`AWSSupport-TroubleshootIAMAccessDeniedEvents`

Description

Le runbook AWSSupport-TroubleshootIAMAccessDeniedEvents d'automatisation permet de résoudre les problèmes d'accès refusé Gestion des identités et des accès AWS (IAM). Le runbook interroge les récents événements CloudTrail de refus d'accès liés à l'entité IAM et à la source d'événements de AWS service spécifiées. Il analyse les événements dans une fenêtre de temps configurable pouvant aller jusqu'à 24 heures, en traitant jusqu'à 10 événements par exécution. Chaque événement de refus d'accès identifié est examiné pour aider à comprendre le contexte du refus et les actions tentées. L'automatisation analyse les politiques IAM basées sur l'identité et les ressources. Pour les politiques basées sur l'identité, il examine les politiques en ligne et gérées associées à l'entité IAM. Pour les politiques basées sur les ressources, il évalue les politiques de plusieurs AWS services, notamment Amazon Simple Storage Service (Amazon S3), AWS Key Management Service (AWS KMS) AWS Lambda, Amazon Simple Notification Service (Amazon SNS), Amazon Elastic Container Registry (Amazon ECR), Amazon API Gateway CodeArtifact, Amazon Elastic File System (Amazon EFS), Amazon Simple Queue Service (Amazon SQS), Amazon OpenSearch Service AWS Cloud9, Signer et. AWS AWS Serverless Application Repository AWS Secrets Manager

Le runbook utilise les fonctionnalités de simulation des politiques IAM pour évaluer ces politiques par rapport aux actions refusées détectées lors des événements. CloudTrail Le runbook exploite les capacités de simulation des politiques d'IAM, à la fois SimulatePrincipalPolicy pour les utilisateurs IAM et SimulateCustomPolicy pour les rôles IAM, afin d'évaluer ces politiques par rapport aux actions refusées détectées lors des événements. CloudTrail L'automatisation génère un rapport qui permet d'identifier les actions spécifiques qui ont été refusées, en faisant la distinction entre les refus implicites et explicites, en répertoriant les politiques responsables des refus d'accès et en fournissant des explications pour chaque refus. Le rapport propose également des solutions potentielles, telles que l'identification des instructions d'autorisation manquantes ou des déclarations de refus contradictoires

Fonctionnement

Le runbook exécute les étapes suivantes :

Décrit et valide RequesterARN (rôle ou utilisateur) pour obtenir des informations telles que le type d'entité IAM et l'ID IAM.
Récupère les CloudTrail événements associés à RequesterARNEventSource, et ResourceARN s'ils sont fournis.
Analyse les CloudTrail événements pour obtenir l'action qui a été exécutée lorsque l'erreur Accès refusé a été renvoyée, puis examine toutes les politiques IAM, telles que les politiques intégrées et gérées associées à l'entité IAM, ainsi que les politiques basées sur les ressources. Il simule ensuite ces politiques par rapport aux actions détectées dans les erreurs Accès refusé à partir des CloudTrail événements en question afin de déterminer la cause de l'erreur.
Génère un rapport déterminant le type d'erreur d'accès refusé, les politiques responsables des erreurs et propose des suggestions pour une solution potentielle à l'erreur.

Exécutez cette automatisation (console)

Type de document

Automatisation

Propriétaire

Amazon

Plateformes

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite les actions suivantes pour utiliser correctement le runbook.

apigateway:GetRestApis
cloudtrail:LookupEvents
cloud9:GetEnvironment
codeartifact:GetRepositoryPermissionsPolicy
ecr:GetRepositoryPolicy
elasticfilesystem:GetFileSystemPolicy
es:DescribeDomain
iam:GetPolicy
iam:GetPolicyVersion
iam:GetRole
iam:GetRolePolicy
iam:GetUser
iam:GetUserPolicy
iam:ListAttachedRolePolicies
iam:ListAttachedUserPolicies
iam:ListRolePolicies
iam:ListUserPolicies
iam:SimulatePrincipalPolicy
iam:SimulateCustomPolicy
kms:GetKeyPolicy
lambda:GetPolicy
secretsmanager:GetResourcePolicy
serverlessrepo:GetApplication
signer:GetSigningProfile
sns:GetTopicAttributes
ssm:StartAutomationExecution
ssm:StopAutomationExecution
sqs:GetQueueAttributes
s3:GetBucketPolicy

Exemple de politique :

JSON



        {
            "Version":"2012-10-17",
            "Statement": [
                {
                    "Action": [
                        "iam:GetUser",
                        "iam:GetRole",
                        "iam:SimulatePrincipalPolicy",
                        "iam:ListUserPolicies",
                        "iam:ListRolePolicies",
                        "iam:GetRolePolicy",
                        "iam:ListAttachedRolePolicies",
                        "iam:GetPolicy",
                        "iam:GetUserPolicy",
                        "iam:GetPolicyVersion",
                        "iam:ListAttachedUserPolicies",
                        "ssm:StartAutomationExecution",
                        "ssm:StopAutomationExecution",
                        "cloudtrail:LookupEvents",
                        "iam:SimulateCustomPolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                },
                {
                    "Action": [
                        "s3:GetBucketPolicy",
                        "kms:GetKeyPolicy",
                        "lambda:GetPolicy",
                        "sns:GetTopicAttributes",
                        "ecr:GetRepositoryPolicy",
                        "apigateway:GET",
                        "codeartifact:GetRepositoryPermissionsPolicy",
                        "elasticfilesystem:DescribeFileSystemPolicy",
                        "sqs:GetQueueAttributes",
                        "cloud9:DescribeEnvironmentStatus",
                        "es:DescribeDomain",
                        "signer:GetSigningProfile",
                        "serverlessrepo:GetApplication",
                        "secretsmanager:GetResourcePolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                }
            ]
        }

Instructions

Pour configurer l'automatisation, procédez comme suit :

Accédez à AWSSupport-TroubleshootIAMAccessDeniedEvents la section Documents dans Systems Manager.
Sélectionnez Execute automation (Exécuter l'automatisation).
Pour les paramètres d'entrée, entrez les informations suivantes :
- AutomationAssumeRole (Facultatif) :
  - Description : (Facultatif) Le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) qui permet à SSM Automation d'effectuer les actions en votre nom. Le rôle doit être ajouté à votre entrée d'accès au cluster Amazon EKS ou à votre autorisation RBAC pour autoriser les appels d'API Kubernetes.
  - Type : AWS::IAM::Role::Arn
- RequêteArn (obligatoire) :
  - Description : (Obligatoire) L'ARN de l'utilisateur ou du rôle IAM pour lequel vous souhaitez étudier les autorisations d'accès sur une AWS ressource spécifique.
  - Type : String
  - Autoriser le schéma : ^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::[0-9]{12}:(role|user)\\/[\\w+\\/=,.@-]+$
- ResourceArn (facultatif) :
  - Description : (Facultatif) L'ARN de AWS la ressource pour laquelle l'accès refusé est évalué. La ressource AWS cible doit exister dans la même région que celle où le runbook d'automatisation est exécuté.
  - Type : String
  - Autoriser le schéma : ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):([a-zA-Z0-9\\-]{1,63}):([a-z0-9\\-]{0,63})?:(\\d{12})?:([a-zA-Z0-9\\-_/:.]{1,1024})$
- EventSource (Obligatoire) :
  - Description : (Obligatoire) Point de terminaison de l'API Amazon d'où provient l' CloudTrailévénement. Par exemple : s3.amazonaws.com.
  - Type : String
  - Autoriser le schéma : ^([a-zA-Z0-9.-]+)\\.amazonaws\\.com$
- EventName (Facultatif) :
  - Description : (Facultatif) Le nom de l'action de l'API Amazon associée à l' CloudTrail événement. Par exemple : s3:CreateBucket.
  - Type : String
  - Autoriser le schéma : ^$|^[a-z0-9]+:[A-Za-z0-9]+$
- LookBackHours (Facultatif) :
  - Description : (Facultatif) Le nombre d'heures nécessaires pour consulter les CloudTrail événements lors de la recherche d'Access Deniedévénements. Plage de validité : 1 de 2 à 24 8 heures.
  - Type : Integer
  - Autoriser le schéma : ^([1-9]|1[0-9]|2[0-4])$
  - Par défaut : 12
- MaxEvents (Facultatif) :
  - Description : (Facultatif) Le nombre maximum d' CloudTrail Access Deniedévénements renvoyés lors de la recherche d'événements. Échelle valide : 1 jusqu'à 5 des événements.
  - Type : Integer
  - Autoriser le schéma : ^([1-9]|1[0-9]|2[0-4])$
  - Valeur par défaut : 3
- UseContextEntries (Facultatif) :
  - Description : (Facultatif) Si vous le spécifieztrue, l'automatisation extrait les détails relatifs au contexte de la demande d'API à partir de l' CloudTrail événement et les inclut pour la simulation de la politique IAM.
  - Type : Boolean
  - Autoriser le schéma : ^([1-9]|1[0-9]|2[0-4])$
  - Valeur par défaut : 3
Sélectionnez Exécuter.
L'automatisation démarre.
Le document exécute les étapes suivantes :
- ValidateRequesterArn
  
  Valide et déconstruit l'RequesterArnARN, en récupérant des informations sur l'utilisateur ou le rôle IAM cible.
- GetCloudTrailEventsWithAccessDeniedError
  
  Interroge les CloudTrail événements relatifs aux Access Denied événements récents liés à l'entité et au AWS service EventSource IAM spécifiés.
- EvaluateIAMRequesterPolicies
  
  Évalue les autorisations IAM de l'entité IAM demandeuse par rapport aux actions résultant d'événements. CloudTrail Cette évaluation comprend l'analyse des politiques basées sur l'identité et les ressources associées au demandeur. L'automatisation utilise les capacités de simulation des politiques d'IAM pour évaluer ces politiques dans le contexte des actions refusées identifiées lors des CloudTrail événements.
Une fois terminé, consultez la section Sorties pour obtenir les résultats détaillés de l'exécution :
- PermissionEvaluationResults
  
  Produit un rapport qui aide à identifier les actions spécifiques qui ont été refusées, en faisant la distinction entre les dénégations implicites et explicites. Il répertorie également les politiques responsables des refus d'accès et fournit des explications pour chaque refus. Le rapport propose également des solutions potentielles, telles que l'identification des instructions d'autorisation manquantes ou des déclarations de refus contradictoires

Références

Systems Manager Automation

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

IAM

AWS-AttachIAMToInstance