Intégrer AWS Identity and Access Management (IAM) à Google SecOps

Ce document explique comment intégrer AWS Identity and Access Management à Google Security Operations.

Cas d'utilisation

L'intégration AWS IAM utilise les fonctionnalités Google SecOps pour prendre en charge les cas d'utilisation suivants :

  • Contention des utilisateurs compromis : révoquez automatiquement l'accès des utilisateurs IAM potentiellement compromis en appliquant des règles de refus intégrées lors des workflows de réponse aux incidents.

  • Révocation de l'accès et ajustement des privilèges : supprimez les utilisateurs des groupes IAM sensibles pour restreindre immédiatement l'accès aux ressources AWS critiques en cas de comportement anormal.

  • Gestion des règles et des groupes : automatisez la création et l'association de groupes et de règles IAM gérés pour appliquer des contrôles d'accès selon le principe du moindre privilège.

  • Audit des identités et découverte de la posture : récupérez des listes d'utilisateurs, de groupes et de règles gérées pour enrichir les alertes de sécurité et auditer les configurations IAM dans votre environnement AWS.

  • Provisionnement automatique des identités : créez des utilisateurs IAM et attribuez-les à des groupes fonctionnels prédéfinis dans le cadre des tâches d'intégration ou de correction de confinement automatisées.

Avant de commencer

Avant de configurer l'intégration AWS IAM dans Google SecOps, vérifiez que votre environnement réseau et vos identifiants AWS répondent à tous les prérequis opérationnels.

Pour préparer votre environnement à l'intégration, assurez-vous d'effectuer les opérations suivantes :

  1. Vérifiez la visibilité réseau entre Google SecOps et le point de terminaison du service mondial AWS IAM (iam.amazonaws.com).

  2. Obtenez les identifiants de l'API programmatique AWS (ID de clé d'accès et clé d'accès secrète) avec les autorisations IAM appropriées.

  3. Configurez et testez l'instance d'intégration dans Google SecOps.

Configuration réseau requise

Les équipes Google SecOps communiquent directement avec le point de terminaison du service AWS IAM à l'aide des API REST HTTPS et du SDK AWS pour Python (boto3).

Assurez-vous que votre environnement réseau respecte les règles de connectivité suivantes :

  • Accès HTTPS sortant : activez la communication HTTPS sortante de votre instance Google SecOps ou de l'agent distant vers le point de terminaison global AWS IAM (iam.amazonaws.com) sur le port 443/TCP.

    Pour en savoir plus sur les points de terminaison AWS, consultez Points de terminaison de service AWS dans la documentation AWS.

  • Configuration du proxy : si votre organisation achemine le trafic sortant via un proxy HTTP/HTTPS, configurez les variables de proxy d'environnement standard (HTTP_PROXY, HTTPS_PROXY, NO_PROXY) sur le serveur Google SecOps ou l'hôte de l'agent à distance.

Authentification et identifiants

L'intégration AWS IAM nécessite des identifiants d'API programmatiques pour authentifier les requêtes à l'aide de la version 4 d'AWS Signature.

Assurez-vous que votre environnement AWS répond aux exigences d'authentification suivantes :

  • Identifiants programmatiques : obtenez un ID de clé d'accès AWS et une clé secrète AWS valides associés à un utilisateur ou un rôle AWS IAM.

    Pour savoir comment créer des identités IAM et générer des identifiants, consultez Gérer les clés d'accès pour les utilisateurs IAM et Identités IAM dans la documentation AWS.

  • Moindre privilège : limitez les autorisations aux actions requises pour vos workflows automatisés et alternez les identifiants de connexion régulièrement.

    Pour en savoir plus sur les recommandations de sécurité, consultez Bonnes pratiques de sécurité dans IAM dans la documentation AWS.

Configurer les autorisations d'action

Accordez à l'identité AWS IAM qui s'authentifie les autorisations spécifiques requises pour les actions exécutées par vos playbooks Google SecOps.

Consultez les autorisations minimales pour les actions AWS IAM dans le tableau suivant :

Nom de l'action Autorisation IAM AWS requise (ActionName:Permission) Autorisation requise Description / Champ d'application de la ressource
Ajouter un utilisateur à un groupe iam:AddUserToGroup iam:GetAccountSummary Ajoute un utilisateur IAM à un groupe IAM. Ressource : ARN du groupe IAM cible.
Associer une règle iam:AttachUserPolicy
iam:AttachGroupPolicy
iam:AttachRolePolicy		 iam:ListPolicies Associe une stratégie gérée à un utilisateur, un groupe ou un rôle IAM. Nécessite iam:ListPolicies pour rechercher les ARN de règles par nom.
Créer un groupe iam:CreateGroup iam:GetAccountSummary Crée un groupe IAM. Ressource : ARN du groupe IAM cible.
Créer une règle iam:CreatePolicy iam:GetAccountSummary Crée une règle gérée par le client. Ressource : ARN de la stratégie IAM cible.
Créer un utilisateur iam:CreateUser iam:GetAccountSummary Crée un utilisateur IAM. Ressource : ARN de l'utilisateur IAM cible.
Désactiver l'accès des utilisateurs iam:PutUserPolicy — Associe une stratégie de refus intégrée (DisableUserAccessPolicy) pour révoquer l'accès de l'utilisateur. Ressource : ARN de l'utilisateur IAM cible.
Groupes de listes iam:ListGroups iam:GetAccountSummary Liste les groupes IAM du compte. Ressource : *.
Règles concernant les listes iam:ListPolicies iam:GetAccountSummary Liste les règles gérées dans le compte. Ressource : *.
Lister les utilisateurs iam:ListUsers iam:GetAccountSummary Liste les utilisateurs IAM du compte. Ressource : *.
Ping iam:GetAccountSummary — Valide la connectivité de l'intégration. Ressource : *.
Supprimer un utilisateur d'un groupe iam:RemoveUserFromGroup iam:GetAccountSummary Supprime un utilisateur IAM d'un groupe IAM. Ressource : ARN du groupe IAM cible.

Légende (ActionName:Permission)

Utilisez le tableau de référence rapide suivant pour consulter les autorisations requises pour chaque action :

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

Exemple de stratégie IAM (principe du moindre privilège)

L'exemple de règle suivant illustre les autorisations requises pour exécuter toutes les actions AWS IAM dans Google SecOps.

Pour savoir comment créer et associer des stratégies IAM, consultez Créer des stratégies IAM dans la documentation AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
AWS Access Key ID (ID de clé d'accès AWS) Chaîne N/A Oui ID de clé d'accès AWS à utiliser dans l'intégration.
Clé secrète AWS Mot de passe N/A Oui Clé secrète AWS à utiliser dans l'intégration.
Vérifier le protocole SSL Booléen Vrai Non Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur AWS IAM.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente dans Votre bureau et Effectuer une action manuelle.

Ajouter un utilisateur à un groupe

Ajoute l'utilisateur spécifié au groupe IAM spécifié. Utilisez des groupes pour appliquer les mêmes règles d'autorisation à plusieurs utilisateurs à la fois.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom du groupe Chaîne N/A Oui Nom du groupe à mettre à jour. Remarque : Les noms de groupes ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.
Nom de l’utilisateur Chaîne N/A Oui Nom de l'utilisateur à ajouter. Remarque : Les noms d'utilisateur ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Valeurs séparées par une virgule.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • En cas de succès : affichez "L'utilisateur <Nom d'utilisateur> a bien été ajouté au groupe IAM : <Nom du groupe>"
  • Si une erreur se produit (groupe ou utilisateur introuvable) :
     groupe introuvable Imprimez "Impossible d'ajouter <UserName> à <Group name>. Le groupe <group name> est introuvable.
     utilisateur introuvable/les deux : imprimez "Impossible d'ajouter <UserName> à <Group name>. L'utilisateur <user name> est introuvable.
  • Si une erreur se produit
    Limitation du nombre d'utilisateurs : un utilisateur IAM peut être membre de 10 groupes
     Limitation du nombre de groupes : un groupe peut contenir 5 000 utilisateurs
    Imprimez "Impossible d'ajouter <UserName> à <Group name> car il a tenté de créer des ressources au-delà des limites actuelles du compte AWS."

L'action doit échouer et arrêter l'exécution d'un playbook :

  • Si l'opération échoue (mauvaises identifiants, pas de connexion, autre erreur du SDK), affichez le message "Erreur lors de l'exécution de l'action "Ajouter un utilisateur à un groupe". Motif : {exception.stacktrace}
 Général

Associer une règle

Associez la stratégie gérée spécifiée à une identité (utilisateur, groupe, rôle).

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Type d'identité

DDL
(User, Group, Role)

 Groupe Oui Type d'identité IAM.
Nom de l'identité Chaîne N/A Oui Nom (nom convivial, pas ARN) de l'identité à laquelle associer la stratégie. Les noms d'identité ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.
Nom de la règle Chaîne N/A Oui Nom (nom convivial, pas ARN) de la stratégie à laquelle associer la stratégie. Les noms de règles ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • En cas de succès : print "La règle a été associée à <Identity Type> : <Identity Name>"

L'action doit échouer et arrêter l'exécution d'un playbook :

  • Si une erreur se produit, affichez "Impossible de créer la règle <nom de la règle>. Les noms de règles doivent être uniques dans un compte.
  • Si l'erreur "Nom d'identité non valide" s'affiche, imprimez "Impossible d'associer <nom de la règle> à <type d'identité>: <nom de l'identité>. Les noms ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-.
  • En cas d'échec (mauvaises identifiants, pas de connexion au serveur, autre erreur de serveur), affichez "Error executing action 'Attach a Policy'. Motif : {exception.stacktrace}
 Général

Créer un groupe Google Groupes

Créez un groupe IAM pour votre compte AWS. Pour configurer un groupe, vous devez le créer. Attribuez ensuite des autorisations au groupe en fonction du type de travail que vous attendez des utilisateurs du groupe. Enfin, ajoutez des utilisateurs au groupe.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom du groupe Chaîne N/A Oui Nom du groupe à créer. Valeurs séparées par des virgules. Remarque : Les noms de groupes ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Les noms doivent être uniques dans un compte.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • En cas de réussite (un ou plusieurs noms de groupes étaient valides) : print "Successfully added the following groups to IAM: <Group names>" (Les groupes suivants ont bien été ajoutés à IAM : <noms de groupes>)
  • Si l'erreur "Le groupe existe déjà" s'affiche, imprimez le message suivant : "Impossible d'ajouter les groupes suivants à IAM : <noms de groupes>. Les noms doivent être uniques dans un compte.
  • Si une erreur se produit (quelques noms de groupes sont non valides) : affichez le message "Impossible d'ajouter les groupes suivants à IAM : <noms de groupes>. Les noms de groupes ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-."
  • En cas d'erreur (augmentation de la limite. (500 groupes maximum par compte) : Imprimez "Impossible d'ajouter les groupes suivants à IAM : <noms de groupes>. Limite de groupes atteinte dans votre compte AWS.


L'action doit échouer et arrêter l'exécution d'un playbook :

  • if not successful (all names were invalid, wrong creds, no connection, other error): print "Error executing action 'Create a Group. Motif : {exception.stacktrace}
 Général

Créer une règle

Créez une stratégie IAM gérée par le client pour votre compte AWS. Cette action crée une version de la règle avec l'identifiant de version "v1" et définit "v1" comme version par défaut de la règle.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom de la règle Chaîne N/A Oui Nom de la règle à créer. Le nom de la règle ne peut pas contenir d'espaces et ne doit contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Les noms de règles doivent être uniques dans un compte.
Document de stratégie Chaîne N/A Oui Document de stratégie JSON que vous souhaitez utiliser comme contenu de la nouvelle stratégie.
Description Chaîne N/A Non Description de la règle.Généralement utilisée pour stocker des informations sur les autorisations définies dans la règle. Par exemple, "Accorde l'accès aux tables DynamoDB de production". La description de la règle est immuable. Une fois qu'une valeur a été attribuée, elle ne peut plus être modifiée.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • En cas de réussite : print "La règle <Nom de la règle> a bien été créée"

L'action doit échouer et arrêter l'exécution d'un playbook :

  • Si l'erreur "La règle existe déjà" s'affiche, imprimez "Impossible de créer la règle <nom de la règle>. Les noms de règles doivent être uniques dans un compte.
  • Si l'erreur indique que le nom de la règle n'est pas valide, affichez "Impossible de créer la règle <nom de la règle>. Les noms de règles ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-.
  • Si l'erreur "Policy doc was malformed" (Document de règles mal formé) s'affiche, imprimez "Could not create <policy name> policy. Le document de règles était mal formé.Raison : {exception.stacktrace}

if not successful (LimitExceededException, wrong creds, no connection, other error): print "Error executing action 'Create a Policy'. Motif : {exception.stacktrace}

 Général

Créer un utilisateur

Créez un utilisateur IAM pour votre compte AWS. Vous pouvez ajouter plusieurs utilisateurs à la fois avec des valeurs séparées par une virgule. Veuillez noter qu'aucune règle ne sera appliquée à ce stade.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom de l’utilisateur Chaîne N/A Oui Nom de l'utilisateur à créer. Valeurs séparées par des virgules. Remarque : Le nom d'utilisateur ne peut pas contenir d'espaces et ne doit contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Les noms doivent être uniques dans un compte.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • En cas de succès (peu de noms d'utilisateur valides), affichez "Les utilisateurs suivants ont bien été ajoutés à IAM : <noms d'utilisateur>".
  • Si l'erreur "Utilisateurs déjà existants" s'affiche, imprimez le message "Impossible d'ajouter les utilisateurs suivants à IAM : <Nom d'utilisateur>. Les noms doivent être uniques dans un compte.
  • Si une erreur s'affiche ("Quelques noms d'utilisateur non valides"), imprimez le message "Impossible d'ajouter les utilisateurs suivants à IAM : <noms d'utilisateur>. Les noms d'utilisateur ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@-.
  • En cas d'erreur (augmentation de la limite. (5 000 utilisateurs maximum par compte) : Imprimez "Impossible d'ajouter les utilisateurs suivants à IAM : <Usernames>. Limite d'utilisateurs atteinte dans votre compte AWS.

Remarque : Si rien ne s'est passé, cela signifie que tous les utilisateurs sont invalides/existent/ont atteint la limite. L'action devrait donc avoir échoué.

L'action doit échouer et arrêter l'exécution d'un playbook :

  • Si l'opération échoue (noms d'utilisateur non valides, identifiants incorrects, pas de connexion, autre erreur), affichez "Erreur lors de l'exécution de l'action 'Créer un utilisateur'. Motif : {exception.stacktrace}

Remarque : Si tous les noms d'utilisateur ne sont pas valides, affichez " "Error executing action 'Create a User'. Motif : {invalid usernames} : les noms d'utilisateur ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@-. {existing usernames} : les noms doivent être uniques dans un compte.

 Général

Désactiver l'accès utilisateur

Désactivez l'accès des utilisateurs dans AWS en ajoutant une stratégie de refus explicite intégrée.

Cette action n'est compatible qu'avec les utilisateurs AWS standards, et non avec les utilisateurs fédérés ni les rôles IAM.

Entités

Cette action s'exécute sur l'entité "Utilisateur".

Entrées d'action

N/A

Sorties d'action

Type de sortie de l'action
Pièce jointe du mur des cas N/A
Lien vers le mur des cas N/A
Tableau du mur des cas N/A
Table d'enrichissement N/A
Résultat JSON Disponible
Résultat du script Disponible
Résultat JSON
[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]
Résultat du script
Nom du résultat du script Valeur
is_success Vrai/Faux
Mur des cas

L'action fournit les messages de sortie suivants :

Message de sortie Description du message

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

 Action effectuée.
Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Échec de l'action.

Une erreur a empêché l'application de la règle de refus à au moins un utilisateur fourni.
Error executing action "Disable User Access". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Répertorier les groupes

Obtenez la liste de tous les groupes dans IAM.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nombre maximal de groupes à renvoyer Integer 50 Non Spécifiez le nombre de groupes à renvoyer. Le nombre maximal de groupes est de 1 000. La valeur par défaut est 50.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful: print "Successfully listed available groups in AWS IAM"

Si aucune donnée n'est disponible, affichez "Aucun groupe trouvé dans AWS IAM".


L'action doit échouer et arrêter l'exécution d'un playbook :

if not successful (wrong credentials, no connection to server, other server error, If 'Max Groups'> 1000): print "Error executing action 'List Groups'. Motif : {exception.stacktrace}

 Général
Table CSV

Title: IAM Groups

Colonnes :

Nom du groupe

ID du groupe

ARN

Date de création

 Général

Répertorier les règles

Listez toutes les stratégies gérées disponibles dans votre compte AWS, y compris vos propres stratégies gérées définies par le client et toutes les stratégies gérées par AWS. Vous pouvez filtrer la liste des règles renvoyées à l'aide des paramètres facultatifs "Seulement les règles associées", "Champ d'application" et "Utilisation des règles". Par exemple, pour n'afficher que les stratégies gérées par le client dans votre compte AWS, définissez "Étendue" sur "Locale". Pour n'afficher que les stratégies gérées par AWS, définissez "Étendue" sur "AWS".

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Pièce jointe uniquement Booléen Non Non Si cette case est cochée, les résultats sont filtrés pour n'afficher que les stratégies associées à un utilisateur, un groupe ou un rôle IAM. Si elle n'est pas cochée, toutes les règles sont renvoyées.
Champ d'application

DDL
(All, AWS, Local)

 Tous Non Champ à utiliser pour filtrer les résultats. Pour n'afficher que les stratégies gérées par AWS, définissez "Étendue" sur "AWS". Pour n'afficher que les stratégies gérées par le client dans votre compte AWS, définissez "Étendue" sur "Locale". Par défaut, toutes les règles sont renvoyées.
Nombre maximal de règles à renvoyer Integer 100 Non Indiquez le nombre de règles à renvoyer. La valeur par défaut est 100. La valeur maximale est de 1 000.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • if successful: print "Successfully listed available policies in AWS IAM"
  • Si la valeur "Max Policies" est inférieure aux règles correspondantes en fonction du filtre, affichez "Successfully listed available policies in AWS IAM. Veuillez noter que d'autres règles correspondent au filtre fourni."
  • Si aucune donnée n'est disponible, affichez "Aucune stratégie n'a été trouvée dans AWS IAM".


L'action doit échouer et arrêter l'exécution d'un playbook :

  • if not successful (wrong credentials, no connection to server, other server error, max>1000): print "Error executing action 'List Policies. Motif : {exception.stacktrace}
 Général
Table CSV

Titre : Stratégies IAM

Colonnes :

Nom de la règle

ID de stratégie

Date de création

Date de la mise à jour

 Général

Répertorier les utilisateurs

Obtenez la liste de tous les utilisateurs dans IAM.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nombre maximal d'utilisateurs à renvoyer Integer 50 Non Indiquez le nombre d'utilisateurs à renvoyer. Le nombre maximal d'utilisateurs est de 1 000. La valeur par défaut est 50.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful: print "Successfully listed available users in AWS IAM"

Si aucune donnée n'est disponible, affichez "Aucun utilisateur trouvé dans AWS IAM".


L'action doit échouer et arrêter l'exécution d'un playbook :

if not successful (wrong credentials, no connection to server, other server error, if max>10000): print "Error executing action 'List Users'. Motif : {exception.stacktrace}

 Général
Table CSV

Title: Utilisateurs IAM

Colonnes :

Nom d'utilisateur

ID utilisateur

ARN

Date de création

 Général

Ping

Testez la connectivité à AWS IAM avec les paramètres fournis sur la page de configuration de l'intégration dans l'onglet "Marketplace" de Google Security Operations.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite : print "Successfully connected to the AWS IAM server with the provided connection parameters!"

L'action doit échouer et arrêter l'exécution d'un playbook :

if not successful: print "Failed to connect to the AWS IAM server! Error is {0}".format(exception.stacktrace)

 Général

Retirer un utilisateur d'un groupe

Ajoute l'utilisateur spécifié au groupe IAM spécifié. Utilisez des groupes pour appliquer les mêmes règles d'autorisation à plusieurs utilisateurs à la fois.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Obligatoire Description
Nom du groupe Chaîne N/A Oui Nom du groupe à mettre à jour. Remarque : Les noms de groupes ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.
Nom de l’utilisateur Chaîne N/A Oui Nom de l'utilisateur à supprimer. Remarque : Les noms d'utilisateur ne peuvent pas contenir d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Valeurs séparées par une virgule.

Cette action ne s'applique pas aux entités Google SecOps.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

  • En cas de réussite : print "<Nom d'utilisateur> a été supprimé du groupe : <Nom du groupe>"
  • Si une erreur se produit (groupe ou utilisateur introuvable) :
    groupe introuvable : imprimez "Impossible de supprimer <UserName> de <Group name>. Le groupe <group name> est introuvable.
     utilisateur introuvable/les deux : imprimez "Impossible de supprimer <UserName> de <Group name>. L'utilisateur <user name> est introuvable.
  • Si une erreur se produit
    Limitation du nombre d'utilisateurs : un utilisateur IAM peut être membre de 10 groupes
     Limitation du nombre de groupes : un groupe peut contenir 5 000 utilisateurs
    Imprimez "Impossible de supprimer <UserName> de <Group name> car il a tenté de créer des ressources au-delà des limites actuelles du compte AWS."

L'action doit échouer et arrêter l'exécution d'un playbook :

  • En cas d'échec (mauvaises identifiants, pas de connexion, autre erreur SDK), affichez le message "Erreur lors de l'exécution de l'action 'Supprimer un utilisateur d'un groupe'. Motif : {exception.stacktrace}
 Général

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.