Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Intégrer AWS Identity and Access Management (IAM) à Google SecOps

Ce document explique comment intégrer AWS Identity and Access Management à Google Security Operations.

Cas d'utilisation

L'intégration AWS IAM utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :

Confinement des utilisateurs compromis : révoquez automatiquement l'accès des utilisateurs IAM suspectés d'être compromis en appliquant des stratégies de refus intégrées lors des workflows de réponse aux incidents.
Révocation des accès et ajustement des droits : supprimez des utilisateurs des groupes IAM sensibles pour restreindre immédiatement l'accès aux ressources AWS critiques en cas de détection d'un comportement anormal.
Gestion des règles et des groupes : automatisez la création et l'association de règles et de groupes IAM gérés pour appliquer des contrôles des accès selon le principe du moindre privilège.
Audit d'identité et découverte de la stratégie : récupérez des listes d'utilisateurs, de groupes et de règles gérées pour enrichir les alertes de sécurité et auditer les configurations IAM dans votre environnement AWS.
Provisionnement automatisé des identités : créez des utilisateurs IAM et attribuez-les à des groupes fonctionnels prédéfinis dans le cadre de tâches automatisées d'intégration ou de correction de confinement.

Avant de commencer

Avant de configurer l'intégration d'AWS IAM dans Google SecOps, vérifiez que votre environnement réseau et vos identifiants AWS répondent à toutes les conditions préalables opérationnelles.

Pour préparer votre environnement à l'intégration, assurez-vous d'effectuer les opérations suivantes :

Vérifiez la visibilité du réseau entre Google SecOps et le point de terminaison du service global AWS IAM (iam.amazonaws.com).
Obtenez des identifiants d'API programmatique AWS (un ID de clé d'accès et une clé d'accès secrète) avec les autorisations IAM appropriées.
Configurez et testez l'instance d'intégration dans Google SecOps.

Configuration réseau requise

Google SecOps communique directement avec le point de terminaison du service AWS IAM à l'aide d'API REST HTTPS et du SDK Python AWS (boto3).

Assurez-vous que votre environnement réseau respecte les règles de connectivité suivantes :

Accès HTTPS sortant : activez la communication HTTPS sortante depuis votre instance Google SecOps ou votre agent distant vers le point de terminaison global AWS IAM (iam.amazonaws.com) sur le port 443/TCP.

Pour en savoir plus sur les points de terminaison AWS, consultez Points de terminaison de service AWS dans la documentation AWS.
Configuration du proxy : si votre organisation achemine le trafic sortant via un proxy HTTP/HTTPS, configurez les variables de proxy d'environnement standards (HTTP_PROXY, HTTPS_PROXY, NO_PROXY) sur le serveur Google SecOps ou l'hôte de l'agent distant.

Authentification et identifiants

L'intégration AWS IAM nécessite des identifiants d'API programmatiques pour authentifier les requêtes à l'aide d'AWS Signature version 4.

Assurez-vous que votre environnement AWS répond aux exigences d'authentification suivantes :

Identifiants programmatiques : obtenez un ID de clé d'accès AWS et une clé secrète AWS valides associés à un utilisateur ou un rôle IAM AWS.

Pour en savoir plus sur la création d'identités IAM et la génération d'identifiants, consultez Gérer les clés d'accès pour les utilisateurs IAM et Identités IAM dans la documentation AWS.
Moindre privilège : limitez les autorisations aux seules actions requises pour vos workflows automatisés et effectuez une rotation périodique des identifiants.

Pour en savoir plus sur les recommandations de sécurité, consultez Bonnes pratiques de sécurité dans IAM dans la documentation AWS.

Configurer les autorisations d'action

Accordez à l'identité AWS IAM d'authentification les autorisations spécifiques requises pour les actions exécutées par vos playbooks Google SecOps.

Consultez les autorisations minimales pour les actions AWS IAM dans le tableau suivant :

Nom de l'action	Autorisation IAM AWS requise (`ActionName:Permission`)	Autorisation requise	Description/Champ d'application de la ressource
Ajouter un utilisateur à un groupe	`iam:AddUserToGroup`	`iam:GetAccountSummary`	Ajoute un utilisateur IAM à un groupe IAM. Ressource : ARN du groupe IAM cible.
Associer une règle	`iam:AttachUserPolicy` `iam:AttachGroupPolicy` `iam:AttachRolePolicy`	`iam:ListPolicies`	Associe une stratégie gérée à un utilisateur, un groupe ou un rôle IAM. Nécessite `iam:ListPolicies` pour rechercher les ARN de stratégie par nom.
Créer un groupe	`iam:CreateGroup`	`iam:GetAccountSummary`	Crée un groupe IAM. Ressource : ARN du groupe IAM cible.
Créer une règle	`iam:CreatePolicy`	`iam:GetAccountSummary`	Crée une règle gérée par le client. Ressource : ARN de la stratégie IAM cible.
Créer un utilisateur	`iam:CreateUser`	`iam:GetAccountSummary`	Crée un utilisateur IAM. Ressource : ARN de l'utilisateur IAM cible.
Désactiver l'accès utilisateur	`iam:PutUserPolicy`	—	Associe une stratégie de refus intégrée (`DisableUserAccessPolicy`) pour révoquer l'accès des utilisateurs. Ressource : ARN de l'utilisateur IAM cible.
Lister les groupes de fiches	`iam:ListGroups`	`iam:GetAccountSummary`	Répertorie les groupes IAM du compte. Ressource : `*`.
Lister les règles	`iam:ListPolicies`	`iam:GetAccountSummary`	Répertorie les règles gérées dans le compte. Ressource : `*`.
Lister les utilisateurs	`iam:ListUsers`	`iam:GetAccountSummary`	Répertorie les utilisateurs IAM du compte. Ressource : `*`.
Ping	`iam:GetAccountSummary`	—	Valide la connectivité de l'intégration. Ressource : `*`.
Supprimer un utilisateur d'un groupe	`iam:RemoveUserFromGroup`	`iam:GetAccountSummary`	Supprime un utilisateur IAM d'un groupe IAM. Ressource : ARN du groupe IAM cible.

Référence rapide (`ActionName:Permission`)

Utilisez l'aide-mémoire suivant pour examiner les autorisations requises pour chaque action :

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

Exemple de stratégie IAM (moindre privilège)

L'exemple de stratégie suivant illustre les autorisations requises pour exécuter toutes les actions AWS IAM dans Google SecOps.

Pour savoir comment créer et associer des stratégies IAM, consultez Créer des stratégies IAM dans la documentation AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
AWS Access Key ID (ID de clé d'accès AWS)	Chaîne	N/A	Oui	ID de clé d'accès AWS à utiliser dans l'intégration.
Clé secrète AWS	Mot de passe	N/A	Oui	Clé secrète AWS à utiliser dans l'intégration.
Vérifier le protocole SSL	Booléen	Vrai	Non	Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur AWS IAM.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ajouter un utilisateur à un groupe

Ajoute l'utilisateur spécifié au groupe IAM spécifié. Utilisez des groupes pour appliquer les mêmes règles d'autorisation à plusieurs utilisateurs à la fois.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du groupe	Chaîne	N/A	Oui	Nom du groupe à mettre à jour. Remarque : Les noms de groupes ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.
Nom de l'utilisateur	Chaîne	N/A	Oui	Nom de l'utilisateur à ajouter. Remarque : Les noms d'utilisateur ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Valeurs séparées par une virgule.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite : afficher "L'utilisateur <Nom d'utilisateur> a bien été ajouté au groupe IAM : <Nom du groupe>" Si l'erreur "Le groupe n'existe pas" et/ou "L'utilisateur n'existe pas" s'affiche : *Le groupe n'existe pas :* Affichez "Impossible d'ajouter <UserName> à <Group name>. Le groupe <group name> est introuvable. L'utilisateur n'existe pas/les deux : Affichez "Impossible d'ajouter <UserName> à <Group name>. L'utilisateur <nom d'utilisateur> est introuvable. En cas d'erreur Limite d'utilisateurs : un utilisateur IAM peut être membre de 10 groupes Limite de groupe : un groupe peut contenir 5 000 utilisateurs Affichez "Impossible d'ajouter <UserName> à <Group name>, car l'utilisateur a tenté de créer des ressources au-delà des limites actuelles du compte AWS." L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (identifiants incorrects, absence de connexion, autre erreur du SDK) : affichez "Error executing action 'Add a User to a Group. Motif : {exception.stacktrace}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite : afficher "L'utilisateur <Nom d'utilisateur> a bien été ajouté au groupe IAM : <Nom du groupe>"
Si l'erreur "Le groupe n'existe pas" et/ou "L'utilisateur n'existe pas" s'affiche :
Le groupe n'existe pas : Affichez "Impossible d'ajouter <UserName> à <Group name>. Le groupe <group name> est introuvable.
L'utilisateur n'existe pas/les deux : Affichez "Impossible d'ajouter <UserName> à <Group name>. L'utilisateur <nom d'utilisateur> est introuvable.
En cas d'erreur
Limite d'utilisateurs : un utilisateur IAM peut être membre de 10 groupes
Limite de groupe : un groupe peut contenir 5 000 utilisateurs
Affichez "Impossible d'ajouter <UserName> à <Group name>, car l'utilisateur a tenté de créer des ressources au-delà des limites actuelles du compte AWS."

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (identifiants incorrects, absence de connexion, autre erreur du SDK) : affichez "Error executing action 'Add a User to a Group. Motif : {exception.stacktrace}

Général

Associer une règle

Associez la stratégie gérée spécifiée à une identité (utilisateur, groupe, rôle).

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Type d'identité	LDD (utilisateur, groupe, rôle)	Groupe	Oui	Type d'identité IAM.
Nom de l'identité	Chaîne	N/A	Oui	Nom (nom convivial, pas ARN) de l'identité à laquelle associer la règle. Les noms d'identité ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.
Nom de la règle	Chaîne	N/A	Oui	Nom (nom descriptif, pas ARN) de la stratégie à laquelle associer la stratégie. Les noms de règles ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite : afficher "La stratégie a été associée à <Type d'identité> : <Nom de l'identité>" L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'erreur : affichez "Impossible de créer la règle <nom de la règle>. Les noms de règles doivent être uniques dans un compte. Si l'erreur est due à un nom d'identité non valide : affichez "Could not attach <policy name> to <Identity Type>: <Identity Name>. Names must contain only alphanumeric characters and/or the following: +=,.@_-." En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur) : affichez "Error executing action 'Attach a Policy'. Motif : {exception.stacktrace}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite : afficher "La stratégie a été associée à <Type d'identité> : <Nom de l'identité>"

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'erreur : affichez "Impossible de créer la règle <nom de la règle>. Les noms de règles doivent être uniques dans un compte.
Si l'erreur est due à un nom d'identité non valide : affichez "Could not attach <policy name> to <Identity Type>: <Identity Name>. Names must contain only alphanumeric characters and/or the following: +=,.@_-."
En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur) : affichez "Error executing action 'Attach a Policy'. Motif : {exception.stacktrace}

Général

Créer un groupe Google Groupes

Créez un groupe IAM pour votre compte AWS. Pour configurer un groupe, vous devez le créer. Ensuite, accordez des autorisations au groupe en fonction du type de travail que vous attendez des utilisateurs du groupe. Enfin, ajoutez des utilisateurs au groupe.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du groupe	Chaîne	N/A	Oui	Nom du groupe à créer. Valeurs séparées par une virgule. Remarque : Les noms de groupes ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Les noms doivent être uniques au sein d'un compte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite (quelques noms de groupes ou tous les noms de groupes étaient valides) : afficher "Les groupes suivants ont bien été ajoutés à IAM : <noms des groupes>" Si l'erreur "Le groupe existe déjà" s'affiche : affichez le message "Impossible d'ajouter les groupes suivants à IAM : <noms des groupes>. Les noms doivent être uniques au sein d'un compte. En cas d'erreur (quelques noms de groupes non valides) : affichez "Impossible d'ajouter les groupes suivants à IAM : <noms des groupes>. Les noms de groupes ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-. En cas d'erreur (augmentation de la limite). Max 500 groups per account): Print "Could not add the following groups to IAM: <Group names>. Reach to Groups limitation in your aws account. L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (tous les noms n'étaient pas valides, identifiants incorrects, pas de connexion, autre erreur) : affichez "Error executing action 'Create a Group. Motif : {exception.stacktrace}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite (quelques noms de groupes ou tous les noms de groupes étaient valides) : afficher "Les groupes suivants ont bien été ajoutés à IAM : <noms des groupes>"
Si l'erreur "Le groupe existe déjà" s'affiche : affichez le message "Impossible d'ajouter les groupes suivants à IAM : <noms des groupes>. Les noms doivent être uniques au sein d'un compte.
En cas d'erreur (quelques noms de groupes non valides) : affichez "Impossible d'ajouter les groupes suivants à IAM : <noms des groupes>. Les noms de groupes ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-.
En cas d'erreur (augmentation de la limite). Max 500 groups per account): Print "Could not add the following groups to IAM: <Group names>. Reach to Groups limitation in your aws account.

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (tous les noms n'étaient pas valides, identifiants incorrects, pas de connexion, autre erreur) : affichez "Error executing action 'Create a Group. Motif : {exception.stacktrace}

Général

Créer une règle

Créez une stratégie IAM gérée par le client pour votre compte AWS. Cette action crée une version de stratégie avec l'identifiant de version "v1" et définit "v1" comme version par défaut de la stratégie.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de la règle	Chaîne	N/A	Oui	Nom de la stratégie à créer. Le nom de la règle ne peut pas inclure d'espaces et ne doit contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Les noms de règles doivent être uniques au sein d'un compte.
Document de stratégie	Chaîne	N/A	Oui	Document de stratégie JSON que vous souhaitez utiliser comme contenu pour la nouvelle stratégie.
Description	Chaîne	N/A	Non	Description de la stratégie.Généralement utilisée pour stocker des informations sur les autorisations définies dans la stratégie. Par exemple, "Accorde l'accès aux tables DynamoDB de production". La description de la règle est immuable. Une fois qu'une valeur est attribuée, elle ne peut plus être modifiée.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite : affichez "La règle <nom de la règle> a bien été créée". L'action doit échouer et arrêter l'exécution d'un playbook : Si l'erreur "Policy already exists" (La règle existe déjà) s'affiche : affichez "Could not create <policy name> policy. Les noms de règles doivent être uniques dans un compte. Si l'erreur est due à un nom de règle non valide : affichez "Impossible de créer la règle <nom de la règle>. Les noms de règles ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-. En cas d'erreur (document de stratégie incorrect) : affichez "Impossible de créer la stratégie <nom de la stratégie>. Le document de stratégie était incorrect.Motif : {exception.stacktrace} if not successful (LimitExceededException, wrong creds, no connection, other error): print "Error executing action 'Create a Policy'. Motif : {exception.stacktrace}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite : affichez "La règle <nom de la règle> a bien été créée".

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'erreur "Policy already exists" (La règle existe déjà) s'affiche : affichez "Could not create <policy name> policy. Les noms de règles doivent être uniques dans un compte.
Si l'erreur est due à un nom de règle non valide : affichez "Impossible de créer la règle <nom de la règle>. Les noms de règles ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@_-.
En cas d'erreur (document de stratégie incorrect) : affichez "Impossible de créer la stratégie <nom de la stratégie>. Le document de stratégie était incorrect.Motif : {exception.stacktrace}

if not successful (LimitExceededException, wrong creds, no connection, other error): print "Error executing action 'Create a Policy'. Motif : {exception.stacktrace}

Général

Créer un utilisateur

Créez un utilisateur IAM pour votre compte AWS. Vous pouvez ajouter plusieurs utilisateurs à la fois en séparant les valeurs par une virgule. Veuillez noter qu'aucune règle ne sera appliquée à ce stade.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de l'utilisateur	Chaîne	N/A	Oui	Nom de l'utilisateur à créer. Valeurs séparées par une virgule. Remarque : Le nom d'utilisateur ne peut pas inclure d'espaces et ne doit contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Les noms doivent être uniques au sein d'un compte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite (quelques noms d'utilisateur étaient valides) : afficher "Les utilisateurs suivants ont bien été ajoutés à IAM : <Noms d'utilisateur>" Si une erreur se produit (les utilisateurs existent déjà) : affichez "Could not add the following users to IAM: <Usernames>. Names must be unique within an account." (Impossible d'ajouter les utilisateurs suivants à IAM : <Usernames>. Les noms doivent être uniques au sein d'un compte.) En cas d'erreur (quelques noms d'utilisateur n'étaient pas valides) : affichez "Impossible d'ajouter les utilisateurs suivants à IAM : <Noms d'utilisateur>. Les noms d'utilisateur ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@-. Si une erreur se produit (limite de relance). Max 5000 users per account): Print "Could not add the following users to IAM: <Usernames>. Reach to Users limitation in your aws account. Remarque : Si rien ne s'est passé, cela signifie que tous les utilisateurs sont non valides, existent déjà ou que la limite a été atteinte. L'action devrait échouer. L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (tous les noms d'utilisateur n'étaient pas valides, identifiants incorrects, pas de connexion, autre erreur) : affichez "Error executing action 'Create a User'. Motif : {exception.stacktrace} Remarque : Si tous les noms d'utilisateur ne sont pas valides, affichez "Error executing action 'Create a User'. Motif : {invalid usernames} : les noms d'utilisateur ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@-. {existing usernames} : les noms doivent être uniques au sein d'un compte.	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite (quelques noms d'utilisateur étaient valides) : afficher "Les utilisateurs suivants ont bien été ajoutés à IAM : <Noms d'utilisateur>"
Si une erreur se produit (les utilisateurs existent déjà) : affichez "Could not add the following users to IAM: <Usernames>. Names must be unique within an account." (Impossible d'ajouter les utilisateurs suivants à IAM : <Usernames>. Les noms doivent être uniques au sein d'un compte.)
En cas d'erreur (quelques noms d'utilisateur n'étaient pas valides) : affichez "Impossible d'ajouter les utilisateurs suivants à IAM : <Noms d'utilisateur>. Les noms d'utilisateur ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@-.
Si une erreur se produit (limite de relance). Max 5000 users per account): Print "Could not add the following users to IAM: <Usernames>. Reach to Users limitation in your aws account.

Remarque : Si rien ne s'est passé, cela signifie que tous les utilisateurs sont non valides, existent déjà ou que la limite a été atteinte. L'action devrait échouer.

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (tous les noms d'utilisateur n'étaient pas valides, identifiants incorrects, pas de connexion, autre erreur) : affichez "Error executing action 'Create a User'. Motif : {exception.stacktrace}

Remarque : Si tous les noms d'utilisateur ne sont pas valides, affichez "Error executing action 'Create a User'. Motif : {invalid usernames} : les noms d'utilisateur ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=,.@-. {existing usernames} : les noms doivent être uniques au sein d'un compte.

Général

Désactiver l'accès utilisateur

Désactivez l'accès des utilisateurs dans AWS en ajoutant une stratégie de refus intégrée explicite.

Cette action n'est compatible qu'avec les utilisateurs AWS standards, et non avec les utilisateurs fédérés ou les rôles IAM.

Entités

Cette action s'exécute sur l'entité "Utilisateur".

Entrées de l'action

N/A

Sorties de l'action

Type de sortie de l'action
Pièce jointe du mur des cas	N/A
Lien vers le mur des cas	N/A
Tableau du mur des cas	N/A
Table d'enrichissement	N/A
Résultat JSON	Disponible
Résultat du script	Disponible

Résultat JSON

[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]

Résultat du script

Nom du résultat du script	Valeur
is_success	Vrai/Faux

Mur des cas

L'action fournit les messages de sortie suivants :

Message de sortie Description du message

Message de sortie	Description du message
`Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST` `Action wasn't able to find the following users in AWS IAM: USERNAME_LIST` `Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST`	Action effectuée.
`Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST`	Échec de l'action. Une erreur a empêché l'application de la stratégie de refus à au moins un utilisateur fourni.
`Error executing action "Disable User Access". Reason: ERROR_REASON`	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

Action effectuée.

Successfully added deny policy to the following users in AWS
      IAM: USERNAME_LIST

Échec de l'action.

Une erreur a empêché l'application de la stratégie de refus à au moins un utilisateur fourni.

Error executing action "Disable User Access". Reason:
      ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Répertorier les groupes

Obtenez la liste de tous les groupes dans IAM.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nombre maximal de groupes à renvoyer	Integer	50	Non	Spécifiez le nombre de groupes à renvoyer. Le nombre maximal est de 1 000 groupes. La valeur par défaut est 50.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : if successful: print "Successfully listed available groups in AWS IAM" Si aucune donnée n'est disponible : affichez "No Groups found in AWS IAM" (Aucun groupe trouvé dans AWS IAM). L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur, si "Max Groups" > 1 000) : afficher "Error executing action 'List Groups'. Motif : {exception.stacktrace}	Général
Tableau CSV	Titre : Groupes IAM Colonnes : Nom du groupe ID du groupe ARN Date de création	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful: print "Successfully listed available groups in AWS IAM"

Si aucune donnée n'est disponible : affichez "No Groups found in AWS IAM" (Aucun groupe trouvé dans AWS IAM).

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur, si "Max Groups" > 1 000) : afficher "Error executing action 'List Groups'. Motif : {exception.stacktrace}

Général

Tableau CSV

Titre : Groupes IAM

Colonnes :

Nom du groupe

ID du groupe

ARN

Date de création

Général

Répertorier les règles

Répertoriez toutes les règles gérées disponibles dans votre compte AWS, y compris vos propres règles gérées définies par le client et toutes les règles gérées par AWS. Vous pouvez filtrer la liste des règles renvoyées à l'aide des paramètres facultatifs "Only Attached" (Uniquement associées), "Scope" (Champ d'application) et "Policy Usage" (Utilisation des règles). Par exemple, pour ne lister que les règles gérées par le client dans votre compte AWS, définissez "Scope" sur "Local". Pour lister uniquement les règles gérées par AWS, définissez "Scope" (Champ d'application) sur "AWS".

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Uniquement les contraintes associées	Booléen	Non	Non	Si cette option est cochée, les résultats sont filtrés pour n'afficher que les stratégies associées à un utilisateur, un groupe ou un rôle IAM. Si vous décochez cette option, toutes les règles seront renvoyées.
Champ d'application	LDD (Tous, AWS, Local)	Tous	Non	Champ d'application à utiliser pour filtrer les résultats. Pour ne lister que les règles gérées par AWS, définissez "Scope" (Champ d'application) sur "AWS". Pour ne lister que les règles gérées par le client dans votre compte AWS, définissez "Scope" (Champ d'application) sur "Local". Par défaut, toutes les règles sont renvoyées.
Nombre maximal de règles à renvoyer	Integer	100	Non	Spécifiez le nombre de règles à renvoyer. La valeur par défaut est 100. La valeur maximale est de 1 000.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : if successful: print "Successfully listed available policies in AWS IAM" Si la valeur "Max Policies" est inférieure au nombre de règles de correspondance basé sur le filtre : affichez "Successfully listed available policies in AWS IAM. Veuillez noter que d'autres règles correspondent au filtre fourni." Si aucune donnée n'est disponible : affichez "No Policies were found in AWS IAM" (Aucune stratégie n'a été trouvée dans AWS IAM). L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur, max>1000) : afficher "Error executing action 'List Policies. Motif : {exception.stacktrace}	Général
Tableau CSV	Titre : Stratégies IAM Colonnes : Nom de la règle ID de stratégie Date de création Date de la mise à jour	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful: print "Successfully listed available policies in AWS IAM"
Si la valeur "Max Policies" est inférieure au nombre de règles de correspondance basé sur le filtre : affichez "Successfully listed available policies in AWS IAM. Veuillez noter que d'autres règles correspondent au filtre fourni."
Si aucune donnée n'est disponible : affichez "No Policies were found in AWS IAM" (Aucune stratégie n'a été trouvée dans AWS IAM).

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur, max>1000) : afficher "Error executing action 'List Policies. Motif : {exception.stacktrace}

Général

Tableau CSV

Titre : Stratégies IAM

Colonnes :

Nom de la règle

ID de stratégie

Date de création

Date de la mise à jour

Général

Répertorier les utilisateurs

Obtenir la liste de tous les utilisateurs dans IAM.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nombre maximal d'utilisateurs à renvoyer	Integer	50	Non	Spécifiez le nombre d'utilisateurs à renvoyer. Le nombre maximal d'utilisateurs est de 1 000. La valeur par défaut est 50.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Résultat JSON

[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite : afficher "Successfully listed available users in AWS IAM" (Liste des utilisateurs disponibles dans AWS IAM récupérée) Si aucune donnée n'est disponible : affichez "Aucun utilisateur trouvé dans AWS IAM". L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur, si max>10000) : afficher "Error executing action 'List Users'. Motif : {exception.stacktrace}	Général
Tableau CSV	Titre : Utilisateurs IAM Colonnes : Nom d'utilisateur ID utilisateur ARN Date de création	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite : afficher "Successfully listed available users in AWS IAM" (Liste des utilisateurs disponibles dans AWS IAM récupérée)

Si aucune donnée n'est disponible : affichez "Aucun utilisateur trouvé dans AWS IAM".

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (identifiants incorrects, pas de connexion au serveur, autre erreur du serveur, si max>10000) : afficher "Error executing action 'List Users'. Motif : {exception.stacktrace}

Général

Tableau CSV

Titre : Utilisateurs IAM

Colonnes :

Nom d'utilisateur

ID utilisateur

ARN

Date de création

Général

Ping

Testez la connectivité à AWS IAM avec les paramètres fournis sur la page de configuration de l'intégration dans la page du hub de contenus Google SecOps.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : if successful: print "Successfully connected to the AWS IAM server with the provided connection parameters!" L'action doit échouer et arrêter l'exécution d'un playbook : if not successful: print "Failed to connect to the AWS IAM server! Error is {0}".format(exception.stacktrace)	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

if successful: print "Successfully connected to the AWS IAM server with the provided connection parameters!"

L'action doit échouer et arrêter l'exécution d'un playbook :

if not successful: print "Failed to connect to the AWS IAM server! Error is {0}".format(exception.stacktrace)

Général

Supprimer un utilisateur d'un groupe

Ajoute l'utilisateur spécifié au groupe IAM spécifié. Utilisez des groupes pour appliquer les mêmes règles d'autorisation à plusieurs utilisateurs à la fois.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du groupe	Chaîne	N/A	Oui	Nom du groupe à mettre à jour. Remarque : Les noms de groupes ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-.
Nom de l'utilisateur	Chaîne	N/A	Oui	Nom de l'utilisateur à supprimer. Remarque : Les noms d'utilisateur ne peuvent pas inclure d'espaces et ne doivent contenir que des caractères alphanumériques et/ou les caractères suivants : +=.@_-. Valeurs séparées par une virgule.

Cette action ne s'exécute pas sur les entités Google SecOps.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur
is_success	is_success=False
is_success	is_success=True

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite : affichez "<Nom d'utilisateur> a été supprimé du groupe : <Nom du groupe>". Si l'erreur "Le groupe n'existe pas" et/ou "L'utilisateur n'existe pas" s'affiche : *Le groupe n'existe pas :* Affichez "Impossible de supprimer <UserName> de <Group name>. Le groupe <group name> est introuvable. L'utilisateur n'existe pas/les deux : Affichez "Impossible de supprimer <UserName> de <Group name>. L'utilisateur <user name> est introuvable. Si l'erreur Limite d'utilisateurs : un utilisateur IAM peut être membre de 10 groupes Limite de groupes : un groupe peut contenir 5 000 utilisateurs Affichez "Impossible de supprimer <UserName> de <Group name>, car il a tenté de créer des ressources au-delà des limites actuelles du compte AWS." L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'échec (identifiants incorrects, pas de connexion, autre erreur du SDK) : affichez "Error executing action 'Remove a User from a Group. Motif : {exception.stacktrace}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

En cas de réussite : affichez "<Nom d'utilisateur> a été supprimé du groupe : <Nom du groupe>".
Si l'erreur "Le groupe n'existe pas" et/ou "L'utilisateur n'existe pas" s'affiche :
Le groupe n'existe pas : Affichez "Impossible de supprimer <UserName> de <Group name>. Le groupe <group name> est introuvable.
L'utilisateur n'existe pas/les deux : Affichez "Impossible de supprimer <UserName> de <Group name>. L'utilisateur <user name> est introuvable.
Si l'erreur
Limite d'utilisateurs : un utilisateur IAM peut être membre de 10 groupes
Limite de groupes : un groupe peut contenir 5 000 utilisateurs
Affichez "Impossible de supprimer <UserName> de <Group name>, car il a tenté de créer des ressources au-delà des limites actuelles du compte AWS."

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec (identifiants incorrects, pas de connexion, autre erreur du SDK) : affichez "Error executing action 'Remove a User from a Group. Motif : {exception.stacktrace}

Général

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.

Intégrer AWS Identity and Access Management (IAM) à Google SecOps

Cas d'utilisation

Avant de commencer

Configuration réseau requise

Authentification et identifiants

Configurer les autorisations d'action

Référence rapide (ActionName:Permission)

Exemple de stratégie IAM (moindre privilège)

Paramètres d'intégration

Actions

Ajouter un utilisateur à un groupe

Paramètres

Résultats de l'action

Résultat du script

Mur des cas

Associer une règle

Paramètres

Résultats de l'action

Résultat du script

Mur des cas

Créer un groupe Google Groupes

Paramètres

Résultats de l'action

Résultat du script

Résultat JSON

Mur des cas

Créer une règle

Paramètres

Résultats de l'action

Résultat du script

Résultat JSON

Mur des cas

Créer un utilisateur

Paramètres

Résultats de l'action

Résultat du script

Résultat JSON

Mur des cas

Désactiver l'accès utilisateur

Entités

Entrées de l'action

Sorties de l'action

Résultat JSON

Résultat du script

Mur des cas

Répertorier les groupes

Paramètres

Résultats de l'action

Résultat du script

Résultat JSON

Mur des cas

Répertorier les règles

Paramètres

Résultats de l'action

Résultat du script

Résultat JSON

Mur des cas

Répertorier les utilisateurs

Paramètres

Résultats de l'action

Résultat du script

Résultat JSON

Mur des cas

Ping

Résultats de l'action

Résultat du script

Mur des cas

Supprimer un utilisateur d'un groupe

Paramètres

Résultats de l'action

Résultat du script

Mur des cas

Référence rapide (`ActionName:Permission`)