`AWSSupport-TroubleshootIAMAccessDeniedEvents`

Beschreibung

Das AWSSupport-TroubleshootIAMAccessDeniedEvents Automatisierungs-Runbook hilft bei der Behebung von Problemen mit AWS Identity and Access Management Zugriffsverweigerungen (IAM). Das Runbook fragt CloudTrail nach aktuellen Ereignissen mit verweigertem Zugriff im Zusammenhang mit der angegebenen IAM-Entität und AWS der Dienstereignisquelle ab. Es analysiert Ereignisse innerhalb eines konfigurierbaren Zeitfensters von bis zu 24 Stunden und verarbeitet bis zu 10 Ereignisse pro Ausführung. Jedes identifizierte Ereignis, bei dem der Zugriff verweigert wurde, wird untersucht, um den Kontext der Verweigerung und der versuchten Aktionen besser zu verstehen. Die Automatisierung analysiert sowohl identitätsbasierte als auch ressourcenbasierte IAM-Richtlinien. Bei identitätsbasierten Richtlinien werden integrierte und verwaltete Richtlinien untersucht, die der IAM-Entität zugeordnet sind. Bei ressourcenbasierten Richtlinien werden Richtlinien für mehrere AWS Dienste ausgewertet, darunter Amazon Simple Storage Service (Amazon S3), AWS Key Management Service (AWS KMS) AWS Lambda, Amazon Simple Notification Service (Amazon SNS), Amazon Elastic Container Registry (Amazon ECR), Amazon API Gateway CodeArtifact, Amazon Elastic File System (Amazon EFS), Amazon Simple Queue Service (Amazon SQS) AWS Cloud9, Amazon OpenSearch Service AWS Serverless Application Repository, AWS Signer und AWS Secrets Manager.

Das Runbook verwendet Funktionen zur Simulation von IAM-Richtlinien, um diese Richtlinien anhand der in den CloudTrail Ereignissen festgestellten abgelehnten Aktionen zu bewerten. Das Runbook nutzt die Funktionen von IAM zur Richtliniensimulation sowohl SimulatePrincipalPolicy für IAM-Benutzer als auch für IAM-Rollen, um diese Richtlinien anhand der in den Ereignissen festgestellten abgelehnten Aktionen zu bewerten. SimulateCustomPolicy CloudTrail Die Automatisierung gibt einen Bericht aus, der dabei hilft, die spezifischen Aktionen zu identifizieren, die verweigert wurden. Dabei wird zwischen impliziten und expliziten Verweigerungen unterschieden, die für Zugriffsverweigerungen verantwortlichen Richtlinien aufgeführt und Erklärungen für jede Verweigerung bereitgestellt. Der Bericht schlägt auch mögliche Lösungen vor, z. B. die Identifizierung fehlender Zulassungsanweisungen oder widersprüchlicher Verweigerungsanweisungen

Wie funktioniert das?

Das Runbook führt die folgenden Schritte aus:

Beschreibt und validiert RequesterARN (Rolle oder Benutzer), um Informationen wie den IAM-Entitätstyp und die IAM-ID abzurufen.
Ruft CloudTrail Ereignisse ab, die mit, und verknüpft sind RequesterARNEventSource, falls angegeben. ResourceARN
Analysiert die CloudTrail Ereignisse, um die Aktion abzurufen, die ausgeführt wurde, als der Fehler „Zugriff verweigert“ zurückgegeben wurde, und untersucht anschließend alle IAM-Richtlinien, z. B. eingebettete und verwaltete Richtlinien, die der IAM-Entität zugeordnet sind, sowie ressourcenbasierte Richtlinien. Anschließend werden diese Richtlinien anhand der Aktionen simuliert, die in den Fehlern „Zugriff verweigert“ aus den betreffenden CloudTrail Ereignissen gefunden wurden, um die Ursache des Fehlers zu ermitteln.
Gibt einen Bericht aus, in dem die Art des Fehlers „Zugriff verweigert“ und die für die Fehler verantwortlichen Richtlinien ermittelt werden. Außerdem werden Vorschläge für eine mögliche Lösung des Fehlers unterbreitet.

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

apigateway:GetRestApis
cloudtrail:LookupEvents
cloud9:GetEnvironment
codeartifact:GetRepositoryPermissionsPolicy
ecr:GetRepositoryPolicy
elasticfilesystem:GetFileSystemPolicy
es:DescribeDomain
iam:GetPolicy
iam:GetPolicyVersion
iam:GetRole
iam:GetRolePolicy
iam:GetUser
iam:GetUserPolicy
iam:ListAttachedRolePolicies
iam:ListAttachedUserPolicies
iam:ListRolePolicies
iam:ListUserPolicies
iam:SimulatePrincipalPolicy
iam:SimulateCustomPolicy
kms:GetKeyPolicy
lambda:GetPolicy
secretsmanager:GetResourcePolicy
serverlessrepo:GetApplication
signer:GetSigningProfile
sns:GetTopicAttributes
ssm:StartAutomationExecution
ssm:StopAutomationExecution
sqs:GetQueueAttributes
s3:GetBucketPolicy

Beispiel für eine Richtlinie:

JSON



        {
            "Version":"2012-10-17",
            "Statement": [
                {
                    "Action": [
                        "iam:GetUser",
                        "iam:GetRole",
                        "iam:SimulatePrincipalPolicy",
                        "iam:ListUserPolicies",
                        "iam:ListRolePolicies",
                        "iam:GetRolePolicy",
                        "iam:ListAttachedRolePolicies",
                        "iam:GetPolicy",
                        "iam:GetUserPolicy",
                        "iam:GetPolicyVersion",
                        "iam:ListAttachedUserPolicies",
                        "ssm:StartAutomationExecution",
                        "ssm:StopAutomationExecution",
                        "cloudtrail:LookupEvents",
                        "iam:SimulateCustomPolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                },
                {
                    "Action": [
                        "s3:GetBucketPolicy",
                        "kms:GetKeyPolicy",
                        "lambda:GetPolicy",
                        "sns:GetTopicAttributes",
                        "ecr:GetRepositoryPolicy",
                        "apigateway:GET",
                        "codeartifact:GetRepositoryPermissionsPolicy",
                        "elasticfilesystem:DescribeFileSystemPolicy",
                        "sqs:GetQueueAttributes",
                        "cloud9:DescribeEnvironmentStatus",
                        "es:DescribeDomain",
                        "signer:GetSigningProfile",
                        "serverlessrepo:GetApplication",
                        "secretsmanager:GetResourcePolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                }
            ]
        }

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

Navigieren Sie AWSSupport-TroubleshootIAMAccessDeniedEvents im Systems Manager unter Dokumente zu.
Wählen Sie Execute automation (Automatisierung ausführen).
Geben Sie für die Eingabeparameter Folgendes ein:
- AutomationAssumeRole (Fakultativ):
  - Beschreibung: (Optional) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es SSM Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen. Die Rolle muss Ihrem Amazon EKS-Clusterzugriffseintrag oder Ihrer RBAC-Berechtigung hinzugefügt werden, um Kubernetes-API-Aufrufe zuzulassen.
  - Typ: AWS::IAM::Role::Arn
- RequestErarn (erforderlich):
  - Beschreibung: (Erforderlich) Der ARN des IAM-Benutzers oder der IAM-Rolle, für den Sie die Zugriffsberechtigungen für eine bestimmte Ressource untersuchen möchten. AWS
  - Typ: String
  - Muster zulassen: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::[0-9]{12}:(role|user)\\/[\\w+\\/=,.@-]+$
- ResourceArn (optional):
  - Beschreibung: (Optional) Der ARN der Ressource, für AWS die der verweigerte Zugriff ausgewertet wird. Die AWS Zielressource sollte in derselben Region existieren, in der das Automatisierungs-Runbook ausgeführt wird.
  - Typ: String
  - Muster zulassen: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):([a-zA-Z0-9\\-]{1,63}):([a-z0-9\\-]{0,63})?:(\\d{12})?:([a-zA-Z0-9\\-_/:.]{1,1024})$
- EventSource (Erforderlich):
  - Beschreibung: (Erforderlich) Der Amazon-API-Endpunkt, an dem das CloudTrail Ereignis seinen Ursprung hat. Beispiel: s3.amazonaws.com.
  - Typ: String
  - Muster zulassen: ^([a-zA-Z0-9.-]+)\\.amazonaws\\.com$
- EventName (Fakultativ):
  - Beschreibung: (Optional) Der Amazon-API-Aktionsname, der dem CloudTrail Ereignis zugeordnet ist. Beispiel: s3:CreateBucket.
  - Typ: String
  - Muster zulassen: ^$|^[a-z0-9]+:[A-Za-z0-9]+$
- LookBackHours (Fakultativ):
  - Beschreibung: (Optional) Die Anzahl der Stunden, für die bei der Suche Access Denied nach CloudTrail Ereignissen die Ereignisse berücksichtigt werden müssen. Gültiger Bereich: 1 bis 24 Stunden.
  - Typ: Ganzzahl
  - Muster zulassen: ^([1-9]|1[0-9]|2[0-4])$
  - Standard: 12
- MaxEvents (Fakultativ):
  - Beschreibung: (Optional) Die maximale Anzahl von CloudTrail Access Denied Ereignissen, die bei der Suche nach Ereignissen zurückgegeben werden. Gültiger Bereich: 1 bis 5 Ereignisse.
  - Typ: Ganzzahl
  - Muster zulassen: ^([1-9]|1[0-9]|2[0-4])$
  - Standard: 3
- UseContextEntries (Fakultativ):
  - Beschreibung: (Optional) Wenn Sie angebentrue, extrahiert die Automatisierung Details über den Kontext der API-Anforderung aus dem CloudTrail Ereignis und bezieht sie in die IAM-Richtliniensimulation ein.
  - Typ: Boolescher Wert
  - Muster zulassen: ^([1-9]|1[0-9]|2[0-4])$
  - Standard: 3
Wählen Sie Ausführen aus.
Die Automatisierung wird initiiert.
Das Dokument führt die folgenden Schritte aus:
- ValidateRequesterArn
  
  Validiert und dekonstruiert den RequesterArn ARN und ruft Informationen über den IAM-Zielbenutzer oder die IAM-Rolle ab.
- GetCloudTrailEventsWithAccessDeniedError
  
  Fragt die CloudTrail Ereignisse auf aktuelle Access Denied Ereignisse im Zusammenhang mit der angegebenen IAM-Entität und dem angegebenen IAM-Dienst ab. AWS EventSource
- EvaluateIAMRequesterPolicies
  
  Wertet die IAM-Berechtigungen der IAM-Entität des Anforderers anhand der Aktionen aus Ereignissen aus. CloudTrail Diese Bewertung umfasst die Analyse sowohl identitätsbasierter als auch ressourcenbasierter Richtlinien, die dem Anforderer zugeordnet sind. Die Automatisierung nutzt die Funktionen von IAM zur Richtliniensimulation, um diese Richtlinien im Zusammenhang mit den in den Ereignissen identifizierten abgelehnten Aktionen zu bewerten. CloudTrail
Nach Abschluss des Vorgangs finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse der Ausführung:
- PermissionEvaluationResults
  
  Gibt einen Bericht aus, der hilft, die spezifischen Aktionen zu identifizieren, die verweigert wurden, wobei zwischen impliziten und expliziten Ablehnungen unterschieden wird. Außerdem werden die Richtlinien aufgeführt, die für Zugriffsverweigerungen verantwortlich sind, und es werden Erklärungen für jede Verweigerung bereitgestellt. Der Bericht schlägt auch mögliche Lösungen vor, z. B. die Identifizierung fehlender Zulassungsanweisungen oder widersprüchlicher Verweigerungsanweisungen

Referenzen

Systems Manager Automation

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

IAM

AWS-AttachIAMToInstance