Mengumpulkan log AWS IAM

Didukung di:

Dokumen ini menjelaskan cara menyerap log AWS IAM ke Google Security Operations. Parser mengubah log berformat JSON mentah menjadi Model Data Terpadu (UDM) terstruktur. Hal ini mengekstrak kolom yang relevan seperti detail pengguna, informasi peran, izin, dan stempel waktu, lalu memetakannya ke kolom UDM yang sesuai untuk analisis keamanan yang konsisten.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke konsol AWS
  • Izin untuk membuat pengguna, peran, dan kebijakan IAM

Pilih metode integrasi Anda

Google SecOps mendukung dua metode untuk menyerap data AWS IAM:

Metode A: CloudTrail + Amazon S3 (Log aktivitas)

  • Yang dikumpulkan: Log aktivitas IAM (siapa yang melakukan tindakan apa)
  • Sumber data: Peristiwa AWS CloudTrail
  • Latensi: Beberapa menit (berbasis polling)
  • Kasus penggunaan: Jejak audit historis, pelaporan kepatuhan
  • Jenis sumber feed: Amazon S3 V2

Metode B: API pihak ketiga (Snapshot konfigurasi)

  • Yang dikumpulkan: Data konfigurasi IAM (pengguna, grup, peran, kebijakan)
  • Sumber data: Panggilan langsung AWS IAM API
  • Latensi: Hampir real-time (polling berkala)
  • Kasus penggunaan: Pemantauan konfigurasi IAM real-time, peninjauan akses
  • Jenis sumber feed: API pihak ketiga

Metode A: Integrasi CloudTrail + Amazon S3

Metode ini menggunakan AWS CloudTrail untuk merekam aktivitas IAM dan menyimpan log di Amazon S3, yang kemudian di-ingest oleh Google SecOps.

Buat bucket Amazon S3

  1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket.
  2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, iam-activity-logs-bucket).

Mengonfigurasi kebijakan bucket S3 untuk CloudTrail

CloudTrail memerlukan izin untuk menulis log ke bucket S3 Anda.

  1. Di konsol Amazon S3, pilih bucket Anda.
  2. Buka Izin > Kebijakan bucket.

  3. Klik Edit dan tambahkan kebijakan berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudTrailAclCheck",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "s3:GetBucketAcl",
      "Resource": "arn:aws:s3:::iam-activity-logs-bucket"
    },
    {
      "Sid": "CloudTrailWrite",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudtrail.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::iam-activity-logs-bucket/AWSLogs/*",
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": "bucket-owner-full-control"
        }
      }
    }
  ]
}
    • Ganti iam-activity-logs-bucket dengan nama bucket Anda yang sebenarnya.

  4. Klik Simpan perubahan.

Mengonfigurasi CloudTrail untuk merekam aktivitas IAM

  1. Login ke AWS Management Console.
  2. Di kotak penelusuran, ketik dan pilih CloudTrail dari daftar layanan.
  3. Klik Buat jalur.
  4. Berikan detail konfigurasi berikut:
    • Nama jejak: Masukkan nama deskriptif (misalnya, IAMActivityTrail).
    • Terapkan jejak ke semua wilayah: Pilih Ya untuk merekam aktivitas di semua wilayah.
    • Storage location: Pilih Use existing S3 bucket dan pilih bucket yang dibuat sebelumnya.
    • Awalan file log (opsional): Masukkan awalan (misalnya, iam-logs/).
    • Enkripsi SSE-KMS file log: Opsional. Jika diaktifkan, buat atau pilih kunci KMS.
  5. Klik Berikutnya.
  6. Konfigurasi pemilihan peristiwa:
    • Peristiwa pengelolaan: Pilih Baca dan Tulis untuk merekam peristiwa baca dan tulis pada resource IAM.
    • Peristiwa data: Opsional. Aktifkan peristiwa data S3 dan Lambda jika diperlukan.
    • Peristiwa insight: Opsional. Aktifkan untuk deteksi aktivitas tidak biasa.
  7. Klik Berikutnya.
  8. Tinjau konfigurasi, lalu klik Create trail.
  1. Di konsol Amazon S3, pilih bucket Anda.
  2. Buka Properties > Bucket Versioning.
  3. Klik Edit.
  4. Pilih Aktifkan.
  5. Klik Simpan perubahan.

Membuat pengguna IAM untuk akses S3 Google SecOps

  1. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
  2. Pilih Pengguna yang dibuat.
  3. Pilih tab Kredensial keamanan.
  4. Klik Create Access Key di bagian Access Keys.
  5. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
  6. Klik Berikutnya.
  7. Opsional: Tambahkan tag deskripsi.
  8. Klik Create access key.
  9. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
  10. Klik Done.
  11. Pilih tab Izin.
  12. Klik Tambahkan izin di bagian Kebijakan izin.
  13. Pilih Tambahkan izin.
  14. Pilih Lampirkan kebijakan secara langsung.
  15. Klik Buat kebijakan di tab baru.
  16. Di Policy editor, pilih tab JSON.

  17. Masukkan kebijakan berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::iam-activity-logs-bucket",
        "arn:aws:s3:::iam-activity-logs-bucket/*"
      ]
    }
  ]
}
    • Ganti iam-activity-logs-bucket dengan nama bucket Anda yang sebenarnya.

  18. Klik Berikutnya.

  19. Beri nama kebijakan chronicle-s3-read-policy.

  20. Klik Create policy.

  21. Kembali ke tab pembuatan pengguna dan muat ulang daftar kebijakan.

  22. Telusuri dan pilih chronicle-s3-read-policy.

  23. Klik Berikutnya.

  24. Klik Add permissions.

Opsional: Buat fungsi Lambda untuk ekspor real-time

Jika Anda memerlukan ekspor log CloudTrail yang mendekati real-time ke S3:

  1. Di AWS Console, buka Lambda > Functions > Create function.
  2. Klik Buat dari awal.

  3. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Nama ExportIAMLogsToS3
    Runtime Python 3.13
    Arsitektur x86_64
    Peran eksekusi Buat peran baru dengan izin Lambda dasar

  4. Klik Create function.

  5. Setelah fungsi dibuat, buka tab Code, hapus stub, lalu masukkan kode berikut:

    import boto3
import gzip
from io import BytesIO

s3 = boto3.client('s3')
logs = boto3.client('logs')

def lambda_handler(event, context):
    log_group = event['logGroup']
    log_stream = event['logStream']

    log_events = logs.get_log_events(
        logGroupName=log_group,
        logStreamName=log_stream,
        startFromHead=True
    )

    log_data = "\n".join([event['message'] for event in log_events['events']])

    # Compress and upload to S3
    compressed_data = gzip.compress(log_data.encode('utf-8'))
    s3.put_object(
        Bucket='iam-activity-logs-bucket',
        Key=f'iam-logs/{log_stream}.gz',
        Body=compressed_data
    )

    return {
        'statusCode': 200,
        'body': 'Logs exported successfully'
    }
    • Ganti iam-activity-logs-bucket dengan nama bucket Anda.

  6. Klik Deploy untuk menyimpan kode fungsi.

Opsional: Mengonfigurasi izin peran eksekusi Lambda

  1. Di fungsi yang sama, pilih tab Configuration.
  2. Pilih Izin dari menu kiri.
  3. Klik nama Execution role untuk membukanya di konsol IAM.
  4. Klik Tambahkan izin > Lampirkan kebijakan.
  5. Klik Buat kebijakan di tab baru.

  6. Pilih tab JSON dan tempelkan kebijakan berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::iam-activity-logs-bucket/*"
    }
  ]
}
    • Ganti iam-activity-logs-bucket dengan nama bucket Anda.

  7. Klik Berikutnya.

  8. Beri nama kebijakan lambda-iam-logs-export-policy.

  9. Klik Create policy.

  10. Kembali ke tab peran, lalu muat ulang.

  11. Telusuri dan pilih lambda-iam-logs-export-policy.

  12. Klik Add permissions.

Opsional: Mengonfigurasi waktu tunggu Lambda

  1. Di fungsi Lambda, tetap berada di tab Configuration.
  2. Pilih Konfigurasi umum dari menu kiri.
  3. Klik Edit.
  4. Ubah Waktu tunggu menjadi 5 menit (300 detik).
  5. Klik Simpan.

Opsional: Mengonfigurasi pemicu Lambda untuk CloudWatch Logs

  1. Di fungsi Lambda, pilih bagian Function overview di bagian atas.
  2. Klik Tambahkan pemicu.
  3. Di drop-down Konfigurasi pemicu, pilih CloudWatch Logs.
  4. Berikan detail konfigurasi berikut:
    • Grup log: Pilih atau masukkan grup log CloudWatch Logs yang terkait dengan CloudTrail (misalnya, /aws/cloudtrail/).
    • Nama filter: Masukkan nama deskriptif (misalnya, IAM-events-filter).
    • Pola filter: Biarkan kosong untuk merekam semua peristiwa, atau masukkan pola tertentu.
  5. Klik Tambahkan.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

  • Setelan SIEM > Feed > Tambahkan Feed Baru
  • Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed AWS IAM

  1. Klik paket Amazon Cloud Platform.
  2. Temukan jenis log AWS IAM.

  3. Tentukan nilai di kolom berikut.

    • Jenis Sumber: API pihak ketiga
    • Nama pengguna: Nama pengguna untuk autentikasi
    • Secret: Secret untuk mengautentikasi

    Opsi lanjutan

    • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
    • Namespace Aset: Namespace yang terkait dengan feed.
    • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

  4. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Menggunakan Setelan SIEM

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, AWS IAM CloudTrail Logs).
  5. Pilih Amazon S3 V2 sebagai Jenis sumber.
  6. Pilih AWS IAM sebagai Jenis log.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • URI S3: s3://iam-activity-logs-bucket/

      • Ganti iam-activity-logs-bucket dengan nama bucket Anda yang sebenarnya.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Jangan pernah: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Saat berhasil: Menghapus semua file dan direktori kosong setelah transfer berhasil (untuk pengoptimalan biaya).

    • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.

    • ID Kunci Akses: Kunci akses pengguna dengan akses ke bucket S3.

    • Kunci Akses Rahasia: Kunci rahasia pengguna dengan akses ke bucket S3.

    • Namespace aset: Namespace aset.

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Metode B: Integrasi API pihak ketiga

Metode ini menggunakan panggilan API AWS IAM langsung untuk mengumpulkan data konfigurasi IAM saat ini (pengguna, grup, peran, kebijakan).

Mendapatkan rentang IP Google SecOps

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Perhatikan rentang IP yang ditampilkan di bagian atas halaman.
  4. Atau, ambil rentang IP secara terprogram menggunakan Feed Management API.

Buat pengguna IAM dengan izin yang diperlukan

  1. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
  2. Pilih Pengguna yang dibuat.
  3. Pilih tab Kredensial keamanan.
  4. Klik Create Access Key di bagian Access Keys.
  5. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
  6. Klik Berikutnya.
  7. Opsional: Tambahkan tag deskripsi.
  8. Klik Create access key.
  9. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
  10. Klik Done.
  11. Pilih tab Izin.
  12. Klik Tambahkan izin di bagian Kebijakan izin.
  13. Pilih Tambahkan izin.
  14. Pilih Lampirkan kebijakan secara langsung.
  15. Cari IAMReadOnlyAccess (kebijakan yang dikelola AWS).
  16. Pilih kebijakan.
  17. Klik Berikutnya.
  18. Klik Add permissions.

Penting: Kebijakan IAMReadOnlyAccess mencakup semua izin yang diperlukan:

  • iam:GetUser
  • iam:ListUsers
  • iam:GetGroup
  • iam:ListGroups
  • iam:GetPolicy
  • iam:ListPolicies
  • iam:GetRole
  • iam:ListRoles
  • iam:ListAttachedUserPolicies
  • iam:ListAttachedGroupPolicies
  • iam:ListAttachedRolePolicies
  • iam:GetAccountSummary

Opsi B: Buat Kebijakan Kustom (Hak Istimewa Terendah)

Jika kebijakan keamanan Anda memerlukan izin minimal, bukan kebijakan terkelola:

  1. Di konsol AWS, buka IAM > Policies > Create policy > JSON tab.

  2. Tempelkan kebijakan berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetUser",
        "iam:ListUsers",
        "iam:GetGroup",
        "iam:ListGroups",
        "iam:GetPolicy",
        "iam:ListPolicies",
        "iam:GetRole",
        "iam:ListRoles",
        "iam:ListAttachedUserPolicies",
        "iam:ListAttachedGroupPolicies",
        "iam:ListAttachedRolePolicies",
        "iam:GetAccountSummary"
      ],
      "Resource": "*"
    }
  ]
}

  3. Klik Berikutnya.

  4. Beri nama kebijakan chronicle-iam-api-read-policy.

  5. Klik Create policy.

  6. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.

  7. Pilih Pengguna yang dibuat.

  8. Pilih tab Kredensial keamanan.

  9. Klik Create Access Key di bagian Access Keys.

  10. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.

  11. Klik Berikutnya.

  12. Opsional: Tambahkan tag deskripsi.

  13. Klik Create access key.

  14. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.

  15. Klik Done.

  16. Pilih tab Izin.

  17. Klik Tambahkan izin di bagian Kebijakan izin.

  18. Pilih Tambahkan izin.

  19. Pilih Lampirkan kebijakan secara langsung.

  20. Telusuri dan pilih chronicle-iam-api-read-policy.

  21. Klik Berikutnya.

  22. Klik Add permissions.

Mengonfigurasi feed di Google SecOps untuk memproses data konfigurasi IAM

Menggunakan Hub Konten (direkomendasikan)

  1. Buka Hub Konten > Paket Konten > Mulai.
  2. Klik paket Amazon Cloud Platform.
  3. Temukan jenis log AWS IAM.
  4. Pilih Third party API dari drop-down Source Type.
  5. Berikan detail konfigurasi berikut:
    • Username: ID Kunci Akses dari pengguna IAM yang dibuat sebelumnya.
    • Secret: Kunci Akses Rahasia dari pengguna IAM yang dibuat sebelumnya.
    • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed (misalnya, AWS IAM API Configuration).
    • Namespace Aset: Namespace yang terkait dengan feed.
    • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
  6. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Menggunakan Setelan SIEM

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, AWS IAM API Configuration).
  5. Pilih Third party API sebagai Source type.
  6. Pilih AWS IAM sebagai Jenis log.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • Username: ID Kunci Akses dari pengguna IAM yang dibuat sebelumnya.
    • Secret: Kunci Akses Rahasia dari pengguna IAM yang dibuat sebelumnya.
    • Region: Region AWS (misalnya, us-east-1).
    • Namespace aset: Namespace aset.
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
Arn entity.entity.resource.name Dipetakan langsung dari kolom ARN. Diterapkan ke berbagai jenis entitas. Untuk jenis entitas GROUP, dipetakan dari Group.Arn.
AssumeRolePolicyDocument entity.entity.resource.attribute.permissions.name Dipetakan langsung dari kolom AssumeRolePolicyDocument, tetapi hanya untuk jenis entity RESOURCE.
CreateDate entity.entity.user.attribute.creation_time Dipetakan langsung dari kolom CreateDate dan dikonversi ke format stempel waktu Chronicle.
CreateDate entity.entity.resource.attribute.creation_time Dipetakan langsung dari kolom CreateDate dan dikonversi ke format stempel waktu Chronicle.
Group.Arn entity.entity.resource.name Dipetakan langsung dari kolom Group.Arn.
Group.CreateDate entity.entity.group.attribute.creation_time Dipetakan langsung dari kolom Group.CreateDate dan dikonversi ke format stempel waktu Chronicle.
Group.GroupID entity.entity.group.product_object_id Dipetakan langsung dari kolom Group.GroupID.
Group.GroupName entity.entity.group.group_display_name Dipetakan langsung dari kolom Group.GroupName.
Group.GroupName entity.entity.group.email_addresses Dipetakan langsung dari kolom Group.GroupName.
Group.Path entity.entity.group.attribute.labels.value Dipetakan langsung dari kolom Group.Path, kunci di-hardcode ke path.
IsTruncated entity.entity.group.attribute.labels.value Dipetakan langsung dari kolom IsTruncated yang dikonversi menjadi string, kuncinya dikodekan secara permanen menjadi is_truncated.
Marker entity.entity.group.attribute.labels.value Dipetakan langsung dari kolom Penanda, kunci di-hardcode ke penanda.
PasswordLastUsed entity.entity.user.last_login_time Dipetakan langsung dari kolom PasswordLastUsed dan dikonversi ke format stempel waktu Chronicle.
Path entity.entity.user.attribute.labels.value Dipetakan langsung dari kolom Jalur untuk jenis entity PENGGUNA, kunci dikodekan secara permanen ke jalur.
Path entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom Jalur untuk jenis entitas RESOURCE, kunci dikodekan secara permanen ke jalur.
PermissionsBoundary.PermissionsBoundaryArn entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom PermissionsBoundary.PermissionsBoundaryArn, kunci dikodekan secara permanen ke permissions_boundary_arn.
PermissionsBoundary.PermissionsBoundaryType entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom PermissionsBoundary.PermissionsBoundaryType, kunci dikodekan secara permanen ke permissions_boundary_type.
RoleID entity.entity.resource.product_object_id Dipetakan langsung dari kolom RoleID.
RoleLastUsed.LastUsedDate entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom RoleLastUsed.LastUsedDate, kuncinya dikodekan secara permanen ke role_last_used_date.
RoleLastUsed.Region entity.entity.location.name Dipetakan langsung dari kolom RoleLastUsed.Region.
RoleName entity.entity.resource.attribute.roles.name Dipetakan langsung dari kolom RoleName.
Tags.Key entity.entity.user.attribute.labels.key Digunakan sebagai kunci untuk label di entity pengguna.
Tags.Value entity.entity.user.attribute.labels.value Digunakan sebagai nilai untuk label dalam entity pengguna.
UserID entity.entity.user.product_object_id Dipetakan langsung dari kolom UserID.
UserName entity.entity.user.userid Dipetakan langsung dari kolom UserName.
Users.Arn relations.entity.resource.name Dipetakan langsung dari kolom Users.Arn dalam relasi pengguna.
Users.CreateDate relations.entity.user.attribute.creation_time Dipetakan langsung dari kolom Users.CreateDate dalam relasi pengguna dan dikonversi ke format stempel waktu Chronicle.
Users.PasswordLastUsed relations.entity.user.last_login_time Dipetakan langsung dari kolom Users.PasswordLastUsed dalam relasi pengguna dan dikonversi ke format stempel waktu Chronicle.
Users.Path relations.entity.user.attribute.labels.value Dipetakan langsung dari kolom Users.Path dalam relasi pengguna, kunci dikodekan secara permanen ke jalur.
Users.PermissionsBoundary.PermissionsBoundaryArn relations.entity.resource.attribute.labels.value Dipetakan langsung dari kolom Users.PermissionsBoundary.PermissionsBoundaryArn dalam relasi pengguna, kunci dikodekan secara permanen ke permissions_boundary_arn.
Users.PermissionsBoundary.PermissionsBoundaryType relations.entity.resource.attribute.labels.value Dipetakan langsung dari kolom Users.PermissionsBoundary.PermissionsBoundaryType dalam relasi pengguna, kunci dikodekan secara permanen ke permissions_boundary_type.
Users.UserID relations.entity.user.product_object_id Dipetakan langsung dari kolom Users.UserID dalam relasi pengguna.
Users.UserName relations.entity.user.userid Dipetakan langsung dari kolom Users.UserName dalam relasi pengguna.
T/A entity.metadata.collected_timestamp Diisi dengan stempel waktu penyerapan peristiwa.
T/A entity.metadata.vendor_name Dikodekan secara permanen ke AWS.
T/A entity.metadata.product_name Dikodekan secara permanen ke AWS IAM.
T/A entity.metadata.entity_type Ditentukan berdasarkan keberadaan kolom tertentu: USER jika UserID ada, RESOURCE jika RoleID ada, GROUP jika Group.GroupName ada.
T/A entity.entity.resource.resource_subtype Setel ke Pengguna untuk jenis entity PENGGUNA dan Peran untuk jenis entity SUMBER DAYA.
T/A entity.entity.resource.resource_type Ditetapkan ke ACCESS_POLICY untuk jenis entity RESOURCE.
T/A entity.entity.resource.attribute.cloud.environment Dikodekan secara permanen ke AMAZON_WEB_SERVICES.
T/A relations.entity_type Dikodekan secara permanen ke USER untuk hubungan pengguna.
T/A relations.relationship Dikodekan secara permanen ke MEMBER untuk hubungan grup pengguna.
T/A relations.direction Hardcode ke UNIDIRECTIONAL.
T/A relations.entity.resource.resource_subtype Dikodekan secara permanen ke Pengguna untuk hubungan pengguna.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.