Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identity-based esempi di policy per AWS CloudTrail

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell’autorizzazione per creare o modificare risorse CloudTrail. Per concedere agli utenti l’autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy IAM (console) nella Guida per l’utente di IAM.

Per dettagli sulle azioni e sui tipi di risorse definiti da CloudTrail, incluso il formato degli ARN per ciascuno dei tipi di risorse, vedi Actions, Resources e Condition Keys for AWS CloudTrail nel Service Authorization Reference.

Best practice per le policy

Identity-based le politiche stabiliscono se qualcuno può creare, accedere o eliminare CloudTrail risorse nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l’utente di IAM.

CloudTrail non dispone di chiavi di contesto specifiche del servizio che puoi utilizzare nell'elemento delle Condition dichiarazioni politiche.

Esempio: permettere e negare operazioni per un percorso specifico

L'esempio seguente illustra una policy che consente agli utenti con la policy di visualizzare lo stato e la configurazione di un percorso e di avviare e interrompere la registrazione di un percorso denominato. My-First-Trail Questo percorso è stato creato nella regione Stati Uniti orientali (Ohio) (la sua regione di origine) Account AWS con l'ID. 123456789012

JSON

{
  "Version":"2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "cloudtrail:StartLogging",
              "cloudtrail:StopLogging",
              "cloudtrail:GetTrail",
              "cloudtrail:GetTrailStatus",
              "cloudtrail:GetEventSelectors"
          ],
          "Resource": [
              "arn:aws:cloudtrail:us-east-2:123456789012:trail/My-First-Trail"
          ]
      }
  ]
}

L'esempio seguente dimostra una politica che nega esplicitamente le CloudTrail azioni per qualsiasi percorso non denominato. My-First-Trail

JSON

{
  "Version":"2012-10-17",
  "Statement": [
      {
          "Effect": "Deny",
          "Action": [
              "cloudtrail:*"
          ],
          "NotResource": [
              "arn:aws:cloudtrail:us-east-2:123456789012:trail/My-First-Trail"
          ]
      }
  ]
}

Esempi: creazione e applicazione di policy per le operazioni su percorsi specifici

Puoi utilizzare autorizzazioni e policy per controllare la capacità di un utente di eseguire azioni specifiche sui percorsi. CloudTrail

Ad esempio, non vuoi che gli utenti del gruppo di sviluppatori della tua azienda avviino o arrestino la registrazione su un determinato percorso. Tuttavia, potresti voler concedere loro l'autorizzazione a eseguire le azioni DescribeTrails e GetTrailStatus lungo il percorso. Vuoi che gli utenti del gruppo di sviluppatori possano eseguire l'operazione StartLogging o StopLogging sui trail che gestiscono.

Puoi creare due istruzioni di policy e quindi collegarle al gruppo di sviluppatori creato in IAM. Per ulteriori informazioni sui gruppi in IAM, consulta Gruppi IAM nella Guida per l'utente di IAM.

Nella prima policy neghi l'autorizzazione per le operazioni StartLogging e StopLogging per l'ARN del trail specificato. Nell'esempio seguente, l'ARN del trail è arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1446057698000",
            "Effect": "Deny",
            "Action": [
                "cloudtrail:StartLogging",
                "cloudtrail:StopLogging"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail"
            ]
        }
    ]
}

Nella seconda politica, le GetTrailStatus azioni DescribeTrails e sono consentite su tutte le CloudTrail risorse:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1446072643000",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:DescribeTrails",
                "cloudtrail:GetTrail",
                "cloudtrail:GetTrailStatus"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Se un utente del gruppo di sviluppatori cerca di avviare o arrestare la registrazione per il trail specificato nella prima policy, all'utente viene restituita un'eccezione di accesso negato. Gli utenti del gruppo di sviluppatori possono avviare e arrestare la registrazione per i trail che creano e gestiscono.

Gli esempi seguenti mostrano che il gruppo di sviluppatori configurato in un AWS CLI profilo è denominatodevgroup. In primo luogo, un utente di devgroup esegue il comando describe-trails.

$ aws --profile devgroup cloudtrail describe-trails

Se il comando viene completato correttamente, l'output è il seguente:

{
    "trailList": [
        {
            "IncludeGlobalServiceEvents": true, 
            "Name": "Default", 
            "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail", 
            "IsMultiRegionTrail": false, 
            "S3BucketName": "amzn-s3-demo-bucket", 
            "HomeRegion": "us-east-2"
        }
    ]
}

L'utente esegue quindi il comando get-trail-status sul trail specificato nella prima policy.

$ aws --profile devgroup cloudtrail get-trail-status --name Example-Trail

Se il comando viene completato correttamente, l'output è il seguente:

{
    "LatestDeliveryTime": 1449517556.256, 
    "LatestDeliveryAttemptTime": "2015-12-07T19:45:56Z", 
    "LatestNotificationAttemptSucceeded": "", 
    "LatestDeliveryAttemptSucceeded": "2015-12-07T19:45:56Z", 
    "IsLogging": true, 
    "TimeLoggingStarted": "2015-12-07T19:36:27Z", 
    "StartLoggingTime": 1449516987.685, 
    "StopLoggingTime": 1449516977.332, 
    "LatestNotificationAttemptTime": "", 
    "TimeLoggingStopped": "2015-12-07T19:36:17Z"
}

Quindi, un utente nel gruppo devgroup esegue il comando stop-logging sullo stesso percorso.

$ aws --profile devgroup cloudtrail stop-logging --name Example-Trail

Il comando restituisce un'eccezione di accesso negato, come la seguente:

A client error (AccessDeniedException) occurred when calling the StopLogging operation: Unknown

L'utente esegue il comando start-logging sullo stesso trail.

$ aws --profile devgroup cloudtrail start-logging --name Example-Trail

Anche in questo caso il comando restituisce un'eccezione di accesso negato, come la seguente:

A client error (AccessDeniedException) occurred when calling the StartLogging operation: Unknown 

Esempi: diniego dell'accesso per creare o eliminare gli archivi di dati degli eventi in base ai tag

Nel seguente esempio di policy, l'autorizzazione per creare un datastore di eventi con CreateEventDataStore viene negata se almeno una delle seguenti condizioni non è soddisfatta:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudtrail:CreateEventDataStore",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/stage": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "cloudtrail:CreateEventDataStore",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "aws:RequestTag/stage": [
                        "alpha",
                        "beta",
                        "gamma",
                        "prod"
                    ]
                }
            }
        }
    ]
}

Nel seguente esempio di policy, l'autorizzazione per eliminare un datastore di eventi con DeleteEventDataStore viene negata se il datatore in questione ha il tag stage applicato con un valore di prod. Una policy simile può contribuire a proteggere un datastore di eventi dall'eliminazione accidentale.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudtrail:DeleteEventDataStore",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": "prod"
                }
            }
        }
    ]
}

Utilizzo della CloudTrail console

Per accedere alla AWS CloudTrail console, è necessario disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle CloudTrail risorse presenti nel tuo. Account AWS Se crei una policy basata sull’identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario consentire le autorizzazioni minime della console per gli utenti che effettuano chiamate solo all'API AWS CLI o all' AWS API. Al contrario, è opportuno concedere l’accesso solo alle azioni che corrispondono all’operazione API che stanno cercando di eseguire.

Concessione delle autorizzazioni per l'amministrazione CloudTrail

Per consentire ai ruoli o agli utenti IAM di amministrare una CloudTrail risorsa, ad esempio un percorso, un archivio dati di eventi o un canale, devi concedere autorizzazioni esplicite per eseguire le azioni associate alle attività. CloudTrail Nella maggior parte dei casi, puoi utilizzare una policy AWS gestita che contiene autorizzazioni predefinite.

Le seguenti politiche AWS gestite sono disponibili per CloudTrail:

Per fornire l’accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

Risorse aggiuntive

Per saperne di più sull'utilizzo di IAM per fornire identità, come utenti e ruoli, l'accesso alle risorse del tuo account, consulta Getting set up with IAM e Access management for AWS resources nella IAM User Guide.

Non è necessario consentire le autorizzazioni minime della console per gli utenti che effettuano chiamate solo all'API AWS CLI o all' AWS API. Al contrario, è possibile accedere solo alle operazioni che soddisfano l’operazione API che stai cercando di eseguire.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono collegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o a livello di programmazione utilizzando l'API or. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Concessione di autorizzazioni personalizzate per gli utenti CloudTrail

CloudTrail le politiche concedono autorizzazioni agli utenti che lavorano con. CloudTrail Se devi concedere autorizzazioni diverse agli utenti, puoi allegare una CloudTrail policy a un gruppo IAM o a un utente. Puoi modificare la policy in modo da includere o escludere autorizzazioni specifiche. Puoi anche creare policy personalizzate. Le policy sono documenti JSON che definiscono le operazioni che un utente può eseguire e le risorse su cui l'utente può eseguire tali operazioni. Per esempi specifici, consulta Esempio: permettere e negare operazioni per un percorso specifico e Esempi: creazione e applicazione di policy per le operazioni su percorsi specifici.

Read-only accesso

L'esempio seguente mostra una politica che concede l'accesso in sola lettura ai percorsi. CloudTrail Questo è equivalente alla policy gestita AWSCloudTrail_ReadOnlyAccess. Questa policy consente di concedere agli utenti l'autorizzazione per visualizzare le informazioni contenute nei trail, ma non di creare o aggiornare i trail.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudtrail:Get*",
                "cloudtrail:Describe*",
                "cloudtrail:List*",
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        }
    ]
}

Nelle istruzioni della policy, l'elemento Effect specifica se le operazioni sono consentite o negate. L'elemento Action elenca le operazioni specifiche che l'utente è autorizzato a eseguire. L'Resourceelemento elenca le AWS risorse su cui l'utente è autorizzato a eseguire tali azioni. Per le policy che controllano l'accesso alle CloudTrail azioni, l'Resourceelemento è in genere impostato * su un carattere jolly che significa «tutte le risorse».

I valori nell'elemento Action corrispondono alle API supportate dai servizi. Le operazioni sono precedute da cloudtrail: a indicare che fanno riferimento alle operazioni CloudTrail . Puoi utilizzare il carattere jolly * nell'elemento Action, come negli esempi seguenti:

La policy di sola lettura non concede autorizzazioni utente per le operazioni CreateTrail, UpdateTrail, StartLogging e StopLogging. Gli utenti associati a questa policy non saranno autorizzati a creare trail, aggiornare trai o attivare e disattivare la registrazione. Per l'elenco delle CloudTrail azioni, consulta l'AWS CloudTrail API Reference.

Accesso completo ad

L'esempio seguente mostra una policy che concede l'accesso completo a CloudTrail. Questo è equivalente alla policy gestita AWSCloudTrail_FullAccess. Concede agli utenti il permesso di eseguire tutte le CloudTrail azioni. Consente inoltre agli utenti di registrare eventi di dati in Amazon S3 e AWS Lambda di gestire i file nei bucket Amazon S3, gestire il modo in cui CloudWatch Logs monitora gli eventi di CloudTrail log e gestire gli argomenti di Amazon SNS nell'account a cui l'utente è associato.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sns:AddPermission",
                "sns:CreateTopic",
                "sns:SetTopicAttributes",
                "sns:GetTopicAttributes"
            ],
            "Resource": [
                "arn:aws:sns:*:*:aws-cloudtrail-logs*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-logging-bucket1*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "cloudtrail:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:aws-cloudtrail-logs*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:GetRolePolicy",
                "iam:GetUser"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "cloudtrail.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateKey",
                "kms:CreateAlias",
                "kms:ListKeys",
                "kms:ListAliases"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:ListFunctions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:ListGlobalTables",
                "dynamodb:ListTables"
            ],
            "Resource": "*"
        }
    ]
}

Concessione dell'autorizzazione alla visualizzazione AWS Config informazioni sulla console CloudTrail

È possibile visualizzare le informazioni sugli eventi sulla CloudTrail console, incluse le risorse correlate a tale evento. Per queste risorse, puoi scegliere l' AWS Config icona per visualizzare la cronologia di quella risorsa nella AWS Config console. Allega questa policy ai tuoi utenti per concedere loro l'accesso in sola lettura AWS Config . Tuttavia, la policy non concede l'autorizzazione per modificare le impostazioni in AWS Config.

JSON

{
    "Version":"2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "config:Get*",
            "config:Describe*",
            "config:List*"
        ],
        "Resource": "*"
    }]
}

Per ulteriori informazioni, consulta Visualizzazione delle risorse a cui si fa riferimento con AWS Config.

Concessione dell'autorizzazione per visualizzare e configurare le informazioni di Amazon CloudWatch Logs sulla console CloudTrail

Puoi visualizzare e configurare la consegna degli eventi a CloudWatch Logs nella CloudTrail console se disponi di autorizzazioni sufficienti. Queste sono le autorizzazioni che potrebbero essere superiori a quelle concesse agli amministratori CloudTrail. Allega questa policy agli amministratori che configureranno e gestiranno CloudTrail l'integrazione con CloudWatch Logs. La policy non concede loro le autorizzazioni direttamente nei CloudTrail o nei CloudWatch Logs, ma concede invece le autorizzazioni necessarie per creare e configurare il ruolo che CloudTrail assumerà per fornire correttamente gli eventi al tuo gruppo Logs. CloudWatch

JSON

{
    "Version":"2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "iam:CreateRole",
            "iam:PutRolePolicy",
            "iam:AttachRolePolicy",
            "iam:ListRoles",
            "iam:GetRolePolicy",
            "iam:GetUser"
        ],
        "Resource": "*"
    }]
}

Per ulteriori informazioni, consulta Monitoraggio dei file di CloudTrail registro con Amazon CloudWatch Logs.

Informazioni aggiuntive

Per saperne di più sull'utilizzo di IAM per fornire identità, come utenti e ruoli, l'accesso alle risorse del tuo account, consulta Getting started e Access management for AWS resources nella IAM User Guide.