Integra AWS Identity and Access Management (IAM) con Google SecOps

En este documento, se describe cómo integrar AWS Identity and Access Management con Google Security Operations.

Casos de uso

La integración de IAM de AWS usa las capacidades de Google SecOps para admitir los siguientes casos de uso:

  • Contención de usuarios vulnerados: Revoca automáticamente el acceso de los usuarios de IAM que se sospecha que fueron vulnerados aplicando políticas de denegación intercaladas durante los flujos de trabajo de respuesta ante incidentes.

  • Revocación del acceso y ajuste de privilegios: Quita a los usuarios de los grupos de IAM sensibles para restringir de inmediato el acceso a los recursos críticos de AWS cuando se detecte un comportamiento anómalo.

  • Administración de políticas y grupos: Automatiza la creación y la vinculación de políticas y grupos de IAM administrados para aplicar controles de acceso con privilegios mínimos.

  • Auditoría de identidad y descubrimiento de la postura: Recupera listas de usuarios, grupos y políticas administradas para enriquecer las alertas de seguridad y auditar las configuraciones de IAM en tu entorno de AWS.

  • Aprovisionamiento automatizado de identidades: Crea usuarios de IAM y asígnalos a grupos funcionales predefinidos como parte de las tareas automatizadas de incorporación o corrección de contención.

Antes de comenzar

Antes de configurar la integración de IAM de AWS en Google SecOps, verifica que tu entorno de red y tus credenciales de AWS satisfagan todos los requisitos previos operativos.

Para preparar tu entorno para la integración, asegúrate de completar los siguientes pasos:

  1. Verifica la línea de visión de la red entre Google SecOps y el extremo de servicio global de IAM de AWS (iam.amazonaws.com).

  2. Obtén credenciales de API programáticas de AWS (un ID de clave de acceso y una clave de acceso secreta) con los permisos de IAM adecuados.

  3. Configura y prueba la instancia de integración en Google SecOps.

Requisitos de red

Google SecOps se comunica directamente con el extremo de servicio de IAM de AWS a través de las APIs de REST HTTPS y el SDK de Python de AWS (boto3).

Asegúrate de que tu entorno de red cumpla con las siguientes reglas de conectividad:

  • Acceso HTTPS saliente: Habilita la comunicación HTTPS saliente desde tu instancia de Google SecOps o el agente remoto al extremo global de IAM de AWS (iam.amazonaws.com) a través del puerto 443/TCP.

    Para obtener más información sobre los extremos de AWS, consulta Extremos de servicio de AWS en la documentación de AWS.

  • Configuración del proxy: Si tu organización enruta el tráfico saliente a través de un proxy HTTP/HTTPS, configura las variables de proxy del entorno estándar (HTTP_PROXY, HTTPS_PROXY, NO_PROXY) en el servidor de Google SecOps o en el host del agente remoto.

Autenticación y credenciales

La integración de IAM de AWS requiere credenciales de API programáticas para autenticar solicitudes con la versión 4 de la firma de AWS.

Asegúrate de que tu entorno de AWS cumpla con los siguientes requisitos de autenticación:

  • Credenciales programáticas: Obtén un ID de clave de acceso de AWS y una clave secreta de AWS válidos asociados a un usuario o rol de IAM de AWS.

    Para obtener información sobre cómo crear identidades de IAM y generar credenciales, consulta Administración de claves de acceso para usuarios de IAM y Identidades de IAM en la documentación de AWS.

  • Privilegio mínimo: Restringe los permisos solo a las acciones necesarias para tus flujos de trabajo automatizados y rota las credenciales periódicamente.

    Para obtener detalles sobre las recomendaciones de seguridad, consulta Prácticas recomendadas de seguridad en IAM en la documentación de AWS.

Configura permisos de acción

Otorga a la identidad de IAM de AWS que se autentica los permisos específicos necesarios para las acciones que ejecutan tus manuales de Google SecOps.

Consulta los permisos mínimos para las acciones de IAM de AWS en la siguiente tabla:

Nombre de la acción Permiso de IAM de AWS obligatorio (ActionName:Permission) Permiso previo Descripción o alcance del recurso
Cómo agregar un usuario a un grupo iam:AddUserToGroup iam:GetAccountSummary Agrega un usuario de IAM a un grupo de IAM. Es el ARN del grupo de IAM objetivo.
Adjuntar una política iam:AttachUserPolicy
iam:AttachGroupPolicy
iam:AttachRolePolicy		 iam:ListPolicies Adjunta una política administrada a un usuario, grupo o rol de IAM. Requiere iam:ListPolicies para buscar los ARN de políticas por nombre.
Crea un grupo iam:CreateGroup iam:GetAccountSummary Crea un nuevo grupo de IAM. Es el ARN del grupo de IAM objetivo.
Crear una política iam:CreatePolicy iam:GetAccountSummary Crea una nueva política administrada por el cliente. Recurso: Es el ARN de la política de IAM de destino.
Crea un usuario iam:CreateUser iam:GetAccountSummary Crea un usuario de IAM nuevo. Es el ARN del usuario de IAM objetivo.
Inhabilita el acceso del usuario iam:PutUserPolicy — Adjunta una política de denegación intercalada (DisableUserAccessPolicy) para revocar el acceso del usuario. Es el ARN del usuario de IAM objetivo.
List Groups iam:ListGroups iam:GetAccountSummary Enumera los grupos de IAM de la cuenta. Recurso: *.
Políticas de Listas iam:ListPolicies iam:GetAccountSummary Enumera las políticas administradas en la cuenta. Recurso: *.
List Users iam:ListUsers iam:GetAccountSummary Enumera los usuarios de IAM de la cuenta. Recurso: *.
Ping iam:GetAccountSummary — Valida la conectividad de la integración. Recurso: *.
Cómo quitar un usuario de un grupo iam:RemoveUserFromGroup iam:GetAccountSummary Quita un usuario de IAM de un grupo de IAM. Es el ARN del grupo de IAM objetivo.

Referencia rápida (ActionName:Permission)

Usa la siguiente referencia rápida para revisar los permisos necesarios para cada acción:

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

Ejemplo de política de IAM (privilegio mínimo)

En la siguiente política de ejemplo, se muestran los permisos necesarios para ejecutar todas las acciones de AWS IAM en Google SecOps.

Para obtener instrucciones sobre cómo crear y adjuntar políticas de IAM, consulta Crea políticas de IAM en la documentación de AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de clave de acceso de AWS String N/A Sí ID de la clave de acceso de AWS que se usará en la integración.
Clave secreta de AWS Contraseña N/A Sí Clave secreta de AWS que se usará en la integración.
Verificar SSL Booleano Verdadero No Si se selecciona esta opción, la integración valida el certificado SSL cuando se conecta al servidor de IAM de AWS.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en los playbooks. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes desde Tu escritorio y Cómo realizar una acción manual.

Cómo agregar un usuario a un grupo

Agrega el usuario especificado al grupo de IAM especificado. Usa grupos para aplicar las mismas políticas de permisos a varios usuarios a la vez.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del grupo String N/A Sí Es el nombre del grupo que se actualizará. Nota: Los nombres de los grupos no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-.
Nombre del usuario String N/A Sí Es el nombre del usuario que se agregará. Nota: Los nombres de usuario no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-. Valores separados por comas.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • Si se realiza correctamente, imprime "Se agregó correctamente el usuario <Nombre de usuario> al grupo de IAM: <Nombre del grupo>".
  • Si hay un error, el grupo no existe o el usuario no existe:
    El grupo no existe: Imprime "No se pudo agregar <UserName> a <Group name>. No se encontró el grupo <group name>.
     El usuario no existe o ambos: Imprime "No se pudo agregar <UserName> a <Group name>. No se encontró el usuario <user name>.
  • Si hay un error
    Limitación de usuarios: El usuario de IAM puede ser miembro de 10 grupos
     Limitación de grupos: Un grupo puede tener 5,000 usuarios
    Imprime el mensaje "No se pudo agregar <Nombre de usuario> a <Nombre de grupo> porque se intentó crear recursos más allá de los límites actuales de la cuenta de AWS".

La acción debería fallar y detener la ejecución de la guía:

  • Si no se realiza correctamente (credenciales incorrectas, sin conexión, otro error del SDK): Imprime "Error al ejecutar la acción "Agregar un usuario a un grupo". Motivo: {exception.stacktrace}
 General

Cómo adjuntar una política

Adjunta la política administrada especificada a una identidad (usuario, grupo o rol).

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Tipo de identidad

DDL
(User, Group, Role)

 Grupo Sí Es el tipo de identidad de IAM.
Nombre de identidad String N/A Sí Nombre (nombre descriptivo, no ARN) de la identidad a la que se adjuntará la política. Los nombres de identidad no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-.
Nombre de la política String N/A Sí Nombre (nombre descriptivo, no ARN) de la política a la que se adjuntará. Los nombres de las políticas no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • Si se realiza correctamente: Imprime "La política se adjuntó a <Tipo de identidad>: <Nombre de identidad>".

La acción debería fallar y detener la ejecución de la guía:

  • Si hay un error, imprime "No se pudo crear la política <nombre de la política>. Los nombres de las políticas deben ser únicos dentro de una cuenta.
  • Si se produce un error porque el nombre de identidad no es válido: Imprime "No se pudo adjuntar <nombre de la política> a <tipo de identidad>: <nombre de identidad>. Los nombres solo deben contener caracteres alfanuméricos o los siguientes: +=,.@_-.
  • Si no se realiza correctamente (credenciales incorrectas, sin conexión al servidor, otro error del servidor): Imprime "Error al ejecutar la acción 'Attach a Policy'. Motivo: {exception.stacktrace}
 General

Cree un grupo

Crea un nuevo grupo de IAM para tu cuenta de AWS. Para configurar un grupo, debes crearlo. Luego, otorga permisos al grupo según el tipo de trabajo que esperas que realicen los usuarios del grupo. Por último, agrega usuarios al grupo.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del grupo String N/A Sí Nombre del grupo que se creará. Valores separados por comas Nota: Los nombres de los grupos no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-. Los nombres deben ser únicos dentro de una cuenta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • Si la operación se realiza correctamente (pocos o todos los nombres de grupos eran válidos): Imprime "Se agregaron correctamente los siguientes grupos a IAM: <Nombres de grupos>".
  • Si se produce un error porque el grupo ya existe: Imprime "No se pudieron agregar los siguientes grupos a IAM: <Nombres de los grupos>. Los nombres deben ser únicos dentro de una cuenta.
  • Si se produce un error (algunos nombres de grupos no son válidos): Imprime "No se pudieron agregar los siguientes grupos a IAM: <Nombres de grupos>. Los nombres de grupos solo deben contener caracteres alfanuméricos o los siguientes: +=,.@_-.
  • If error (raise limitation. Máximo de 500 grupos por cuenta): Imprime "No se pudieron agregar los siguientes grupos a IAM: <Nombres de grupos>. Se alcanzó el límite de grupos en tu cuenta de AWS.


La acción debería fallar y detener la ejecución de la guía:

  • Si no se realiza correctamente (todos los nombres no eran válidos, las credenciales eran incorrectas, no había conexión o se produjo otro error): Imprime "Error al ejecutar la acción "Crear un grupo". Motivo: {exception.stacktrace}
 General

Crea una política

Crea una política administrada por el cliente de IAM para tu cuenta de AWS. Esta acción crea una versión de la política con el identificador de versión v1 y establece v1 como la versión predeterminada de la política.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la política String N/A Sí Nombre de la política que se creará. El nombre de la política no puede incluir espacios y solo debe contener caracteres alfanuméricos o los siguientes: +=.@_-. Los nombres de las políticas deben ser únicos dentro de una cuenta.
Documento de políticas String N/A Sí Documento de política en formato JSON que deseas usar como contenido de la política nueva.
Descripción String N/A No Es la descripción de la política, que se suele usar para almacenar información sobre los permisos definidos en ella. Por ejemplo, "Otorga acceso a las tablas de DynamoDB de producción". La descripción de la política es inmutable. Una vez que se asigna un valor, no se puede cambiar.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • Si se ejecuta correctamente, imprime "Se creó correctamente la política <Nombre de la política>".

La acción debería fallar y detener la ejecución de la guía:

  • Si se produce un error, la política ya existe: Imprime "No se pudo crear la política <nombre de la política>. Los nombres de las políticas deben ser únicos dentro de una cuenta.
  • Si hay un error, el nombre de la política no es válido: Imprime "No se pudo crear la política <nombre de la política>. Los nombres de políticas solo deben contener caracteres alfanuméricos o los siguientes caracteres: +=,.@_-.
  • Si hay un error y el documento de política está mal formado, imprime "No se pudo crear la política <nombre de la política>. El documento de política tenía un formato incorrecto.Motivo: {exception.stacktrace}

Si no se realiza correctamente (LimitExceededException, credenciales incorrectas, sin conexión, otro error): Imprime "Error al ejecutar la acción 'Create a Policy'. Motivo: {exception.stacktrace}

 General

Cómo crear un usuario

Crea un usuario de IAM nuevo para tu cuenta de AWS. Puedes agregar varios usuarios a la vez con valores separados por comas. Ten en cuenta que no se aplicará ninguna política en esta etapa.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del usuario String N/A Sí Es el nombre del usuario que se creará. Valores separados por comas Nota: El nombre de usuario no puede incluir espacios y solo debe contener caracteres alfanuméricos o los siguientes: +=.@_-. Los nombres deben ser únicos dentro de una cuenta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • Si la operación se realiza correctamente (pocos nombres de usuario son válidos): Imprime "Se agregaron correctamente los siguientes usuarios a IAM: <Nombres de usuario>".
  • Si se produce un error, ya existen usuarios: Imprime "No se pudieron agregar los siguientes usuarios a IAM: <Nombres de usuario>. Los nombres deben ser únicos dentro de una cuenta.
  • Si se produce un error (algunos nombres de usuario no son válidos): Imprime "No se pudieron agregar los siguientes usuarios a IAM: <Nombres de usuario>. Los nombres de usuario solo deben contener caracteres alfanuméricos o los siguientes: +=,.@-.
  • If error (raise limitation. Máximo de 5,000 usuarios por cuenta): Imprime "No se pudieron agregar los siguientes usuarios a IAM: <Nombres de usuario>. Se alcanzó el límite de usuarios en tu cuenta de AWS.

Nota: Si no sucedió nada, significa que todos los usuarios son no válidos, existen o alcanzaron el límite → la acción debería fallar

La acción debería fallar y detener la ejecución de la guía:

  • Si no se realiza correctamente (todos los nombres de usuario no son válidos, las credenciales son incorrectas, no hay conexión, se produjo otro error): Imprime "Error al ejecutar la acción "Crear un usuario". Motivo: {exception.stacktrace}

Nota: En caso de que todos los nombres de usuario sean no válidos, se imprimirá "Error executing action 'Create a User '". Motivo: {invalid usernames}: Los nombres de usuario solo deben contener caracteres alfanuméricos o los siguientes caracteres: +=,.@-. {existing usernames}: Los nombres deben ser únicos dentro de una cuenta.

 General

Inhabilita el acceso del usuario

Inhabilita el acceso del usuario en AWS agregando una política de denegación intercalada explícita.

Esta acción solo admite usuarios normales de AWS, no usuarios federados ni roles de IAM.

Entidades

Esta acción se ejecuta en la entidad User.

Entradas de acción

N/A

Resultados de la acción

Tipo de salida de la acción
Adjunto del muro de casos N/A
Vínculo al muro de casos N/A
Tabla del muro de casos N/A
Tabla de enriquecimiento N/A
Resultado de JSON Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON
[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Valor
is_success Verdadero o falso
Muro de casos

La acción proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

 La acción se completó correctamente.
Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

No se pudo realizar la acción.

Se produjo un error que impidió aplicar la política de denegación a, al menos, uno de los usuarios proporcionados.
Error executing action "Disable User Access". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Enumerar grupos

Obtén una lista de todos los grupos en IAM.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Cantidad máxima de grupos que se devolverán Número entero 50 No Especifica la cantidad de grupos que se devolverán. El máximo es de 1,000 grupos. El valor predeterminado es 50.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

if successful: print "Successfully listed available groups in AWS IAM"

Si no hay datos disponibles: Imprime "No se encontraron grupos en IAM de AWS".


La acción debería fallar y detener la ejecución de la guía:

if not successful (wrong credentials, no connection to server, other server error, If 'Max Groups'> 1000): print "Error executing action 'List Groups'. Motivo: {exception.stacktrace}

 General
Tabla CSV

Título: Grupos de IAM

Columnas:

Nombre del grupo

ID del grupo

ARN

Fecha de creación

 General

Enumerar políticas

Enumera todas las políticas administradas que están disponibles en tu cuenta de AWS, incluidas tus propias políticas administradas definidas por el cliente y todas las políticas administradas por AWS. Puedes filtrar la lista de políticas que se muestran con los parámetros opcionales Only Attached, Scope y Policy Usage. Por ejemplo, para enumerar solo las políticas administradas por el cliente en tu cuenta de AWS, establece el alcance en Local. Para enumerar solo las políticas administradas por AWS, establece el parámetro Scope en AWS.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Solo adjuntos Booleano No No Cuando se marca, se filtran los resultados para mostrar solo las políticas adjuntas a un usuario, grupo o rol de IAM. Si no se marca, se mostrarán todas las políticas.
Alcance

DDL
(All, AWS, Local)

 Todos No Es el alcance que se usará para filtrar los resultados. Para enumerar solo las políticas administradas por AWS, establece el alcance en AWS. Para enumerar solo las políticas administradas por el cliente en tu cuenta de AWS, establece el alcance en Local. De forma predeterminada, se devolverán todas las políticas.
Cantidad máxima de políticas para devolver Número entero 100 No Especifica la cantidad de políticas que se devolverán. El valor predeterminado es 100. El valor máximo es 1,000.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • if successful: print "Successfully listed available policies in AWS IAM"
  • Si el valor de "Max Policies" es inferior a las políticas que coinciden según el filtro: Imprime "Successfully listed available policies in AWS IAM. Ten en cuenta que hay políticas adicionales que coinciden con el filtro proporcionado".
  • Si no hay datos: Imprime "No se encontraron políticas en IAM de AWS".


La acción debería fallar y detener la ejecución de la guía:

  • if not successful (wrong credentials, no connection to server, other server error, max>1000): print "Error executing action 'List Policies. Motivo: {exception.stacktrace}
 General
Tabla CSV

Título: Políticas de IAM

Columnas:

Nombre de la política

ID de la política

Crear fecha

Actualizar fecha

 General

Enumerar usuarios

Obtén una lista de todos los usuarios en IAM.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Cantidad máxima de usuarios que se devolverán Número entero 50 No Especifica la cantidad de usuarios que se devolverán. La cantidad máxima es de 1,000 usuarios. El valor predeterminado es 50.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

if successful: print "Successfully listed available users in AWS IAM"

Si no hay datos disponibles: Imprime "No se encontraron usuarios en AWS IAM".


La acción debería fallar y detener la ejecución de la guía:

if not successful (wrong credentials, no connection to server, other server error, if max>10000): print "Error executing action 'List Users'. Motivo: {exception.stacktrace}

 General
Tabla CSV

Título: Usuarios de IAM

Columnas:

Nombre de usuario

ID de usuario

ARN

Fecha de creación

 General

Ping

Prueba la conectividad a IAM de AWS con los parámetros proporcionados en la página de configuración de la integración en la pestaña Google Security Operations Marketplace.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la conexión se realiza correctamente, se imprimirá el mensaje "Successfully connected to the AWS IAM server with the provided connection parameters!".

La acción debería fallar y detener la ejecución de la guía:

Si no se realiza correctamente: Imprime "No se pudo conectar al servidor de IAM de AWS. Error is {0}".format(exception.stacktrace)

 General

Cómo quitar un usuario de un grupo

Agrega el usuario especificado al grupo de IAM especificado. Usa grupos para aplicar las mismas políticas de permisos a varios usuarios a la vez.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del grupo String N/A Sí Es el nombre del grupo que se actualizará. Nota: Los nombres de los grupos no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-.
Nombre del usuario String N/A Sí Es el nombre del usuario que se quitará. Nota: Los nombres de usuario no pueden incluir espacios y solo deben contener caracteres alfanuméricos o los siguientes: +=.@_-. Valores separados por comas.

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

  • Si se realiza correctamente, se imprimirá el mensaje "<Nombre de usuario> se quitó del grupo: <Nombre del grupo>".
  • Si hay un error, el grupo o el usuario no existen:
    El grupo no existe: Imprime "No se pudo quitar a <Nombre de usuario> de <Nombre del grupo>. No se encontró el grupo <nombre del grupo>.
     El usuario no existe o ambos: Imprime "No se pudo quitar a <Nombre de usuario> de <Nombre del grupo>. No se encontró el usuario <nombre del usuario>.
  • Si hay un error
    Limitación del usuario: El usuario de IAM puede ser miembro de 10 grupos
     Limitación del grupo: Un grupo puede tener 5,000 usuarios
    Imprime el mensaje "No se pudo quitar a <Nombre de usuario> de <Nombre del grupo> porque intentó crear recursos que superan los límites actuales de la cuenta de AWS".

La acción debería fallar y detener la ejecución de la guía:

  • Si no se realiza correctamente (credenciales incorrectas, sin conexión, otro error del SDK): Imprime "Error al ejecutar la acción "Quitar un usuario de un grupo". Motivo: {exception.stacktrace}
 General

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.