgt und ist nicht in den Informationen zum letzten Zugriff für den IAM-Service enthalten.

Informationen zur Aktion, auf die zuletzt zugegriffen wurde – Informationen zur Aktion, auf die zuletzt zugegriffen wurde, sind für Service-Management-Aktionen verfügbar, auf die IAM-Identitäten zugreifen. Hier finden Sie die Liste der Services und deren Aktionen, für die zuletzt auf Berichtsinformationen zugegriffen wurde.

Verwaltungsereignisse – IAM stellt Aktionsinformationen für Service-Verwaltungsereignisse bereit, die von CloudTrail protokolliert werden. Manchmal werden CloudTrail-Managementereignisse auch als Operationen oder Ereignisse auf Steuerungsebene bezeichnet. Verwaltungsereignisse bieten Einblicke in die Verwaltungsvorgänge, die für Ressourcen in Ihrem AWS-Konto ausgeführt wurden. Weitere Informationen zu Verwaltungsereignissen in CloudTrail finden Sie unter Protokollierung von Verwaltungsereignissen im AWS CloudTrail-Benutzerhandbuch.

Berichtsbesitzer – Nur der Auftraggeber, der einen Bericht generiert, kann die Berichtsdetails anzeigen. Dies bedeutet, dass Sie beim Anzeigen der Informationen in AWS-Managementkonsole möglicherweise warten müssen, bis sie generiert und geladen werden. Wenn Sie die AWS CLI- oder AWS-API zum Abrufen von Berichtsdetails verwenden, müssen Ihre Anmeldeinformationen mit den Anmeldeinformationen des Auftraggebers übereinstimmen, der den Bericht generiert hat. Wenn Sie temporäre Anmeldeinformationen für eine Rolle oder einen AWS STS-Verbundbenutzerprinzipal verwenden, müssen Sie den Bericht während derselben Sitzung generieren und abrufen. Weitere Hinweise zu Sitzungs-Auftraggeber für angenommene Rollen finden Sie unter AWS JSON-Richtlinienelemente: Principal.

IAM-Ressourcen – Die zuletzt aufgerufenen Informationen für IAM gehören IAM-Ressourcen (Rollen, Benutzer, IAM-Gruppen und Richtlinien) in Ihrem Konto. Zu den zuletzt aufgerufenen Informationen für AWS Organizations gehören Prinzipale (IAM-Benutzer, IAM-Rollen oder Root-Benutzer des AWS-Kontos) in der angegebenen AWS Organizations-Entität. Die zuletzt zugegriffenen Informationen beinhalten keine nicht authentifizierten Versuche.

IAM-Richtlinientypen – Die zuletzt aufgerufenen Informationen für IAM umfassen Services, die durch die Richtlinien einer IAM-Identität zugelassen sind. Diese Richtlinien sind einer Rolle oder einem Benutzer direkt oder über eine Gruppe angefügt. Zugriff, der über andere Richtlinientypen gewährt wird, ist in diesem Bericht nicht enthalten. Ausgeschlossen sind die Richtlinientypen ressourcenbasierte Richtlinien, Zugriffskontrolllisten, AWS Organizations-SCPs, IAM-Berechtigungsgrenzen und Sitzungsrichtlinien. Berechtigungen, die von serviceverknüpften Rollen bereitgestellt werden, werden von dem Service definiert, mit dem sie verknüpft sind, und können in IAM nicht geändert werden. Weitere Informationen zu serviceverknüpften Rollen finden Sie unter Erstellen einer serviceverknüpften Rolle. Informationen dazu, wie die verschiedenen Richtlinientypen ausgewertet werden, um den Zugriff zuzulassen oder zu verweigern, finden Sie unter Auswertungslogik für Richtlinien.

-Richtlinientypen – Die Informationen für beinhalten nur die Services, die aufgrund der übernommenen Service-Kontrollrichtlinien (SCPs) einer -Entität zulässig sind. SCPs sind Richtlinien, die an einen Stamm, eine Organisationseinheit oder ein Konto angefügt sind Zugriff, der über andere Richtlinientypen gewährt wird, ist in diesem Bericht nicht enthalten. Ausgeschlossen sind die Richtlinientypen identitätsbasierte Richtlinien, ressourcenbasierte Richtlinien Zugriffskontrolllisten, IAM-Berechtigungsgrenzen und Sitzungsrichtlinien. Informationen dazu, wie die verschiedenen Richtlinientypen ausgewertet werden, um Zugriff zu erlauben oder zu verweigern, finden Sie unter Auswertungslogik für Richtlinien.

Angeben einer Richtlinien-ID – Wenn Sie die -oder -API zum Generieren eines Berichts zu den Informationen zum letzten Zugriff in verwenden, können Sie optional eine Richtlinien-ID angeben. Der resultierende Bericht enthält Daten für die Services, die nur aufgrund dieser Richtlinie zulässig sind. Die Daten beinhalten die letzten Kontoaktivitäten in der angegebenen AWS Organizations-Entität oder den untergeordneten Elementen der Entität. Weitere Informationen finden Sie unter aws iam generate-organizations-access-report oder GenerateOrganizationsAccessReport.

AWS Organizations-Verwaltungskonto – Sie müssen sich beim Verwaltungskonto Ihrer Organisation anmelden, um die zuletzt abgerufenen Informationen zum Service anzuzeigen. Sie können sich die Informationen für das Hauptkonto mithilfe der IAM-Konsole, der AWS CLI oder der AWS-API anzeigen lassen. Die daraus resultierende Bericht listet alle AWS-Dienste auf, da das Hauptkonto nicht durch SCPs eingeschränkt ist. Wenn Sie in der CLI oder API eine Richtlinien-ID angeben, wird die Richtlinie ignoriert. Für jeden Service beinhaltet der Bericht nur Daten für das Hauptkonto. Berichte für andere AWS Organizations-Entitäten geben jedoch keine Daten zu Aktivitäten im Verwaltungskonto zurück.

-Einstellungen – Ein Administrator muss SCPs in Ihrem Organisationsstamm aktivieren, bevor Sie Daten für AWS Organizations generieren können.

iam:GenerateServiceLastAccessedDetails

iam:Get*

iam:List*

Welche Benutzer, Gruppen oder Rollen einer verwalteten Richtlinie angefügt sind

Auf welche Services ein Benutzer oder eine Rolle zugreifen kann

Das Datum des letzten Zugriffs auf den Service

Das letzte Mal, als sie versucht haben, eine bestimmte Amazon EC2-, IAM-, Lambda- oder Amazon S3-Aktion zu verwenden

iam:GenerateServiceLastAccessedDetails

iam:GetServiceLastAccessedDetails

iam:GetServiceLastAccessedDetailsWithEntities

iam:ListPoliciesGrantingServiceAccess

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribeAccount

organizations:DescribeOrganization

organizations:DescribeOrganizationalUnit

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

Bei Informationen zum letzten Zugriff auf Aktionen kann es sein, dass eine Aktion, die Sie in der Liste erwarten, dort nicht angezeigt wird. Dies kann passieren, weil die IAM-Identität entweder keine Berechtigungen für die Aktion hat oder AWS die Aktion noch nicht für die zuletzt aufgerufenen Informationen verfolgt.

Stellen Sie bei IAM-Benutzern sicher, dass der Benutzer über mindestens eine eingebundene oder verwaltete Richtlinie verfügt (entweder direkt oder über eine Gruppenmitgliedschaft).

Stellen Sie bei IAM-Gruppen sicher, dass die Gruppe über mindestens eine eingebundene oder verwaltete Richtlinie verfügt.

Für eine IAM-Gruppe gibt der Bericht Informationen zum letzten Servicezugriff nur für Mitglieder zurück, die mithilfe der Gruppenrichtlinien auf einen Service zugegriffen haben. Wenn Sie wissen möchten, ob ein Mitglied andere Richtlinien verwendet hat, überprüfen Sie die Informationen zum letzten Zugriff für diesen Benutzer.

Stellen Sie bei IAM-Rollen sicher, dass die Rolle über mindestens eine eingebundene oder verwaltete Richtlinie verfügt.

Überprüfen Sie für IAM Entitys (Benutzer oder Rollen) andere Richtlinientypen, die sich auf die Berechtigungen dieser Entität auswirken könnten. Darunter fallen ressourcenbasierte Richtlinien, Zugriffskontrolllisten, AWS Organizations-Richtlinien, IAM-Berechtigungsgrenzen oder Sitzungsrichtlinien. Weitere Informationen finden Sie unter Richtlinientypen oder Richtlinienauswertung für Anfragen innerhalb eines einzelnen Kontos.

Stellen Sie bei IAM-Richtlinien sicher, dass die angegebene verwaltete Richtlinie an mindestens einen Benutzer, eine Gruppe mit Mitgliedern oder eine Rolle angefügt ist.

Stellen Sie für eine AWS Organizations-Entitität (Stamm, OU oder Konto) sicher, dass Sie sich mit den Anmeldeinformationen für das AWS Organizations-Verwaltungskonto angemeldet haben.

Überprüfen Sie, dass die SCPs in Ihrem Organisationsstamm aktiviert sind.

Die Information über den letzten Zugriff auf eine Aktion ist nur für die unter aufgeführten Aktionen verfügbar IAM-Aktion, zuletzt aufgerufene Informationsservices und Aktionen.

Serviceinformationen – Der Nachverfolgungszeitraum für Services beträgt mindestens 400 Tage oder weniger, wenn Ihre Region innerhalb der letzten 400 Tage mit der Verfolgung dieses Features begonnen hat.

Aktionsinformationen – Der Nachverfolgungszeitraum für Amazon S3-Managementaktionen begann am 12. April 2020. Der Nachverfolgungszeitraum für die Verwaltungsmaßnahmen von Amazon EC2, IAM und Lambda begann am 7. April 2021. Der Nachverfolgungszeitraum für Verwaltungsmaßnahmen für alle anderen Services begann am 23. Mai 2023. Wenn das Nachverfolgungsdatum einer Region nach dem 23. Mai 2023 liegt, beginnt die Aktion mit den zuletzt aufgerufenen Informationen aus dieser Region zu dem späteren Datum.