`AWSSupport-TroubleshootIAMAccessDeniedEvents`

Descripción

El manual de AWSSupport-TroubleshootIAMAccessDeniedEvents automatización ayuda a solucionar problemas de acceso AWS Identity and Access Management denegado (IAM). El manual consulta los eventos recientes CloudTrail de denegación de acceso relacionados con la entidad de IAM y AWS la fuente de eventos de servicio especificadas. Analiza los eventos dentro de un intervalo de tiempo configurable de hasta 24 horas y procesa hasta 10 eventos por ejecución. Cada evento de acceso denegado identificado se examina para ayudar a comprender el contexto de la denegación y los intentos de acción. La automatización analiza las políticas de IAM basadas en la identidad y en los recursos. En el caso de las políticas basadas en la identidad, examina las políticas en línea y administradas asociadas a la entidad de IAM. En el caso de las políticas basadas en recursos, evalúa las políticas de varios AWS servicios, incluidos Amazon Simple Storage Service AWS Key Management Service (Amazon S3 AWS KMS), () AWS Lambda, Amazon Simple Notification Service (Amazon SNS), Amazon Elastic AWS Container Registry (Amazon ECR) CodeArtifact, Amazon API Gateway, Amazon Elastic File System (Amazon EFS), Amazon Simple Queue Service (Amazon SQS) AWS Cloud9, Amazon OpenSearch Service AWS Serverless Application Repository, Signer y AWS Secrets Manager.

El manual utiliza las capacidades de simulación de políticas de IAM para evaluar estas políticas en comparación con las acciones denegadas que se encuentran en los CloudTrail eventos. El manual aprovecha las capacidades de simulación de políticas de IAM, tanto SimulatePrincipalPolicy para los usuarios de IAM como para las funciones de IAM, a fin de evaluar estas políticas comparándolas con las acciones denegadas detectadas en los eventos. SimulateCustomPolicy CloudTrail La automatización genera un informe que ayuda a identificar las acciones específicas que se denegaron, diferenciando entre las denegaciones implícitas y explícitas, enumerando las políticas responsables de las denegaciones de acceso y explicando cada una de ellas. El informe también sugiere posibles soluciones, como identificar las declaraciones de autorización que faltan o las declaraciones de denegación contradictorias

¿Cómo funciona?

El manual lleva a cabo los siguientes pasos:

Describe y valida RequesterARN (rol o usuario) para obtener información como el tipo de entidad de IAM y el identificador de IAM.
Obtiene los CloudTrail eventos asociados al y RequesterARNEventSource, si se proporciona. ResourceARN
Analiza los CloudTrail eventos para obtener la acción que se llevó a cabo cuando se produjo el error de acceso denegado y, a continuación, examina todas las políticas de IAM, como las políticas integradas y administradas asociadas a la entidad de IAM, así como las políticas basadas en los recursos. A continuación, simula estas políticas comparándolas con las acciones detectadas en los errores de acceso denegado de los CloudTrail eventos en cuestión para determinar la causa del error.
Genera un informe en el que se determina el tipo de error de acceso denegado, las políticas responsables de los errores y se ofrecen sugerencias para una posible solución al error.

Ejecuta esta automatización (consola)

Tipo de documento

Automatización

Propietario

Amazon

Plataformas

Permisos de IAM necesarios

El parámetro AutomationAssumeRole requiere las siguientes acciones para utilizar el manual de procedimientos correctamente.

apigateway:GetRestApis
cloudtrail:LookupEvents
cloud9:GetEnvironment
codeartifact:GetRepositoryPermissionsPolicy
ecr:GetRepositoryPolicy
elasticfilesystem:GetFileSystemPolicy
es:DescribeDomain
iam:GetPolicy
iam:GetPolicyVersion
iam:GetRole
iam:GetRolePolicy
iam:GetUser
iam:GetUserPolicy
iam:ListAttachedRolePolicies
iam:ListAttachedUserPolicies
iam:ListRolePolicies
iam:ListUserPolicies
iam:SimulatePrincipalPolicy
iam:SimulateCustomPolicy
kms:GetKeyPolicy
lambda:GetPolicy
secretsmanager:GetResourcePolicy
serverlessrepo:GetApplication
signer:GetSigningProfile
sns:GetTopicAttributes
ssm:StartAutomationExecution
ssm:StopAutomationExecution
sqs:GetQueueAttributes
s3:GetBucketPolicy

Ejemplo de política:

JSON



        {
            "Version":"2012-10-17",
            "Statement": [
                {
                    "Action": [
                        "iam:GetUser",
                        "iam:GetRole",
                        "iam:SimulatePrincipalPolicy",
                        "iam:ListUserPolicies",
                        "iam:ListRolePolicies",
                        "iam:GetRolePolicy",
                        "iam:ListAttachedRolePolicies",
                        "iam:GetPolicy",
                        "iam:GetUserPolicy",
                        "iam:GetPolicyVersion",
                        "iam:ListAttachedUserPolicies",
                        "ssm:StartAutomationExecution",
                        "ssm:StopAutomationExecution",
                        "cloudtrail:LookupEvents",
                        "iam:SimulateCustomPolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                },
                {
                    "Action": [
                        "s3:GetBucketPolicy",
                        "kms:GetKeyPolicy",
                        "lambda:GetPolicy",
                        "sns:GetTopicAttributes",
                        "ecr:GetRepositoryPolicy",
                        "apigateway:GET",
                        "codeartifact:GetRepositoryPermissionsPolicy",
                        "elasticfilesystem:DescribeFileSystemPolicy",
                        "sqs:GetQueueAttributes",
                        "cloud9:DescribeEnvironmentStatus",
                        "es:DescribeDomain",
                        "signer:GetSigningProfile",
                        "serverlessrepo:GetApplication",
                        "secretsmanager:GetResourcePolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                }
            ]
        }

Instrucciones

Siga estos pasos para configurar la automatización:

Navegue hasta AWSSupport-TroubleshootIAMAccessDeniedEvents el Administrador de Sistemas, en la sección Documentos.
Elija Execute automation (Ejecutar automatización).
Para los parámetros de entrada, introduzca lo siguiente:
- AutomationAssumeRole (Opcional):
  - Descripción: (opcional) El nombre de recurso de Amazon (ARN) del rol AWS Identity and Access Management (IAM) que permite a SSM Automation realizar las acciones en tu nombre. El rol debe añadirse a la entrada de acceso al clúster de Amazon EKS o al permiso de RBAC para permitir las llamadas a la API de Kubernetes.
  - Tipo: AWS::IAM::Role::Arn
- RequesterARN (obligatorio):
  - Descripción: (Obligatorio) El ARN del usuario o rol de IAM para el que desea investigar los permisos de acceso a un recurso específico. AWS
  - Tipo: String
  - Patrón de permisos: ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::[0-9]{12}:(role|user)\\/[\\w+\\/=,.@-]+$
- ResourceARN (opcional):
  - Descripción: (opcional) El ARN del recurso para AWS el que se evalúa el acceso denegado. El recurso de AWS destino debe existir en la misma región en la que se ejecuta el manual de automatización.
  - Tipo: String
  - Patrón permitido: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):([a-zA-Z0-9\\-]{1,63}):([a-z0-9\\-]{0,63})?:(\\d{12})?:([a-zA-Z0-9\\-_/:.]{1,1024})$
- EventSource (Obligatorio):
  - Descripción: (Obligatorio) El punto de enlace de la API de Amazon en el que se originó el CloudTrail evento. Por ejemplo: s3.amazonaws.com.
  - Tipo: String
  - Patrón permitido: ^([a-zA-Z0-9.-]+)\\.amazonaws\\.com$
- EventName (Opcional):
  - Descripción: (opcional) El nombre de la acción de la API de Amazon asociada al CloudTrail evento. Por ejemplo: s3:CreateBucket.
  - Tipo: String
  - Patrón de permisos: ^$|^[a-z0-9]+:[A-Za-z0-9]+$
- LookBackHours (Opcional):
  - Descripción: (Opcional) El número de horas que se tarda en revisar los CloudTrail eventos al Access Denied buscarlos. Intervalo válido: 1 de a 24 horas.
  - Tipo: entero
  - Patrón permitido: ^([1-9]|1[0-9]|2[0-4])$
  - Predeterminado: 12
- MaxEvents (Opcional):
  - Descripción: (Opcional) El número máximo de CloudTrail Access Denied eventos que se devuelven al buscar eventos. Intervalo válido: 1 hasta 5 eventos.
  - Tipo: entero
  - Patrón permitido: ^([1-9]|1[0-9]|2[0-4])$
  - Predeterminado: 3
- UseContextEntries (Opcional):
  - Descripción: (Opcional) Si lo especificastrue, la automatización extrae del CloudTrail evento los detalles sobre el contexto de la solicitud de API y los incluye en la simulación de políticas de IAM.
  - Tipo: Booleano
  - Patrón permitido: ^([1-9]|1[0-9]|2[0-4])$
  - Predeterminado: 3
Seleccione Ejecutar.
Se inicia la automatización.
Este documento realiza los siguientes pasos:
- ValidateRequesterArn
  
  Valida y deconstruye el RequesterArn ARN y recupera información sobre el usuario o rol de IAM de destino.
- GetCloudTrailEventsWithAccessDeniedError
  
  Consulta los CloudTrail Access Denied eventos recientes relacionados con la entidad y el servicio de IAM especificados. AWS EventSource
- EvaluateIAMRequesterPolicies
  
  Evalúa los permisos de IAM de la entidad de IAM solicitante comparándolos con las acciones de los eventos. CloudTrail Esta evaluación incluye el análisis de las políticas basadas en la identidad y en los recursos asociadas al solicitante. La automatización utiliza las capacidades de simulación de políticas de IAM para evaluar estas políticas en el contexto de las acciones denegadas identificadas en los eventos. CloudTrail
Una vez finalizada, revise la sección Resultados para ver los resultados detallados de la ejecución:
- PermissionEvaluationResults
  
  Genera un informe que ayuda a identificar las acciones específicas que se denegaron, diferenciando entre denegaciones implícitas y explícitas. También enumera las políticas responsables de las denegaciones de acceso y proporciona explicaciones para cada denegación. El informe también sugiere posibles soluciones, como identificar las declaraciones de autorización que faltan o las declaraciones de denegación contradictorias

Referencias

Automatización de Systems Manager

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

IAM

AWS-AttachIAMToInstance