`AWSSupport-ContainIAMPrincipal`

Beschreibung

Im Falle eines Sicherheitsvorfalls oder einer vermuteten Gefährdung durch einen AWS Identity and Access Management (IAM) User/Role oder AWS Identity Center (IDC) -Benutzer ist es wichtig, die betroffene Identität schnell zu isolieren und gleichzeitig ihre Konfiguration für Untersuchungen beizubehalten. Das AWSSupport-ContainIAMPrincipal Runbook bietet einen strukturierten, umkehrbaren Ansatz, um kompromittierte IAM- oder IDC-Identitäten einzudämmen, deren Zugriff auf AWS Ressourcen effektiv zu blockieren und eine mögliche Ausbreitung der Sicherheitslücke zu verhindern.

Dieser automatisierte Prozess ermöglicht eine Untersuchung ohne dauerhafte Änderung der Identitätskonfiguration und ermöglicht die Wiederherstellung des normalen Zugriffs, wenn dies als angemessen erachtet wird. Durch den Eindämmungsprozess bleibt der Benutzer oder die Rolle innerhalb von IAM oder der Benutzer innerhalb von IDC erhalten, während er gleichzeitig effektiv von allen Netzwerkaktivitäten isoliert wird. Diese Isolierung verhindert, dass die enthaltene Identitätsressource mit Ressourcen in Ihrer Amazon Virtual Private Cloud kommuniziert oder auf Internetressourcen zugreift. Die Eindämmung ist so konzipiert, dass sie rückgängig gemacht werden kann, sodass der normale Zugriff wiederhergestellt werden kann, wenn dies als angemessen erachtet wird.

Wie funktioniert es?

Das AWSSupport-ContainIAMPrincipal Runbook implementiert einen umfassenden Eindämmungsprozess für IAM-Benutzer, -Rollen und Identity Center-Benutzer. Wenn es im Contain Modus ausgeführt wird, validiert es zunächst alle Eingabeparameter und führt Sicherheitsprüfungen für den angegebenen Amazon S3-Bucket durch. Anschließend sammelt es detaillierte Informationen über den Ziel-IAM-Prinzipal und wendet auf der Grundlage des Prinzipaltyps geeignete Eindämmungsmaßnahmen an. Für IAM-Benutzer werden die Zugriffsschlüssel deaktiviert, der Konsolenzugriff wird aufgehoben und eine Ablehnungsrichtlinie hinzugefügt. Für IAM-Rollen wird eine Ablehnungsrichtlinie hinzugefügt, mit der die Berechtigungen für Sitzungen, die vor der Eingrenzung erstellt wurden, entzogen werden. Für Identity Center-Benutzer werden Berechtigungssätze und Gruppenmitgliedschaften entfernt und eine Ablehnungsrichtlinie angewendet. Während des gesamten Vorgangs erstellt das Runbook eine Sicherungskopie der ursprünglichen Konfiguration in einem Amazon S3-Bucket für eine mögliche Wiederherstellung. Wenn es im Restore Modus ausgeführt wird, versucht es, den Principal mithilfe der gesicherten Konfiguration in den Zustand vor der Eindämmung zurückzusetzen. Das Runbook bietet die DryRun Option, Änderungen in der Vorschau anzuzeigen, ohne sie anzuwenden, und bietet umfassende Berichte sowohl über erfolgreiche Operationen als auch über Ausfallszenarien.

Wichtig

Verwendung erhöhter Rechte: In diesem SSM-Dokument werden verschiedene Vorgänge ausgeführt, für die erhöhte Rechte erforderlich sind, z. B. das Ändern von IAM- und IDC-Identitätsrichtlinien und das Anwenden von Quarantänekonfigurationen. Diese Aktionen könnten potenziell zu einer Rechteerweiterung führen oder sich auf andere Workloads auswirken, die von den Zielidentitäten abhängen. Sie sollten die Berechtigungen überprüfen, die der durch den AutomationAssumeRole Parameter angegebenen Rolle gewährt wurden, und sicherstellen, dass sie für den beabsichtigten Anwendungsfall geeignet sind. Weitere Informationen zu IAM-Berechtigungen finden Sie in der folgenden AWS Dokumentation:
- Berechtigungen für Identitäts- und Zugriffsmanagement (IAM)
- AWS Berechtigungen für Systems Manager Automation
Risiken bei Nichtverfügbarkeit von Arbeitslasten: In diesem Systems Manager-Dokument werden Isolationsmaßnahmen durchgeführt, die möglicherweise zu einer Nichtverfügbarkeit oder Unterbrechung Ihrer Workloads führen können. Wenn es während eines Sicherheitsereignisses ausgeführt wird, schränkt es den Zugriff auf die betroffene Ressource ein, indem es den angegebenen IAM- und IDC-Identitäten die AWS API-Berechtigungen entzieht und sie daran hindert, API-Aufrufe oder Aktionen durchzuführen. AWS Dies könnte sich auf alle Anwendungen oder Dienste auswirken, die von diesen Identitäten abhängen.
Erstellung zusätzlicher Ressourcen: Das Automatisierungsdokument kann abhängig von den Ausführungsparametern bedingt zusätzliche Ressourcen erstellen, z. B. einen Amazon Simple Storage Service (Amazon S3) -Bucket und darin gespeicherte Amazon S3-Objekte. Für diese Ressourcen fallen je nach Nutzung zusätzliche Gebühren an AWS .
Wiederherstellungsrisiken: Wenn der Action-Parameter auf gesetzt istRestore, versucht dieses SSM-Dokument, die IAM- oder IDC-Identitätskonfiguration in ihren ursprünglichen Zustand zurückzusetzen. Es besteht jedoch das Risiko, dass der Wiederherstellungsvorgang fehlschlägt und die IAM- oder IDC-Identität in einem inkonsistenten Zustand zurückbleibt. Das Dokument enthält Anweisungen für die manuelle Wiederherstellung im Fall solcher Fehler. Sie sollten jedoch darauf vorbereitet sein, mögliche Probleme während des Wiederherstellungsvorgangs zu lösen.

Es wird empfohlen, das Runbook gründlich zu überprüfen, seine potenziellen Auswirkungen zu verstehen und es in einer Umgebung zu testen, die nichts mit der Produktion zu tun hat, bevor Sie es in Ihrer Produktionsumgebung ausführen.

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Erforderliche IAM-Berechtigungen

Für den AutomationAssumeRole Parameter sind die folgenden Berechtigungen erforderlich, um das Runbook erfolgreich verwenden zu können:

s3: GetBucketLocation
s3: GetBucket
s3: ListBucket
s3: GetBucketPublicAccessBlocks
s3: GetAccountPublicAccessBlocks
s3: GetBucketPolicyStatus
s3: GetBucketAcl
s3: GetObject
s3: CreateBucket
s3: PutObject
Ich bin: GetUser
ich bin: GetUserPolicy
ich bin: GetRole
ich bin: ListUserPolicies
ich bin: ListAttachedUserPolicies
ich bin: ListAccessKeys
ich bin: ListMfaDevices
ich bin: ListVirtualMFADevices
ich bin: GetLoginProfile
ich bin: GetPolicy
ich bin: GetRolePolicy
ich bin: ListPolicies
ich bin: ListAttachedRolePolicies
ich bin: ListRolePolicies
ich bin: UpdateAccessKey
ich bin: CreateAccessKey
ich bin: DeleteLoginProfile
ich bin: DeleteAccessKey
ich bin: PutUserPolicy
ich bin: DeleteUserPolicy
iam:DeactivateMFADevice
ich bin: AttachRolePolicy
ich bin: AttachUserPolicy
ich bin: DeleteRolePolicy
Ich bin: Tag MFA-Gerät
Ich bin: PutRolePolicy
ich bin: TagPolicy
ich bin: TagRole
ich bin: TagUser
ich bin: UntagUser
ich bin: UntagRole
Organisationen: ListAccounts
sso: ListPermissionSetsProvisionedToAccount
sso: GetInlinePolicyForPermissionSet
sso: ListInstances
sso-Verzeichnis: SearchUsers
sso: ListPermissionSets
sso: ListAccountAssignments
sso-Verzeichnis: DescribeUser
Identitätsspeicher: ListUsers
Identitätsspeicher: ListGroups
Identitätsspeicher: IsMemberInGroups
Identitätsspeicher: ListGroupMemberships
Manager für geheime Daten: CreateSecret
Verwalter der Geheimnisse: DeleteSecret
also: DeleteAccountAssignment
sso: PutInlinePolicyToPermissionSet
sso: CreateAccountAssignment
sso: DeleteInlinePolicyFromPermissionSet
sso: TagResource
sso: UntagResource
Identitätsspeicher: DeleteGroupMembership
Identitätsspeicher: CreateGroupMembership

Hier ist ein Beispiel für eine IAM-Richtlinie, die die erforderlichen Berechtigungen gewährt für: AutomationAssumeRole

JSON


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketAcl",
                "s3:GetObject",
                "s3:CreateBucket",
                "s3:PutObject"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMPermissions",
            "Effect": "Allow",
            "Action": [
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:GetRole",
                "iam:ListUserPolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListAccessKeys",
                "iam:ListMfaDevices",
                "iam:ListVirtualMFADevices",
                "iam:GetLoginProfile",
                "iam:GetPolicy",
                "iam:GetRolePolicy",
                "iam:ListPolicies",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:UpdateAccessKey",
                "iam:CreateAccessKey",
                "iam:DeleteLoginProfile",
                "iam:DeleteAccessKey",
                "iam:PutUserPolicy",
                "iam:DeleteUserPolicy",
                "iam:DeactivateMFADevice",
                "iam:AttachRolePolicy",
                "iam:AttachUserPolicy",
                "iam:DeleteRolePolicy",
                "iam:TagMFADevice",
                "iam:PutRolePolicy",
                "iam:TagPolicy",
                "iam:TagRole",
                "iam:TagUser",
                "iam:UntagUser",
                "iam:UntagRole"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OrganizationsPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccounts"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSOPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:ListPermissionSetsProvisionedToAccount",
                "sso:GetInlinePolicyForPermissionSet",
                "sso:ListInstances",
                "sso-directory:SearchUsers",
                "sso:ListPermissionSets",
                "sso:ListAccountAssignments",
                "sso-directory:DescribeUser",
                "sso:DeleteAccountAssignment",
                "sso:PutInlinePolicyToPermissionSet",
                "sso:CreateAccountAssignment",
                "sso:DeleteInlinePolicyFromPermissionSet",
                "sso:TagResource",
                "sso:UntagResource"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IdentityStorePermissions",
            "Effect": "Allow",
            "Action": [
                "identitystore:ListUsers",
                "identitystore:ListGroups",
                "identitystore:IsMemberInGroups",
                "identitystore:ListGroupMemberships",
                "identitystore:DeleteGroupMembership",
                "identitystore:CreateGroupMembership"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecretsManagerPermissions",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret",
                "secretsmanager:DeleteSecret"
            ],
            "Resource": "*"
        }
    ]
}

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

Navigieren Sie AWSSupport-ContainIAMPrincipal in der AWS Systems Manager-Konsole zu.
Wählen Sie Execute automation (Automatisierung ausführen).
Geben Sie für die Eingabeparameter Folgendes ein:
- AutomationAssumeRole (Fakultativ):
  - Beschreibung: (Optional) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen durchzuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.
  - Typ: AWS::IAM::Role::Arn
- PrincipalType (Erforderlich):
  - Beschreibung: (Erforderlich) Der AWS IAM-Prinzipaltyp: IAM-Benutzer, IAM-Rolle oder Identity Center-Benutzer.
  - Typ: Zeichenfolge
  - Zulässige Werte: IAM user|IAM role|Identity Center user
- PrincipalName (Erforderlich):
  - Beschreibung: (Erforderlich) Der Name des IAM-Principals. Geben Sie für Identity Center-Benutzer den Benutzernamen an.
  - Typ: Zeichenfolge
  - Zulässiges Muster: ^[a-zA-Z0-9\\.\\-_\\\\!*'()/+=,@]{1,1024}$
- Aktion (erforderlich):
  - Beschreibung: (Erforderlich) Wählen Sie Contain diese Option, um den Ziel-IAM-Principal zu isolieren oder Restore um zu versuchen, den IAM-Principal auf seine ursprüngliche Konfiguration aus einer früheren Sicherung wiederherzustellen.
  - Typ: Zeichenfolge
  - Zulässige Werte: Contain|Restore
- DryRun (Fakultativ):
  - Beschreibung: (Optional) Wenn diese Option auf gesetzt isttrue, nimmt die Automatisierung keine Änderungen am Ziel-IAM-Principal vor. Stattdessen gibt sie aus, was versucht worden wäre, zu ändern, wobei die einzelnen Schritte detailliert beschrieben werden. Standardwert: true.
  - Typ: Boolescher Wert
  - Zulässige Werte: true|false
- ActivateDisabledKeys(Befristet):
  - Beschreibung: (Befristet) Wenn der Eingabeparameter Action auf Restore und der auf IAM-Benutzer gesetzt PrincipalType ist, bestimmt diese Option, ob diese Automatisierung versuchen soll, die zugehörigen Zugriffsschlüssel zu aktivieren, wenn sie deaktiviert ist. Bitte beachten Sie, dass die Integrität eines kompromittierten Zugriffsschlüssels nicht überprüft werden kann. AWS rät dringend davon ab, einen kompromittierten Schlüssel zu reaktivieren. Stattdessen empfiehlt es sich, neue Schlüssel zu generieren. Standardwert: false.
  - Typ: Boolescher Wert
  - Zulässige Werte: true|false
- BackupS3BucketName (Befristet):
  - Beschreibung: (Befristet) Der Amazon Amazon S3-Bucket zur Sicherung der IAM-Prinzipalkonfiguration, wenn die Aktion auf gesetzt ist, Contain oder zur Wiederherstellung der Konfiguration, wenn die Aktion aktiviert istRestore. Beachten Sie, dass in Ihrem Konto ein neuer Bucket mit dem Namen erstellt wird, wenn die angegebene Aktion aktiviert ist Contain und das Runbook nicht auf den Bucket zugreifen kann oder kein Wert angegeben wird. awssupport-containiamprincipal-<random-string> Wenn auf true diesen Parameter gesetzt DryRun ist, ist dies erforderlich.
  - Typ: AWS::S3::Bucket::Name
- BackupS3KeyName (Befristet):
  - Beschreibung: (Befristet) Wenn Action auf gesetzt istRestore, gibt dies den Amazon Amazon S3-Schlüssel an, den die Automatisierung verwendet, um zu versuchen, die IAM-Prinzipalkonfiguration wiederherzustellen. Der Amazon S3-Schlüssel folgt normalerweise diesem Format:{year}/{month}/{day}/{hour}/{minute}/{automation_execution_id}.json. Der Schlüssel kann aus der Ausgabe einer früheren Ausführung der Eindämmungsautomatisierung abgerufen werden.
  - Typ: Zeichenfolge
  - Zulässiges Muster: ^[a-zA-Z0-9\\.\\-_\\\\!*'()/]{0,1024}$
- BackupS3BucketAccess(Befristet):
  - Beschreibung: (Befristet) Die ARN der IAM-Benutzer oder -Rollen, denen nach Ausführung der Eindämmungsmaßnahmen der Zugriff auf den Amazon S3-Backup-Bucket gewährt wird. Dieser Parameter ist erforderlich, wenn Action lautet. Contain Der Benutzer oder AutomationAssumeRole, falls er nicht vorhanden ist, der Benutzer, in dessen Kontext die Automatisierung ausgeführt wird, wird automatisch zur Liste hinzugefügt.
  - Typ: StringList
  - Zulässiges Muster: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::[0-9]{12}:(role|user)\\/[\\w+\\/=,.@-]+$
- TagIdentifier (Fakultativ):
  - Beschreibung: (Optional) Markieren Sie den IAM-Principal mit einem Tag Ihrer Wahl im folgenden Format:Key=<EXAMPLE_KEY>,Value=<EXAMPLE_VALUE>. Mit dieser Option können Sie die IAM-Principals verfolgen, auf die dieses Runbook abzielt. Hinweis: Bei Tag-Schlüsseln und -Werten wird zwischen Groß- und Kleinschreibung unterschieden.
  - Typ: Zeichenfolge
  - Zulässiges Muster: ^$|^[Kk][Ee][Yy]=[\\+\\-\\=\\.\\_\\:\\/@a-zA-Z0-9]{1,128},[Vv][Aa][Ll][Uu][Ee]=[\\+\\-\\=\\.\\_\\:\\/@a-zA-Z0-9]{0,128}$
Wählen Sie Ausführen aus.
Die Automatisierung wird initiiert.
Das Dokument führt die folgenden Schritte aus:
- ValidateRequiredInputs
  
  Validiert die erforderlichen Eingabeparameter für die Automatisierung auf der Grundlage der Action angegebenen Parameter.
- CheckBackupS3BucketName
  
  Prüft, ob der Amazon S3-Ziel-Bucket potenziell read oder write öffentlich Zugriff auf seine Objekte gewährt. Im Falle eines Containment-Workflows wird ein neuer Amazon Amazon S3-Bucket erstellt, falls der BackupS3BucketName Bucket nicht existiert.
- BranchOnAction
  
  Verzweigt die Automatisierung auf der Grundlage des angegebenen Action Werts.
- BranchOnPrincipalTypeAndDryRun
  
  Verzweigt die Automatisierung basierend auf dem Typ des IAM-Prinzipals (IAM-Benutzer, IAM-Rolle oder Identity Center-Benutzer) und ob sie im Modus ausgeführt wird. DryRun
- BranchOnPrincipalTypeForContain
  
  Verzweigt die Automatisierung für die Contain Aktion und den in der Eingabe angegebenen IAM-Prinzipaltyp (IAM-Benutzer, IAM-Rolle oder Identity Center-Benutzer).
- Holen Sie sich einen IAM-Benutzer
  
  Ruft die Erstellungszeit und den Benutzernamen des IAM-Zielbenutzers ab.
- GetIAMUserDetails
  
  Ruft die Konfiguration des IAM-Zielbenutzers ab und speichert sie, einschließlich Inline-Richtlinien, verwalteter Richtlinien, Zugriffsschlüssel, MFA-Geräte und Anmeldeprofile.
- UpdateS3KeyForUser
  
  Aktualisiert die Automatisierungsvariable 'S3Key' anhand der Ausgabe des Schritts. GetIAMUserDetails
- Holen Sie sich IAMRole
  
  Ruft die Erstellungszeit, den Rollennamen und den Pfad der Ziel-IAM-Rolle ab.
- GetIAMRoleDetails
  
  Ruft die Konfiguration der IAM-Zielrolle ab und speichert sie, einschließlich integrierter Richtlinien und verwalteter Richtlinien, die der Rolle zugeordnet sind.
- UpdateS3KeyForRole
  
  Aktualisiert die Automatisierungsvariable 'S3Key' anhand der Ausgabe des Schritts. GetIAMRoleDetails
- GetIdentityStoreId
  
  Ruft die ID der AWS IAM Identity Center-Instanz ab, die dem Konto zugeordnet ist. AWS
- getIDCUser
  
  Ruft die Benutzer-ID des Identity Center-Zielbenutzers mithilfe der Identity Store-ID ab.
- GatherIDCUserDetails
  
  Ruft die Konfiguration des Identity Center-Zielbenutzers ab und speichert sie, einschließlich Kontozuweisungen, zugehörigen Berechtigungssätzen und integrierten Richtlinien.
- UpdateS3KeyForIDCUser
  
  Aktualisiert die Automatisierungsvariable 'S3Key' anhand der Ausgabe des Schritts. GatherIDCUserDetails
- BranchOnIdentityContain
  
  Verzweigt die Automatisierung auf der Grundlage des Werts DryRun und des IAM-Prinzipaltyps für die Aktion. Contain
- BranchOnDisableAccessKeys
  
  Verzweigt die Automatisierung je nachdem, ob der IAM-Benutzer über Zugriffsschlüssel verfügt, die deaktiviert werden müssen.
- DisableAccessKeys
  
  Deaktiviert die aktiven IAM-Benutzerzugriffsschlüssel.
- BranchOnDisableConsoleAccess
  
  Verzweigungen hängen davon ab, ob für den IAM-Benutzer der Zugriff auf die AWS Managementkonsole aktiviert ist oder nicht.
- DisableConsoleAccess
  
  Entfernt den kennwortbasierten Zugriff des IAM-Benutzers auf die Management Console. AWS
- AttachInlineDenyPolicyToUser
  
  Hängt dem IAM-Benutzer eine Ablehnungsrichtlinie an, um die Berechtigungen für ältere Sitzungstoken zu entziehen.
- AttachInlineDenyPolicyToRole
  
  Hängt der IAM-Rolle eine Ablehnungsrichtlinie an, um Berechtigungen für ältere Sitzungstoken zu entziehen.
- RemovePermissionSets
  
  Entfernt Berechtigungssätze, die dem Identity Center-Benutzer zugeordnet sind.
- RemoveIDCUserFromIDCGroups
  
  Entfernt den Identity Center-Benutzer aus den Identity Center-Gruppen.
- AttachInlineDenyPolicyToPermissionSet
  
  Hängt den Berechtigungssätzen, die dem Identity Center-Benutzer zugeordnet sind, eine Ablehnungsrichtlinie an.
- BranchOnReactivateKeys
  
  Verzweigt die Automatisierung während des Wiederherstellungsvorgangs auf der Grundlage des ActivateDisabledKeys Parameters.
- DetachInlineDenyPolicy
  
  Entfernt die Ablehnungsrichtlinie, die der IAM-Rolle während des Eindämmungsprozesses zugewiesen wurde.
- DetachInlineDenyPolicyFromPermissionSet
  
  Entfernt die Ablehnungsrichtlinie, die während des Eindämmungsprozesses an die Berechtigungssätze angehängt wurde.
- ReportContain
  
  Gibt detaillierte Informationen über die Eindämmungsaktionen aus, die ausgeführt würden, wenn der Wert auf gesetzt DryRun ist. True
- ReportRestore
  
  Gibt detaillierte Informationen über die Wiederherstellungsaktionen aus, die ausgeführt würden, wenn der Wert auf True gesetzt DryRun ist.
- ReportContainFailure
  
  Enthält umfassende Anweisungen zur manuellen Wiederherstellung der ursprünglichen Konfiguration des IAM-Principals bei einem Ausfall des Containment-Workflows.
- ReportRestoreFailure
  
  Enthält detaillierte Anweisungen zum manuellen Abschließen der Wiederherstellung der ursprünglichen Konfiguration des IAM-Prinzipals während eines Ausfallszenarios für den Wiederherstellungs-Workflow.
Nach Abschluss der Ausführung finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse der Ausführung:
- ContainIAMPrincipal.Output
  
  Enthält detaillierte Informationen zu den Eindämmungsaktionen, die ausgeführt werden, wenn Action auf Contain und auf False gesetzt DryRun ist. Enthält Informationen über den Speicherort des Backups, angewandte Ablehnungsrichtlinien und geänderte Konfigurationen.
- RestoreIAMPrincipal.Output
  
  Enthält detaillierte Informationen zu den Wiederherstellungsaktionen, die ausgeführt werden, wenn Aktion auf Wiederherstellen und auf False gesetzt DryRun ist. Enthält Informationen zu den wiederhergestellten Konfigurationen und zu allen Problemen, die bei der Wiederherstellung aufgetreten sind.
- ReportContain.Output
  
  Gibt detaillierte Informationen zu den Eindämmungsaktionen aus, die ausgeführt würden, wenn Action auf Contain und auf True gesetzt DryRun ist. Beinhaltet einen Vergleich der aktuellen Konfigurationen und der Konfigurationen nach der Eindämmung.
- ReportRestore.Output
  
  Gibt detaillierte Informationen zu den Wiederherstellungsaktionen aus, die ausgeführt würden, wenn Action auf Restore und auf True gesetzt DryRun ist. Zeigt die aktuelle Konfiguration und die ursprüngliche Konfiguration an, die wiederhergestellt werden würde.
- ReportContainFailure.Output
  
  Enthält umfassende Anweisungen zur manuellen Wiederherstellung der ursprünglichen Konfiguration des IAM-Principals bei einem Ausfall des Containment-Workflows.
- ReportRestoreFailure.Output
  
  Enthält detaillierte Anweisungen zum manuellen Abschließen der Wiederherstellung der ursprünglichen Konfiguration des IAM-Prinzipals während eines Ausfallszenarios für den Wiederherstellungs-Workflow.

Ausgaben

Nach Abschluss der Ausführung finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse:

ContainIAMPrincipal.Output

Enthält detaillierte Informationen zu den Eindämmungsaktionen, die ausgeführt werden, wenn Action auf Contain und auf False gesetzt DryRun ist. Enthält Informationen über den Speicherort des Backups, angewandte Ablehnungsrichtlinien und geänderte Konfigurationen.
RestoreIAMPrincipal.Output

Enthält detaillierte Informationen zu den Wiederherstellungsaktionen, die ausgeführt werden, wenn Aktion auf Wiederherstellen und auf False gesetzt DryRun ist. Enthält Informationen zu den wiederhergestellten Konfigurationen und zu allen Problemen, die bei der Wiederherstellung aufgetreten sind.
ReportContain.Output

Gibt detaillierte Informationen zu den Eindämmungsaktionen aus, die ausgeführt würden, wenn Action auf Contain und auf True gesetzt DryRun ist. Beinhaltet einen Vergleich der aktuellen Konfigurationen und der Konfigurationen nach der Eindämmung.
ReportRestore.Output

Gibt detaillierte Informationen zu den Wiederherstellungsaktionen aus, die ausgeführt würden, wenn Action auf Restore und auf True gesetzt DryRun ist. Zeigt die aktuelle Konfiguration und die ursprüngliche Konfiguration an, die wiederhergestellt werden würde.
ReportContainFailure.Output

Enthält umfassende Anweisungen zur manuellen Wiederherstellung der ursprünglichen Konfiguration des IAM-Prinzipals während eines Ausfallszenarios für den Containment-Workflow.
ReportRestoreFailure.Output

Enthält detaillierte Anweisungen zum manuellen Abschließen der Wiederherstellung der ursprünglichen Konfiguration des IAM-Prinzipals während eines Ausfallszenarios für den Wiederherstellungs-Workflow.

Referenzen

Systems Manager Automation

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWSConfigRemediation-SetIAMPasswordPolicy

AWSSupport-TroubleshootSAMLIssues