Integra AWS Identity and Access Management (IAM) con Google SecOps

Questo documento descrive come integrare AWS Identity and Access Management con Google Security Operations.

Casi d'uso

L'integrazione di AWS IAM utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Contenimento degli utenti compromessi: revoca automaticamente l'accesso per gli utenti IAM sospettati di essere compromessi applicando policy di negazione in linea durante i workflow di risposta agli incidenti.

  • Revoca dell'accesso e modifica dei privilegi: rimuovi gli utenti dai gruppi IAM sensibili per limitare immediatamente l'accesso alle risorse AWS critiche in caso di rilevamento di comportamenti anomali.

  • Gestione di policy e gruppi: automatizza la creazione e l'associazione di policy e gruppi IAM gestiti per applicare controlli di accesso con privilegi minimi.

  • Controllo delle identità e rilevamento della postura: recupera elenchi di utenti, gruppi e policy gestite per arricchire gli avvisi di sicurezza e controllare le configurazioni IAM nel tuo ambiente AWS.

  • Provisioning automatico delle identità: crea utenti IAM e assegnali a gruppi funzionali predefiniti nell'ambito delle attività di onboarding automatico o di contenimento.

Prima di iniziare

Prima di configurare l'integrazione di AWS IAM in Google SecOps, verifica che l'ambiente di rete e le credenziali AWS soddisfino tutti i prerequisiti operativi.

Per preparare l'ambiente per l'integrazione, assicurati di completare i seguenti passaggi:

  1. Verifica la visibilità della rete tra Google SecOps e l'endpoint del servizio globale IAM di AWS (iam.amazonaws.com).

  2. Ottieni le credenziali API programmatiche di AWS (un ID chiave di accesso e una chiave di accesso segreta) con le autorizzazioni IAM appropriate.

  3. Configura e testa l'istanza di integrazione all'interno di Google SecOps.

Requisiti di rete

Google SecOps comunica direttamente con l'endpoint del servizio AWS IAM utilizzando le API REST HTTPS e l'SDK AWS Python (boto3).

Assicurati che l'ambiente di rete soddisfi le seguenti regole di connettività:

  • Accesso HTTPS in uscita: abilita la comunicazione HTTPS in uscita dalla tua istanza Google SecOps o dall'agente remoto all'endpoint globale AWS IAM (iam.amazonaws.com) sulla porta 443/TCP.

    Per ulteriori informazioni sugli endpoint AWS, consulta Endpoint di servizio AWS nella documentazione di AWS.

  • Configurazione del proxy: se la tua organizzazione instrada il traffico in uscita tramite un proxy HTTP/HTTPS, configura le variabili proxy dell'ambiente standard (HTTP_PROXY, HTTPS_PROXY, NO_PROXY) sul server Google SecOps o sull'host dell'agente remoto.

Autenticazione e credenziali

L'integrazione di AWS IAM richiede credenziali API programmatiche per autenticare le richieste utilizzando la versione 4 della firma di AWS.

Assicurati che il tuo ambiente AWS soddisfi i seguenti requisiti di autenticazione:

  • Credenziali programmatiche: ottieni un ID chiave di accesso AWS e una chiave segreta AWS validi associati a un utente o ruolo AWS IAM.

    Per informazioni sulla creazione di identità IAM e sulla generazione di credenziali, consulta Gestione delle chiavi di accesso per gli utenti IAM e Identità IAM nella documentazione di AWS.

  • Privilegio minimo: limita le autorizzazioni solo alle azioni necessarie per i tuoi workflow automatizzati e ruota periodicamente le credenziali.

    Per informazioni dettagliate sui suggerimenti per la sicurezza, consulta Best practice per la sicurezza in IAM nella documentazione di AWS.

Configura le autorizzazioni per le azioni

Concedi all'identità AWS IAM di autenticazione le autorizzazioni specifiche richieste per le azioni eseguite dai playbook di Google SecOps.

Consulta le autorizzazioni minime per le azioni AWS IAM nella tabella seguente:

Nome azione Autorizzazione AWS IAM richiesta (ActionName:Permission) Autorizzazione prerequisito Descrizione/Ambito risorsa
Aggiungi un utente a un gruppo iam:AddUserToGroup iam:GetAccountSummary Aggiunge un utente IAM a un gruppo IAM. Risorsa: ARN del gruppo IAM di destinazione.
Collega una policy iam:AttachUserPolicy
iam:AttachGroupPolicy
iam:AttachRolePolicy		 iam:ListPolicies Collega una policy gestita a un utente, un gruppo o un ruolo IAM. Richiede iam:ListPolicies per cercare gli ARN delle policy in base al nome.
Crea un gruppo iam:CreateGroup iam:GetAccountSummary Crea un nuovo gruppo IAM. Risorsa: ARN del gruppo IAM di destinazione.
Crea una policy iam:CreatePolicy iam:GetAccountSummary Crea una nuova policy gestita dal cliente. Risorsa: ARN della policy IAM di destinazione.
Crea un utente iam:CreateUser iam:GetAccountSummary Crea un nuovo utente IAM. Risorsa: ARN dell'utente IAM di destinazione.
Disabilita l'accesso utente iam:PutUserPolicy — Collega una policy di negazione inline (DisableUserAccessPolicy) per revocare l'accesso degli utenti. Risorsa: ARN dell'utente IAM di destinazione.
List Groups iam:ListGroups iam:GetAccountSummary Elenca i gruppi IAM nell'account. Risorsa: *.
Elenco delle policy iam:ListPolicies iam:GetAccountSummary Elenca le policy gestite nell'account. Risorsa: *.
Elenca gli utenti iam:ListUsers iam:GetAccountSummary Elenca gli utenti IAM nell'account. Risorsa: *.
Ping iam:GetAccountSummary — Convalida la connettività dell'integrazione. Risorsa: *.
Rimuovi un utente da un gruppo iam:RemoveUserFromGroup iam:GetAccountSummary Rimuove un utente IAM da un gruppo IAM. Risorsa: ARN del gruppo IAM di destinazione.

Riferimento rapido (ActionName:Permission)

Utilizza il seguente riferimento rapido per esaminare le autorizzazioni richieste per ogni azione:

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

Esempio di policy IAM (privilegio minimo)

La seguente policy di esempio mostra le autorizzazioni necessarie per eseguire tutte le azioni AWS IAM in Google SecOps.

Per istruzioni sulla creazione e sul collegamento delle policy IAM, consulta Creazione di policy IAM nella documentazione di AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
ID chiave di accesso AWS Stringa N/D Sì ID chiave di accesso AWS da utilizzare nell'integrazione.
Chiave segreta AWS Password N/D Sì Chiave segreta AWS da utilizzare nell'integrazione.
Verifica SSL Booleano Vero No Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server AWS IAM.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Aggiungi un utente a un gruppo

Aggiunge l'utente specificato al gruppo IAM specificato. Utilizza i gruppi per applicare le stesse policy di autorizzazione a più utenti contemporaneamente.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome gruppo Stringa N/D Sì Il nome del gruppo da aggiornare. Nota: i nomi dei gruppi non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=.@_-.
Nome utente Stringa N/D Sì Il nome dell'utente da aggiungere. Nota: i nomi utente non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. Valori separati da virgola.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • if successful: print "Successfully added the user <User name> to the IAM group: <Group name>"
  • If error - Group not exist or/and User not exist:
    group not exist: Print "Could not add <UserName> to <Group name>. The Group <group name> cannot be found.
     user not exist/both: Print "Could not add <UserName> to <Group name>. The user <user name> cannot be found.
  • If error
    User limitation - IAM user can be a member of 10 groups
     Group limitation - 5000 users can be in a group
    Print "Could not add <UserName> to <Group name> because it attempted to create resources beyond the current AWS account limits."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (credenziali errate, nessuna connessione, altro errore dell'SDK): stampa "Error executing action 'Add a User to a Group. Motivo: {exception.stacktrace}
 Generale

Collega una policy

Collega la policy gestita specificata a un'identità (utente, gruppo, ruolo).

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Tipo di identità

DDL
(Utente, Gruppo, Ruolo)

 Gruppo Sì Tipo di identità IAM.
Nome identità Stringa N/D Sì Il nome (nome descrittivo, non ARN) dell'identità a cui collegare la policy. I nomi delle identità non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-.
Nome del criterio Stringa N/D Sì Il nome (nome descrittivo, non ARN) della policy a cui collegare la policy. I nomi delle policy non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • if successful: print "Policy was attached to <Identity Type>: <Identity Name>"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'errore è -: stampa "Impossibile creare la policy <nome policy>. I nomi delle policy devono essere univoci all'interno di un account.
  • If error - identity name was invalid: Print "Could not attach <policy name> to <Identity Type>: <Identity Name>. Names must contain only alphanumeric characters and/or the following: +=,.@_-.
  • if not successful (wrong credentials, no connection to server, other server error): print "Error executing action 'Attach a Policy'. Motivo: {exception.stacktrace}
 Generale

Crea un gruppo

Crea un nuovo gruppo IAM per il tuo account AWS. Per configurare un gruppo, devi crearlo. Quindi, assegna al gruppo le autorizzazioni in base al tipo di lavoro che prevedi che gli utenti del gruppo svolgano. Infine, aggiungi gli utenti al gruppo.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome gruppo Stringa N/D Sì Nome del gruppo da creare. Valori separati da virgola. Nota: i nomi dei gruppi non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=.@_-. I nomi devono essere univoci all'interno di un account.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • Se l'operazione ha esito positivo (alcuni o tutti i nomi dei gruppi erano validi): stampa "I seguenti gruppi sono stati aggiunti correttamente a IAM: <Nomi dei gruppi>"
  • Se si verifica un errore perché il gruppo esiste già: stampa "Impossibile aggiungere i seguenti gruppi a IAM: <Nomi dei gruppi>. I nomi devono essere univoci all'interno di un account.
  • In caso di errore (alcuni nomi di gruppi non erano validi): stampa "Impossibile aggiungere i seguenti gruppi a IAM: <Group names>. I nomi dei gruppi devono contenere solo caratteri alfanumerici e/o i seguenti: +=,.@_-.
  • If error (raise limitation. Max 500 gruppi per account): Stampa "Impossibile aggiungere i seguenti gruppi a IAM: <Nomi dei gruppi>. Raggiungi il limite di gruppi nel tuo account AWS.


L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • if not successful (all names were invalid, wrong creds, no connection, other error): print "Error executing action 'Create a Group. Motivo: {exception.stacktrace}
 Generale

Crea una policy

Crea una policy gestita dal cliente IAM per il tuo account AWS. Questa azione crea una versione della policy con un identificatore di versione v1 e imposta v1 come versione predefinita della policy.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome del criterio Stringa N/D Sì Nome della policy da creare. Il nome della policy non può includere spazi e deve contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=.@_-. I nomi delle policy devono essere univoci all'interno di un account.
Documento delle norme Stringa N/D Sì Il documento della policy JSON che vuoi utilizzare come contenuto per la nuova policy.
Descrizione Stringa N/D No Descrizione della policy.In genere viene utilizzata per archiviare informazioni sulle autorizzazioni definite nella policy. Ad esempio, "Concede l'accesso alle tabelle DynamoDB di produzione". La descrizione della policy è immutabile. Una volta assegnato, il valore non può essere modificato.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • if successful: print "<Policy name> policy was successfully created"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'errore è "Policy already exists" (La policy esiste già): stampa "Could not create <policy name> policy. I nomi delle policy devono essere univoci all'interno di un account.
  • If error - policy name was invalid: Print "Could not create <policy name> policy. I nomi delle policy devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=,.@_-.
  • If error - Policy doc was malformed : Print "Could not create <policy name> policy. Il documento della policy non è nel formato corretto.Motivo: {exception.stacktrace}

if not successful (LimitExceededException, wrong creds, no connection, other error): print "Error executing action 'Create a Policy'. Motivo: {exception.stacktrace}

 Generale

Crea un utente

Crea un nuovo utente IAM per il tuo account AWS. Puoi aggiungere più utenti contemporaneamente con valori separati da virgole. Tieni presente che in questa fase non verranno applicate policy.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome utente Stringa N/D Sì Nome dell'utente da creare. Valori separati da virgola. Nota: il nome utente non può includere spazi e deve contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. I nomi devono essere univoci all'interno di un account.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • Se l'operazione ha esito positivo (alcuni nomi utente erano validi): stampa "I seguenti utenti sono stati aggiunti correttamente a IAM: <Nomi utente>"
  • Se si verifica un errore (gli utenti esistono già): stampa "Impossibile aggiungere i seguenti utenti a IAM: <Usernames>. I nomi devono essere univoci all'interno di un account.
  • In caso di errore (alcuni nomi utente non erano validi): stampa "Impossibile aggiungere i seguenti utenti a IAM: <Nomi utente>. I nomi utente devono contenere solo caratteri alfanumerici e/o i seguenti: +=,.@-.
  • If error (raise limitation. Max 5000 users per account): Print "Could not add the following users to IAM: <Usernames>. Reach to Users limitation in your aws account.

Nota: se non è successo nulla, tutti gli utenti non sono validi/esistono/hanno raggiunto il limite → l'azione non è andata a buon fine

L'azione non deve riuscire e deve interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (tutti i nomi utente non sono validi, credenziali errate, nessuna connessione, altro errore): stampa "Errore durante l'esecuzione dell'azione 'Crea un utente'. Motivo: {exception.stacktrace}

Nota: se tutti i nomi utente non sono validi, viene visualizzato il messaggio "Errore durante l'esecuzione dell'azione 'Crea un utente'. Motivo: {invalid usernames}: i nomi utente devono contenere solo caratteri alfanumerici e/o i seguenti: +=,.@-. {existing usernames}: i nomi devono essere univoci all'interno di un account.

 Generale

Disabilita l'accesso degli utenti

Disattiva l'accesso degli utenti in AWS aggiungendo una policy di negazione inline esplicita.

Questa azione supporta solo gli utenti AWS normali, non gli utenti federati o i ruoli IAM.

Entità

Questa azione viene eseguita sull'entità Utente.

Input azione

N/D

Output azione

Tipo di output dell'azione
Allegato della bacheca richieste N/D
Link alla bacheca casi N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON Disponibile
Risultato dello script Disponibile
Risultato JSON
[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]
Risultato dello script
Nome del risultato dello script Valore
is_success Vero/Falso
Bacheca casi

L'azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

 Azione riuscita.
Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Azione non riuscita.

Un errore ha impedito l'applicazione della policy di negazione ad almeno un utente fornito.
Error executing action "Disable User Access". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.

Elenco gruppi

Ottieni un elenco di tutti i gruppi in IAM.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Numero massimo di gruppi da restituire Numero intero 50 No Specifica il numero di gruppi da restituire. Il numero massimo è 1000 gruppi. Il valore predefinito è 50.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

if successful: print "Successfully listed available groups in AWS IAM"

Se non sono disponibili dati: stampa "Nessun gruppo trovato in AWS IAM"


L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if not successful (wrong credentials, no connection to server, other server error, If 'Max Groups'> 1000): print "Error executing action 'List Groups'. Motivo: {exception.stacktrace}

 Generale
Tabella CSV

Titolo: Gruppi IAM

Colonne:

Nome del gruppo

ID gruppo

ARN

Data creazione

 Generale

Elenco criteri

Elenca tutte le policy gestite disponibili nel tuo account AWS, incluse le policy gestite definite dal cliente e tutte le policy gestite da AWS. Puoi filtrare l'elenco delle policy restituite utilizzando i parametri facoltativi Only Attached, Scope e Policy Usage. Ad esempio, per elencare solo le policy gestite dal cliente nel tuo account AWS, imposta Ambito su Locale. Per elencare solo le policy gestite da AWS, imposta Scope (Ambito) su AWS.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Solo quelli collegati Booleano No No Se questa opzione è selezionata, i risultati vengono filtrati in modo da mostrare solo i criteri collegati a un utente, un gruppo o un ruolo IAM. Se non è selezionata, verranno restituite tutte le policy.
Ambito

DDL
(Tutti, AWS, Locale)

 Tutti No L'ambito da utilizzare per filtrare i risultati. Per elencare solo le policy gestite da AWS, imposta Scope (Ambito) su AWS. Per elencare solo le policy gestite dal cliente nel tuo account AWS, imposta Ambito su Locale. Per impostazione predefinita, verranno restituite tutte le policy.
Numero massimo di policy da restituire Numero intero 100 No Specifica il numero di policy da restituire. Il valore predefinito è 100. Il valore massimo è 1000.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • if successful: print "Successfully listed available policies in AWS IAM"
  • Se il valore 'Max Policies' è inferiore alle norme di corrispondenza in base al filtro: Stampa "Successfully listed available policies in AWS IAM. Tieni presente che esistono altre policy che corrispondono al filtro fornito."
  • Se non sono presenti dati: stampa "No Policies were found in AWS IAM" (Nessun criterio trovato in AWS IAM)


L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • if not successful (wrong credentials, no connection to server, other server error, max>1000): print "Error executing action 'List Policies. Motivo: {exception.stacktrace}
 Generale
Tabella CSV

Titolo: Policy IAM

Colonne:

Nome del criterio

ID policy

Crea data

Data aggiornamento

 Generale

Elenco utenti

Ottieni un elenco di tutti gli utenti in IAM.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Numero massimo di utenti da restituire Numero intero 50 No Specifica il numero di utenti da restituire. Il numero massimo è 1000 utenti. Il valore predefinito è 50.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

if successful: print "Successfully listed available users in AWS IAM"

Se non sono disponibili dati: stampa "Nessun utente trovato in AWS IAM"


L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if not successful (wrong credentials, no connection to server, other server error, if max>10000): print "Error executing action 'List Users'. Motivo: {exception.stacktrace}

 Generale
Tabella CSV

Title: Utenti IAM

Colonne:

Nome utente

ID utente

ARN

Data creazione

 Generale

Dindin

Testa la connettività ad AWS IAM con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

if successful: print "Successfully connected to the AWS IAM server with the provided connection parameters!"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if not successful: print "Failed to connect to the AWS IAM server! Error is {0}".format(exception.stacktrace)

 Generale

Rimuovi un utente da un gruppo

Aggiunge l'utente specificato al gruppo IAM specificato. Utilizza i gruppi per applicare le stesse policy di autorizzazione a più utenti contemporaneamente.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome gruppo Stringa N/D Sì Il nome del gruppo da aggiornare. Nota: i nomi dei gruppi non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=.@_-.
Nome utente Stringa N/D Sì Il nome dell'utente da rimuovere. Nota: i nomi utente non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. Valori separati da virgola.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

  • Se l'operazione va a buon fine: stampa "<Nome utente> è stato rimosso dal gruppo: <Nome gruppo>"
  • If error - Group not exist or/and User not exist:
    group not exist: Print "Could not remove <UserName> from <Group name>. The Group <group name> cannot be found.
     user not exist/both: Print "Could not remove <UserName> from <Group name>. The user <user name> cannot be found.
  • If error
    User limitation - IAM user can be a member of 10 groups
     Group limitation - 5000 users can be in a group
    Print "Could not remove <UserName> from <Group name> because it attempted to create resources beyond the current AWS account limits."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (credenziali errate, nessuna connessione, altro errore dell'SDK): stampa "Error executing action 'Remove a User from a Group. Motivo: {exception.stacktrace}
 Generale

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.