שילוב של AWS Identity and Access Management (IAM) עם Google SecOps

במאמר הזה מוסבר איך לשלב את AWS ניהול זהויות והרשאות גישה (IAM) עם Google Security Operations.

תרחישים לדוגמה

השילוב של AWS IAM משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

  • הכלה של משתמשים שנחשפו: ביטול אוטומטי של הגישה למשתמשי IAM שחשודים כחשופים, באמצעות החלת כללי מדיניות דחייה מוטבעים במהלך תהליכי עבודה של תגובה לאירועים.

  • ביטול גישה ושינוי הרשאות: הסרת משתמשים מקבוצות IAM רגישות כדי להגביל באופן מיידי את הגישה למשאבי AWS קריטיים, כשמזוהה התנהגות חריגה.

  • ניהול מדיניות וקבוצות: אוטומציה של יצירה וצירוף של קבוצות וכללי מדיניות מנוהלים של IAM, כדי לאכוף בקרת גישה לפי הרשאות מינימליות.

  • ביקורת זהויות וגילוי מצב: אחזור רשימות של משתמשים, קבוצות וכללי מדיניות מנוהלים כדי להעשיר את התראות האבטחה ולבצע ביקורת על הגדרות IAM בסביבת AWS.

  • הקצאת זהויות אוטומטית: יצירת משתמשי IAM והקצאה שלהם לקבוצות פונקציונליות מוגדרות מראש, כחלק ממשימות אוטומטיות של הדרכת עובדים חדשים או תיקון הכלה.

לפני שמתחילים

לפני שמגדירים את השילוב של AWS IAM ב-Google SecOps, צריך לוודא שסביבת הרשת ופרטי הכניסה ל-AWS עומדים בכל הדרישות המוקדמות לתפעול.

כדי להכין את הסביבה לשילוב, צריך לבצע את הפעולות הבאות:

  1. מוודאים שיש קו ראייה ברשת בין Google SecOps לבין נקודת הקצה של השירות הגלובלי של AWS IAM‏ (iam.amazonaws.com).

  2. משיגים פרטי כניסה פרוגרמטיים ל-API של AWS (מזהה מפתח גישה ומפתח גישה סודי) עם הרשאות IAM מתאימות.

  3. מגדירים ובודקים את המכונה המשולבת ב-Google SecOps.

דרישות רשת

‫Google SecOps מתקשר ישירות עם נקודת הקצה של שירות AWS IAM באמצעות ממשקי API בארכיטקטורת REST ב-HTTPS ו-AWS Python SDK (boto3).

חשוב לוודא שסביבת הרשת עומדת בכללי הקישוריות הבאים:

  • גישה יוצאת ל-HTTPS: הפעילו תקשורת יוצאת של HTTPS מהמכונה של Google SecOps או מהסוכן המרוחק לנקודת הקצה הגלובלית של AWS IAM‏ (iam.amazonaws.com) דרך יציאה 443/TCP.

    למידע נוסף על נקודות קצה של AWS, קראו את המאמר AWS Service Endpoints במסמכי התיעוד של AWS.

  • הגדרת שרת proxy: אם הארגון שלכם מנתב תעבורת נתונים יוצאת דרך Proxy ל-HTTP/HTTPS, צריך להגדיר משתני סביבה סטנדרטיים של שרת proxy‏ (HTTP_PROXY,‏ HTTPS_PROXY,‏ NO_PROXY) בשרת Google SecOps או במארח של הסוכן המרוחק.

אימות ופרטי כניסה

כדי לשלב את AWS IAM, צריך פרטי כניסה פרוגרמטיים ל-API כדי לאמת בקשות באמצעות AWS Signature Version 4.

חשוב לוודא שסביבת AWS עומדת בדרישות האימות הבאות:

  • פרטי כניסה פרוגרמטיים: משיגים מזהה מפתח גישה תקין ל-AWS ומפתח סודי ל-AWS שמשויכים למשתמש או לתפקיד ב-AWS IAM.

    כדי ללמוד איך יוצרים זהויות IAM ומפיקים פרטי כניסה, קראו את המאמרים ניהול מפתחות גישה למשתמשי IAM וזהויות IAM במסמכי התיעוד של AWS.

  • הרשאות מינימליות: הגבילו את ההרשאות רק לפעולות שנדרשות לתהליכי העבודה האוטומטיים, והחליפו את פרטי הכניסה מדי פעם.

    לפרטים על המלצות אבטחה, ראו שיטות מומלצות לאבטחה ב-IAM במסמכי התיעוד של AWS.

הגדרת הרשאות לפעולות

נותנים לזהות AWS IAM המאומתת את ההרשאות הספציפיות שנדרשות לפעולות שהפלייבוקים של Google SecOps מבצעים.

בטבלה הבאה מפורטות ההרשאות המינימליות לפעולות ב-AWS IAM:

שם הפעולה הרשאת AWS IAM נדרשת (ActionName:Permission) הרשאה נדרשת תיאור / היקף המשאבים
הוספת משתמש לקבוצה iam:AddUserToGroup iam:GetAccountSummary הוספת משתמש IAM לקבוצת IAM. משאב: ה-ARN של קבוצת היעד ב-IAM.
צירוף מדיניות iam:AttachUserPolicy
iam:AttachGroupPolicy
iam:AttachRolePolicy		 iam:ListPolicies מצרף מדיניות מנוהלת למשתמש, לקבוצה או לתפקיד ב-IAM. נדרשת ההרשאה iam:ListPolicies כדי לחפש את ה-ARN של המדיניות לפי שם.
יצירת קבוצה iam:CreateGroup iam:GetAccountSummary יוצרת קבוצת IAM חדשה. משאב: ה-ARN של קבוצת היעד ב-IAM.
יצירת מדיניות iam:CreatePolicy iam:GetAccountSummary יצירת מדיניות חדשה בניהול הלקוח. משאב: ה-ARN של מדיניות היעד ב-IAM.
יצירת משתמש iam:CreateUser iam:GetAccountSummary יוצר משתמש IAM חדש. משאב: ARN של משתמש IAM המוגדר כיעד.
השבתת הגישה של המשתמשים iam:PutUserPolicy — מצרף מדיניות דחייה מוטבעת (DisableUserAccessPolicy) כדי לבטל את הגישה של המשתמש. משאב: ARN של משתמש IAM המוגדר כיעד.
קבוצות של כרטיסי מוצר iam:ListGroups iam:GetAccountSummary הצגת רשימה של קבוצות IAM בחשבון. המשאב: *.
רשימת כללי המדיניות iam:ListPolicies iam:GetAccountSummary רשימה של כללי המדיניות המנוהלים בחשבון. המשאב: *.
הצגת רשימת משתמשים iam:ListUsers iam:GetAccountSummary מציג את משתמשי ה-IAM בחשבון. המשאב: *.
פינג iam:GetAccountSummary — מאמת את הקישוריות של השילוב. המשאב: *.
הסרת משתמש מקבוצה iam:RemoveUserFromGroup iam:GetAccountSummary הסרת משתמש IAM מקבוצת IAM. משאב: ה-ARN של קבוצת היעד ב-IAM.

הסבר לסמלים שמופיעים בטבלה (ActionName:Permission)

כדי לבדוק מהן ההרשאות הנדרשות לכל פעולה, אפשר להיעזר בטבלה הבאה:

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

דוגמה למדיניות IAM (הרשאות מינימליות)

המדיניות לדוגמה הבאה ממחישה את ההרשאות שנדרשות כדי להריץ את כל הפעולות של AWS IAM ב-Google SecOps.

במסמכי התיעוד של AWS מוסבר איך יוצרים ומצרפים כללי מדיניות IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה מפתח הגישה של AWS String לא רלוונטי כן מזהה מפתח הגישה ל-AWS שבו משתמשים בשילוב.
מפתח סודי של AWS סיסמה לא רלוונטי כן מפתח סודי של AWS לשימוש בשילוב.
אימות SSL בוליאני True לא אם האפשרות הזו נבחרת, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת AWS IAM.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

הוספת משתמש לקבוצה

הוספת המשתמש שצוין לקבוצת ה-IAM שצוינה. אתם יכולים להשתמש בקבוצות כדי להחיל את אותה מדיניות הרשאות על כמה משתמשים בבת אחת.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם קבוצה String לא רלוונטי כן שם הקבוצה שרוצים לעדכן. הערה: שמות של קבוצות לא יכולים לכלול רווחים, ויכולים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-.
שם משתמש String לא רלוונטי כן שם המשתמש שרוצים להוסיף. הערה: שמות משתמשים לא יכולים לכלול רווחים, וחייבים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-. ערכים מופרדים בפסיקים.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה הצליחה: מדפיסים את ההודעה "Successfully added the user <שם משתמש> to the IAM group: <Group name>"
  • אם השגיאה היא "הקבוצה לא קיימת" או "המשתמש לא קיים":
    הקבוצה לא קיימת: הדפסת ההודעה "לא ניתן להוסיף את <UserName> אל <Group name>. הקבוצה <group name> לא נמצאה.
     המשתמש לא קיים או שניהם: הדפסת ההודעה "לא ניתן להוסיף את <UserName> אל <Group name>. המשתמש <user name> לא נמצא.
  • אם יש שגיאה
    מגבלת משתמשים – משתמש IAM יכול להיות חבר ב-10 קבוצות
     מגבלת קבוצות – 5,000 משתמשים יכולים להיות בקבוצה
    מדפיסים את ההודעה "Could not add <UserName> to <Group name> because it attempted to create resources beyond the current AWS account limits."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם הפעולה נכשלה (פרטי כניסה שגויים, אין חיבור, שגיאת SDK אחרת): מדפיסים את ההודעה "Error executing action 'Add a User to a Group.‎ הסיבה: {exception.stacktrace}
 כללי

צירוף מדיניות

צירוף המדיניות המנוהלת שצוינה לזהות (משתמש, קבוצה, תפקיד).

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג הזהות

DDL
(משתמש, קבוצה, תפקיד)

 קבוצה כן סוג הזהות ב-IAM.
שם הזהות String לא רלוונטי כן השם (שם ידידותי, לא ARN) של הזהות שאליה רוצים לצרף את המדיניות. שמות של זהויות לא יכולים לכלול רווחים, ויכולים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-.
שם המדיניות String לא רלוונטי כן השם (שם ידידותי, לא ARN) של המדיניות שאליה רוצים לצרף את המדיניות. שמות של כללי מדיניות לא יכולים לכלול רווחים, ויכולים להכיל רק תווים אלפאנומריים או את התווים הבאים: +=.@_-.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה בוצעה בהצלחה: מדפיסים את ההודעה "Policy was attached to <Identity Type>: <Identity Name>"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם יש שגיאה: מדפיסים את ההודעה "Could not create <policy name> policy.‎ שמות המדיניות צריכים להיות ייחודיים בכל חשבון.
  • אם יש שגיאה – שם הזהות לא תקין: מדפיסים את ההודעה "Could not attach <policy name> to <Identity Type>: <Identity Name>. Names must contain only תווים אלפאנומריים and/or the following: +=,.@_-.
  • אם הפעולה נכשלה (פרטי כניסה שגויים, אין חיבור לשרת, שגיאה אחרת בחיבור לשרת): מדפיסים את ההודעה "Error executing action 'Attach a Policy'". הסיבה: {exception.stacktrace}
 כללי

יצירת קבוצה

יוצרים קבוצת IAM חדשה בחשבון AWS. כדי להגדיר קבוצה, צריך ליצור אותה. אחרי זה, נותנים לקבוצה הרשאות בהתאם לסוג העבודה שאתם מצפים שהמשתמשים בקבוצה יעשו. בסוף, מוסיפים משתמשים לקבוצה.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם קבוצה String לא רלוונטי כן שם הקבוצה שרוצים ליצור. ערכים מופרדים בפסיקים. הערה: שמות של קבוצות לא יכולים לכלול רווחים, וחייבים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-. השמות חייבים להיות ייחודיים בחשבון.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה הצליחה (חלק משמות הקבוצות או כולם היו תקינים): מדפיסים את ההודעה "Successfully added the following groups to IAM: <Group names>"
  • אם יש שגיאה – הקבוצה כבר קיימת: מדפיסים את ההודעה "Could not add the following groups to IAM: <Group names>. Names must be unique within an account".
  • אם יש שגיאה (חלק משמות הקבוצות לא תקינים): מדפיסים את ההודעה "Could not add the following groups to IAM: <Group names>. Group names must contain only תווים אלפאנומריים and/or the following: +=,.@_-.
  • אם יש שגיאה (הגבלת העלאה. מקסימום 500 קבוצות לכל חשבון): מדפיסים את ההודעה "Could not add the following groups to IAM: <Group names>. Reach to Groups limitation in your aws account".


הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם הפעולה נכשלה (כל השמות לא תקינים, פרטי כניסה שגויים, אין חיבור, שגיאה אחרת): מדפיסים את ההודעה "Error executing action 'Create a Group.‎ הסיבה: {exception.stacktrace}
 כללי

יצירת מדיניות

יוצרים מדיניות IAM בניהול הלקוח בחשבון AWS. הפעולה הזו יוצרת גרסת מדיניות עם מזהה הגרסה v1, ומגדירה את v1 כגרסת ברירת המחדל של המדיניות.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המדיניות String לא רלוונטי כן שם המדיניות שרוצים ליצור. שם המדיניות לא יכול לכלול רווחים, והוא חייב להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-. שמות המדיניות חייבים להיות ייחודיים בחשבון.
מסמך מדיניות String לא רלוונטי כן מסמך המדיניות בפורמט JSON שרוצים להשתמש בו כתוכן של המדיניות החדשה.
תיאור String לא רלוונטי לא תיאור המדיניות.בדרך כלל משמש לאחסון מידע על ההרשאות שמוגדרות במדיניות. לדוגמה, "מעניק גישה לטבלאות DynamoDB בסביבת הייצור". אי אפשר לשנות את תיאור המדיניות. אחרי שמקצים ערך, אי אפשר לשנות אותו.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה הצליחה: מדפיסים את ההודעה "המדיניות <Policy name> נוצרה"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם יש שגיאה – המדיניות כבר קיימת: מדפיסים את ההודעה "לא ניתן ליצור את המדיניות <שם המדיניות>. שמות המדיניות צריכים להיות ייחודיים בכל חשבון.
  • אם יש שגיאה – שם המדיניות לא תקין: מדפיסים את ההודעה "לא ניתן ליצור את המדיניות <policy name>. שמות של כללי מדיניות יכולים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: ‎+=,.@_-.‎
  • אם יש שגיאה – מסמך המדיניות לא תקין : מדפיסים את ההודעה "Could not create <policy name> policy. מסמך המדיניות לא תקין.הסיבה: {exception.stacktrace}

אם הפעולה נכשלה (LimitExceededException, פרטי כניסה שגויים, אין חיבור, שגיאה אחרת): מדפיסים את ההודעה "Error executing action 'Create a Policy'.‎ הסיבה: {exception.stacktrace}

 כללי

יצירת משתמש

יוצרים משתמש IAM חדש בחשבון AWS. אפשר להוסיף כמה משתמשים בבת אחת באמצעות ערכים שמופרדים בפסיקים. חשוב לדעת שבשלב הזה לא יופעלו כללי מדיניות.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם משתמש String לא רלוונטי כן שם המשתמש שרוצים ליצור. ערכים מופרדים בפסיקים. הערה: שם המשתמש לא יכול לכלול רווחים, והוא חייב להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-. השמות חייבים להיות ייחודיים בחשבון.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה הצליחה (כמה שמות משתמשים היו תקינים): מדפיסים את ההודעה "Successfully added the following users to IAM: <User names>"
  • אם יש שגיאה – המשתמשים כבר קיימים: מדפיסים את ההודעה "לא ניתן להוסיף את המשתמשים הבאים ל-IAM: <שמות משתמשים>. השמות צריכים להיות ייחודיים בחשבון.
  • אם יש שגיאה (כמה שמות משתמשים לא תקינים): מדפיסים את ההודעה "Could not add the following users to IAM: <Usernames>. Usernames must contain only תווים אלפאנומריים ו/או את התווים הבאים: +=,.@-.
  • אם יש שגיאה (הגדלת המגבלה. מקסימום 5,000 משתמשים לכל חשבון): מדפיסים את ההודעה "Could not add the following users to IAM: <Usernames>. Reach to Users limitation in your aws account" (לא ניתן להוסיף את המשתמשים הבאים ל-IAM: <שמות משתמשים>. הגעת למגבלת המשתמשים בחשבון AWS שלך).

הערה: אם לא קרה כלום: כל המשתמשים לא חוקיים/קיימים/הגיעו למגבלה ← הפעולה אמורה להיכשל

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם הפעולה נכשלה (כל שמות המשתמשים לא היו חוקיים, פרטי הכניסה שגויים, אין חיבור, שגיאה אחרת): מדפיסים את ההודעה "Error executing action 'Create a User'.‎ הסיבה: {exception.stacktrace}

הערה: אם כל שמות המשתמשים לא תקינים, צריך להדפיס את ההודעה "שגיאה בביצוע הפעולה 'יצירת משתמש'. הסיבה: {invalid usernames}: שמות משתמשים יכולים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=,.@-. {existing usernames}: השמות חייבים להיות ייחודיים בחשבון.

 כללי

השבתת גישת משתמשים

משביתים את הגישה של המשתמש ב-AWS על ידי הוספה של מדיניות דחייה מוטבעת מפורשת.

הפעולה הזו תומכת רק במשתמשי AWS רגילים, ולא במשתמשים מאוחדים או בתפקידי IAM.

ישויות

הפעולה הזו פועלת על הישות "משתמש".

קלט של הפעולה

לא רלוונטי

ערכי פלט של פעולות

סוג הפלט של הפעולה
חיבור לקיר של המארז לא רלוונטי
קישור ללוח הפניות לא רלוונטי
שולחן קונסולה צמוד לקיר לא רלוונטי
טבלת העשרה לא רלוונטי
תוצאת JSON יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON
[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]
תוצאת הסקריפט
שם תוצאת הסקריפט ערך
is_success נכון/לא נכון
קיר נרתיק הטעינה

הפעולה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

 הפעולה בוצעה בהצלחה.
Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

הפעולה נכשלה.

שגיאה מנעה את החלת מדיניות הדחייה על משתמש אחד לפחות.
Error executing action "Disable User Access". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

קבוצות של כרטיסי מוצר

קבלת רשימה של כל הקבוצות ב-IAM.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
המספר המקסימלי של קבוצות שיוחזרו מספר שלם 50 לא מציינים כמה קבוצות להחזיר. אפשר להוסיף עד 1,000 קבוצות. ברירת המחדל היא 50.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה: מדפיסים "Successfully listed available groups in AWS IAM"

אם אין נתונים זמינים: מדפיסים את ההודעה "No Groups found in AWS IAM" (לא נמצאו קבוצות ב-AWS IAM)


הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם הפעולה נכשלה (פרטי כניסה שגויים, אין חיבור לשרת, שגיאה אחרת בחיבור לשרת, אם "מספר הקבוצות המקסימלי"> 1,000): מדפיסים את ההודעה "שגיאה בביצוע הפעולה 'רשימת קבוצות'. הסיבה: {exception.stacktrace}

 כללי
טבלת CSV

כותרת: קבוצות IAM

עמודות:

שם הקבוצה

מזהה קבוצה

ARN

תאריך יצירה

 כללי

רשימת כללי המדיניות

מציגים את כל כללי המדיניות המנוהלים שזמינים בחשבון AWS, כולל כללי המדיניות המנוהלים שהוגדרו על ידי הלקוח וכל כללי המדיניות המנוהלים של AWS. אפשר לסנן את רשימת כללי המדיניות שמוחזרים באמצעות הפרמטרים האופציונליים Only Attached,‏ Scope ו-Policy Usage. לדוגמה, כדי להציג רק את כללי המדיניות שמנוהלים על ידי הלקוח בחשבון AWS, מגדירים את Scope ל-Local. כדי להציג רק כללי מדיניות מנוהלים של AWS, מגדירים את Scope ל-AWS.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
רק קבצים מצורפים בוליאני לא לא כשמסמנים את התיבה, התוצאות מסוננות כך שיוצגו רק כללי המדיניות שמצורפים למשתמש, לקבוצה או לתפקיד ב-IAM. אם לא מסמנים את התיבה, כל כללי המדיניות יוחזרו.
היקף

DDL
(All, AWS, Local)

 הכול לא ההיקף שבו משתמשים כדי לסנן את התוצאות. כדי להציג רק כללי מדיניות מנוהלים של AWS, מגדירים את Scope (היקף) ל-AWS. כדי להציג רק את כללי המדיניות שמנוהלים על ידי הלקוח בחשבון AWS, מגדירים את Scope (היקף) ל-Local (מקומי). כברירת מחדל, כל כללי המדיניות יוחזרו.
מספר המדיניות המקסימלי להחזרה מספר שלם 100 לא מציינים כמה כללי מדיניות להחזיר. ברירת המחדל היא 100. המספר המקסימלי הוא 1,000.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה הצליחה: מדפיסים את ההודעה "Successfully listed available policies in AWS IAM"
  • אם הערך של "מספר המדיניות המקסימלי" קטן ממספר כללי המדיניות שתואמים למסנן: הדפסת ההודעה "Successfully listed available policies in AWS IAM. לתשומת ליבך, יש כללי מדיניות נוספים שתואמים למסנן שציינת".
  • אם אין נתונים: מדפיסים את ההודעה "No Policies were found in AWS IAM"


הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם הפעולה נכשלה (פרטי כניסה שגויים, אין חיבור לשרת, שגיאה בחיבור לשרת, ערך מקסימלי> 1,000): מדפיסים את ההודעה "Error executing action 'List Policies. הסיבה: {exception.stacktrace}
 כללי
טבלת CSV

כותרת: כללי מדיניות IAM

עמודות:

שם המדיניות

מזהה מדיניות

תאריך יצירה

תאריך העדכון

 כללי

רשימת משתמשים

מקבלים רשימה של כל המשתמשים ב-IAM.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר המשתמשים המקסימלי להחזרה מספר שלם 50 לא צריך לציין כמה משתמשים להחזיר. המספר המקסימלי הוא 1,000 משתמשים. ברירת המחדל היא 50.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה: מדפיסים את ההודעה "Successfully listed available users in AWS IAM"

אם אין נתונים זמינים: מדפיסים את ההודעה "לא נמצאו משתמשים ב-AWS IAM"


הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם הפעולה נכשלה (פרטי כניסה שגויים, אין חיבור לשרת, שגיאה אחרת בחיבור לשרת, אם הערך המקסימלי גדול מ-10,000): מדפיסים את ההודעה "Error executing action 'List Users'.‎ הסיבה: {exception.stacktrace}

 כללי
טבלת CSV

כותרת: משתמשי IAM

עמודות:

שם משתמש

מזהה משתמש

ARN

תאריך יצירה

 כללי

פינג

בודקים את הקישוריות ל-AWS IAM באמצעות הפרמטרים שצוינו בדף הגדרת השילוב ב-Google SecOps Content Hub.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם החיבור הצליח: מדפיסים את ההודעה "Successfully connected to the AWS IAM server with the provided connection parameters!‎"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם החיבור נכשל: מדפיסים את ההודעה "Failed to connect to the AWS IAM server!‎ השגיאה היא {0}".format(exception.stacktrace)

 כללי

הסרת משתמש מקבוצה

הוספת המשתמש שצוין לקבוצת ה-IAM שצוינה. אתם יכולים להשתמש בקבוצות כדי להחיל את אותה מדיניות הרשאות על כמה משתמשים בבת אחת.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם קבוצה String לא רלוונטי כן שם הקבוצה שרוצים לעדכן. הערה: שמות של קבוצות לא יכולים לכלול רווחים, ויכולים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-.
שם משתמש String לא רלוונטי כן שם המשתמש שרוצים להסיר. הערה: שמות משתמשים לא יכולים לכלול רווחים, וחייבים להכיל רק תווים אלפאנומריים ו/או את התווים הבאים: +=.@_-. ערכים מופרדים בפסיקים.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם הפעולה הצליחה: מדפיסים "<שם משתמש> הוסר מהקבוצה: <Group name>"
  • אם יש שגיאה – הקבוצה לא קיימת או/ו המשתמש לא קיים:
    הקבוצה לא קיימת: הדפסת ההודעה "לא ניתן להסיר את <UserName> מ-<Group name>. הקבוצה <group name> לא נמצאה.
     המשתמש לא קיים/שניהם: הדפסת ההודעה "לא ניתן להסיר את <UserName> מ-<Group name>. המשתמש <user name> לא נמצא.
  • אם יש שגיאה
    מגבלת משתמשים – משתמש IAM יכול להיות חבר ב-10 קבוצות
     מגבלת קבוצות – 5,000 משתמשים יכולים להיות בקבוצה
    מדפיסים את ההודעה "Could not remove <UserName> from <Group name> because it attempted to create resources beyond the current AWS account limits".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם הפעולה נכשלה (פרטי כניסה שגויים, אין חיבור, שגיאת SDK אחרת): מדפיסים את ההודעה "Error executing action 'Remove a User from a Group. הסיבה: {exception.stacktrace}
 כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.