Integra AWS Identity and Access Management (IAM) con Google SecOps

Questo documento descrive come integrare AWS Identity and Access Management con Google Security Operations.

Casi d'uso

L'integrazione di AWS IAM utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Contenimento degli utenti compromessi: revoca automatica dell'accesso per gli utenti IAM sospetti compromessi applicando policy di negazione inline durante i flussi di lavoro di risposta agli incidenti.

  • Revoca dell'accesso e aggiustamento dei privilegi: rimuovi gli utenti dai gruppi IAM sensibili per limitare immediatamente l'accesso alle risorse AWS critiche al rilevamento di un comportamento anomalo.

  • Gestione di criteri e gruppi: automatizza la creazione e l'allegato di gruppi e criteri IAM gestiti per applicare controlli dell'accesso con privilegi minimi.

  • Controllo dell'identità e rilevamento della postura: recupera elenchi di utenti, gruppi e policy gestite per arricchire gli avvisi di sicurezza e controllare le configurazioni IAM nel tuo ambiente AWS.

  • Provisioning automatico delle identità: crea utenti IAM e assegnali a gruppi funzionali predefiniti nell'ambito delle attività di onboarding automatico o di correzione del contenimento.

Prima di iniziare

Prima di configurare l'integrazione di AWS IAM in Google SecOps, verifica che l'ambiente di rete e le credenziali AWS soddisfino tutti i prerequisiti operativi.

Per preparare l'ambiente all'integrazione, assicurati di completare le seguenti operazioni:

  1. Verifica la linea di visibilità della rete tra Google SecOps e l'endpoint di servizio globale AWS IAM (iam.amazonaws.com).

  2. Ottieni le credenziali API programmatiche AWS (un ID chiave di accesso e una chiave di accesso segreta) con le autorizzazioni IAM appropriate.

  3. Configura e testa l'istanza di integrazione in Google SecOps.

Requisiti di rete

Google SecOps comunica direttamente con l'endpoint del servizio AWS IAM utilizzando le API REST HTTPS e l'SDK AWS Python (boto3).

Assicurati che il tuo ambiente di rete soddisfi le seguenti regole di connettività:

  • Accesso HTTPS in uscita: attiva la comunicazione HTTPS in uscita dalla tua istanza Google SecOps o dall'agente remoto all'endpoint globale AWS IAM (iam.amazonaws.com) sulla porta 443/TCP.

    Per ulteriori informazioni sugli endpoint AWS, consulta Endpoint di servizio AWS nella documentazione di AWS.

  • Configurazione del proxy: se la tua organizzazione instrada il traffico in uscita tramite un proxy HTTP/HTTPS, configura le variabili proxy dell'ambiente standard (HTTP_PROXY, HTTPS_PROXY, NO_PROXY) sul server Google SecOps o sull'host dell'agente remoto.

Autenticazione e credenziali

L'integrazione di AWS IAM richiede credenziali API programmatiche per autenticare le richieste utilizzando la versione 4 della firma di AWS.

Assicurati che il tuo ambiente AWS soddisfi i seguenti requisiti di autenticazione:

  • Credenziali programmatiche: ottieni un ID chiave di accesso AWS e una chiave segreta AWS validi associati a un utente o un ruolo AWS IAM.

    Per informazioni sulla creazione di identità IAM e sulla generazione di credenziali, consulta Gestione delle chiavi di accesso per gli utenti IAM e Identità IAM nella documentazione AWS.

  • Privilegio minimo: limita le autorizzazioni alle sole azioni richieste per i tuoi workflow automatizzati e ruota periodicamente le credenziali.

    Per informazioni dettagliate sui consigli per la sicurezza, consulta Best practice per la sicurezza in IAM nella documentazione di AWS.

Configurare le autorizzazioni di azione

Concedi all'identità AWS IAM di autenticazione le autorizzazioni specifiche richieste per le azioni eseguite dai playbook di Google SecOps.

Per le autorizzazioni minime per le azioni AWS IAM, consulta la tabella seguente:

Nome azione Autorizzazione AWS IAM richiesta (ActionName:Permission) Autorizzazione prerequisito Descrizione / ambito risorsa
Aggiungere un utente a un gruppo iam:AddUserToGroup iam:GetAccountSummary Aggiunge un utente IAM a un gruppo IAM. Risorsa: ARN del gruppo IAM di destinazione.
Allegare un criterio iam:AttachUserPolicy
iam:AttachGroupPolicy
iam:AttachRolePolicy		 iam:ListPolicies Collega una policy gestita a un utente, un gruppo o un ruolo IAM. Richiede iam:ListPolicies per cercare gli ARN delle policy per nome.
Creare un gruppo iam:CreateGroup iam:GetAccountSummary Crea un nuovo gruppo IAM. Risorsa: ARN del gruppo IAM di destinazione.
Creare una policy iam:CreatePolicy iam:GetAccountSummary Crea una nuova policy gestita dal cliente. Risorsa: ARN del criterio IAM di destinazione.
Creare un utente iam:CreateUser iam:GetAccountSummary Crea un nuovo utente IAM. Risorsa: ARN dell'utente IAM di destinazione.
Disattivare l'accesso utente iam:PutUserPolicy — Collega un criterio di negazione inline (DisableUserAccessPolicy) per revocare l'accesso utente. Risorsa: ARN dell'utente IAM di destinazione.
Elenco dei gruppi iam:ListGroups iam:GetAccountSummary Elenca i gruppi IAM nell'account. Risorsa: *.
Norme relative agli elenchi iam:ListPolicies iam:GetAccountSummary Elenca le policy gestite nell'account. Risorsa: *.
Elenca utenti iam:ListUsers iam:GetAccountSummary Elenca gli utenti IAM nell'account. Risorsa: *.
Ping iam:GetAccountSummary — Convalida la connettività dell'integrazione. Risorsa: *.
Rimuovere un utente da un gruppo iam:RemoveUserFromGroup iam:GetAccountSummary Rimuove un utente IAM da un gruppo IAM. Risorsa: ARN del gruppo IAM di destinazione.

Riferimento rapido (ActionName:Permission)

Utilizza il seguente riferimento rapido per esaminare le autorizzazioni richieste per ogni azione:

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

Criterio IAM di esempio (privilegio minimo)

La seguente policy di esempio mostra le autorizzazioni necessarie per eseguire tutte le azioni AWS IAM in Google SecOps.

Per istruzioni sulla creazione e l'allegato di policy IAM, consulta Creazione di policy IAM nella documentazione di AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID chiave di accesso AWS Stringa N/D Sì ID chiave di accesso AWS da utilizzare nell'integrazione.
Chiave segreta AWS Password N/D Sì Chiave segreta AWS da utilizzare nell'integrazione.
Verifica SSL Booleano Vero No Se selezionata, l'integrazione convalida il certificato SSL quando si connette al server AWS IAM.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Aggiungere un utente a un gruppo

Aggiunge l'utente specificato al gruppo IAM specificato. Utilizza i gruppi per applicare le stesse norme relative alle autorizzazioni a più utenti contemporaneamente.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome gruppo Stringa N/D Sì Il nome del gruppo da aggiornare. Nota: i nomi dei gruppi non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-.
Nome utente Stringa N/D Sì Il nome dell'utente da aggiungere. Nota: i nomi utente non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. Valori separati da virgola.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • In caso di esito positivo, stampa "Successfully added the user <User name> to the IAM group: <Group name>" (L'utente <User name> è stato aggiunto al gruppo IAM: <Group name>)
  • Se si verifica un errore - Gruppo non esistente e/o Utente non esistente:
    Gruppo non esistente: Stampa "Impossibile aggiungere <UserName> a <Group name>. Il gruppo <group name> non è stato trovato.
     Utente non esistente/entrambi: stampa "Impossibile aggiungere <UserName> a <Group name>. L'utente <user name> non è stato trovato.
  • Se si verifica un errore
    Limitazione utente: un utente IAM può essere membro di 10 gruppi
     Limitazione gruppo: un gruppo può contenere 5000 utenti
    Stampa "Could not add <UserName> to <Group name> because it attempted to create resources beyond the current AWS account limits." (Impossibile aggiungere <UserName> a <Group name> perché ha tentato di creare risorse oltre i limiti attuali dell'account AWS).

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (credenziali errate, nessuna connessione, altro errore SDK): stampa "Error executing action 'Add a User to a Group. Motivo: {exception.stacktrace}
 Generale

Allegare un criterio

Allega il criterio gestito specificato a un'identità (utente, gruppo, ruolo).

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Tipo di identità

DDL
(User, Group, Role)

 Gruppo Sì Tipo di identità IAM.
Nome identità Stringa N/D Sì Il nome (nome descrittivo, non ARN) dell'identità a cui collegare il criterio. I nomi delle identità non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-.
Nome del criterio Stringa N/D Sì Il nome (nome descrittivo, non ARN) della policy a cui allegare la policy. I nomi delle norme non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=.@_-.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • Se l'operazione va a buon fine, stampa "Policy was attached to <Identity Type>: <Identity Name>" (Norma allegata a <Tipo di identità>: <Nome identità>)

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se errore -: stampa "Impossibile creare la policy <policy name>. I nomi delle policy devono essere univoci all'interno di un account.
  • Se si verifica un errore: il nome dell'identità non è valido: stampa "Impossibile collegare <nome policy> a <tipo di identità>: <nome identità>. I nomi devono contenere solo caratteri alfanumerici e/o i seguenti: +=,.@_-.
  • se l'operazione non va a buon fine (credenziali errate, nessuna connessione al server, altro errore del server): stampa "Error executing action 'Attach a Policy'. Motivo: {exception.stacktrace}
 Generale

Creare un gruppo

Crea un nuovo gruppo IAM per il tuo account AWS. Per configurare un gruppo, devi crearlo. Poi, assegna le autorizzazioni al gruppo in base al tipo di lavoro che ti aspetti che gli utenti del gruppo svolgano. Infine, aggiungi gli utenti al gruppo.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome gruppo Stringa N/D Sì Il nome del gruppo da creare. Valori separati da virgole. Nota: i nomi dei gruppi non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. I nomi devono essere univoci all'interno di un account.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • Se l'operazione va a buon fine (pochi/tutti i nomi dei gruppi erano validi), stampa "I seguenti gruppi sono stati aggiunti correttamente a IAM: <nomi dei gruppi>".
  • Se viene visualizzato l'errore "Il gruppo esiste già": stampa "Impossibile aggiungere i seguenti gruppi a IAM: <nomi dei gruppi>. I nomi devono essere univoci all'interno di un account.
  • Se si verifica un errore (alcuni nomi di gruppi non sono validi): stampa "Impossibile aggiungere i seguenti gruppi a IAM: <Nomi dei gruppi>. I nomi dei gruppi devono contenere solo caratteri alfanumerici e/o i seguenti: +=,.@_-.
  • If error (raise limitation. Max 500 gruppi per account): Stampa "Impossibile aggiungere i seguenti gruppi a IAM: <Nomi dei gruppi>. Raggiungi il limite di gruppi nel tuo account AWS.


L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (tutti i nomi non sono validi, le credenziali sono errate, non è presente alcuna connessione o si verifica un altro errore): stampa "Errore durante l'esecuzione dell'azione "Crea un gruppo". Motivo: {exception.stacktrace}
 Generale

Crea una policy

Crea una policy gestita dal cliente IAM per il tuo account AWS. Questa azione crea una versione della policy con un identificatore di versione v1 e imposta v1 come versione predefinita della policy.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome del criterio Stringa N/D Sì Nome della norma da creare. Il nome della policy non può includere spazi e deve contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=.@_-. I nomi delle policy devono essere univoci all'interno di un account.
Documento delle norme Stringa N/D Sì Il documento di policy JSON che vuoi utilizzare come contenuto per la nuova policy.
Descrizione Stringa N/D No Descrizione della policy.Viene in genere utilizzata per memorizzare informazioni sulle autorizzazioni definite nella policy. Ad esempio, "Concede l'accesso alle tabelle DynamoDB di produzione". La descrizione della norma è immutabile. Una volta assegnato un valore, questo non può essere modificato.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • In caso di esito positivo, stampa "Il criterio <nome criterio> è stato creato correttamente".

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se si verifica l'errore - Policy già esistente: stampa "Impossibile creare la policy <nome della policy>. I nomi delle policy devono essere univoci all'interno di un account.
  • Se si verifica un errore, il nome della policy non è valido: stampa "Impossibile creare la policy <nome della policy>. I nomi dei criteri devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=,.@_-.
  • Se si verifica un errore - Policy doc was malformed : stampa "Impossibile creare la policy <nome della policy>. Il documento della policy non è formattato correttamente.Motivo: {exception.stacktrace}

se l'operazione non va a buon fine (LimitExceededException, credenziali errate, nessuna connessione, altro errore): stampa "Error executing action 'Create a Policy'. Motivo: {exception.stacktrace}

 Generale

Creare un utente

Crea un nuovo utente IAM per il tuo account AWS. Puoi aggiungere più utenti contemporaneamente con valori separati da virgole. Tieni presente che in questa fase non verranno applicate policy.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome utente Stringa N/D Sì Nome dell'utente da creare. Valori separati da virgole. Nota: il nome utente non può includere spazi e deve contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. I nomi devono essere univoci all'interno di un account.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • in caso di esito positivo (pochi nomi utente erano validi): stampa "Successfully added the following users to IAM: <User names>" (Gli utenti seguenti sono stati aggiunti correttamente a IAM: <User names>)
  • Se si verifica l'errore - users already exists: stampa "Could not add the following users to IAM: <Usernames>. Names must be unique within an account.
  • Se si verifica un errore (pochi nomi utente non sono validi): stampa "Impossibile aggiungere i seguenti utenti a IAM: <Usernames>. I nomi utente devono contenere solo caratteri alfanumerici e/o i seguenti: +=,.@-."
  • Se si verifica un errore (aumenta la limitazione. Max 5000 utenti per account): Stampa "Impossibile aggiungere i seguenti utenti a IAM: <Usernames>. Raggiungi il limite di utenti nel tuo account AWS.

Nota: se non è successo nulla: tutti gli utenti non sono validi/esistono/hanno raggiunto il limite → l'azione non è riuscita

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (tutti i nomi utente non sono validi, le credenziali sono errate, non è presente alcuna connessione o si verifica un altro errore): stampa "Errore durante l'esecuzione dell'azione "Crea un utente". Motivo: {exception.stacktrace}

Nota:se tutti i nomi utente non erano validi, stampa " "Errore durante l'esecuzione dell'azione "Crea un utente". Motivo: {invalid usernames}: I nomi utente devono contenere solo caratteri alfanumerici e/o i seguenti caratteri: +=,.@-. {existing usernames}: I nomi devono essere univoci all'interno di un account.

 Generale

Disattivare l'accesso degli utenti

Disattiva l'accesso utente in AWS aggiungendo una policy di negazione esplicita incorporata.

Questa azione supporta solo gli utenti AWS regolari, non gli utenti federati o i ruoli IAM.

Entità

Questa azione viene eseguita sull'entità Utente.

Input azione

N/D

Output azione

Tipo di output dell'azione
Allegato della bacheca casi N/D
Link alla bacheca casi N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON Disponibile
Risultato dello script Disponibile
Risultato JSON
[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]
Risultato dello script
Nome del risultato dello script Valore
is_success Vero/Falso
Bacheca casi

L'azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

 Azione riuscita.
Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Azione non riuscita.

L'errore ha impedito l'applicazione della policy di negazione ad almeno un utente fornito.
Error executing action "Disable User Access". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.

Elenco gruppi

Ottieni un elenco di tutti i gruppi in IAM.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Numero massimo di gruppi da restituire Numero intero 50 No Specifica il numero di gruppi da restituire. Il valore massimo è 1000 gruppi. Il valore predefinito è 50.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

if successful: print "Successfully listed available groups in AWS IAM"

Se non sono disponibili dati:stampa "Nessun gruppo trovato in AWS IAM"


L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

se non va a buon fine (credenziali errate, nessuna connessione al server, altro errore del server, se "Max Groups"> 1000): stampa "Error executing action 'List Groups'. Motivo: {exception.stacktrace}

 Generale
Tabella CSV

Titolo: Gruppi IAM

Colonne:

Nome del gruppo

ID gruppo

ARN

Data creazione

 Generale

Elenco criteri

Elenca tutte le policy gestite disponibili nel tuo account AWS, incluse le policy gestite definite dal cliente e tutte le policy gestite da AWS. Puoi filtrare l'elenco delle norme restituite utilizzando i parametri facoltativi Only Attached, Scope e Policy Usage. Ad esempio, per elencare solo i criteri gestiti dal cliente nel tuo account AWS, imposta Ambito su Locale. Per elencare solo i criteri gestiti da AWS, imposta Ambito su AWS.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Solo allegati Booleano No No Se selezionata, filtra i risultati in modo da visualizzare solo i criteri collegati a un utente, un gruppo o un ruolo IAM. Se non viene selezionata, vengono restituiti tutti i criteri.
Ambito

DDL
(tutti, AWS, locale)

 Tutti No L'ambito da utilizzare per filtrare i risultati. Per elencare solo le policy gestite da AWS, imposta Scope su AWS. Per elencare solo le policy gestite dal cliente nel tuo account AWS, imposta Ambito su Locale. Per impostazione predefinita, vengono restituite tutte le policy.
Numero massimo di norme da restituire Numero intero 100 No Specifica il numero di norme da restituire. Il valore predefinito è 100. Il valore massimo è 1000.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • In caso di esito positivo: stampa "Successfully listed available policies in AWS IAM" (Elenco delle policy disponibili in AWS IAM riuscito)
  • Se il valore di "Max Policies" è inferiore ai criteri corrispondenti in base al filtro: Stampa "Successfully listed available policies in AWS IAM. Tieni presente che esistono altre norme che corrispondono al filtro fornito."
  • Se non ci sono dati:stampa "Nessun criterio trovato in AWS IAM"


L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (credenziali errate, nessuna connessione al server, altro errore del server, max>1000): stampa "Errore durante l'esecuzione dell'azione "Elenca criteri". Motivo: {exception.stacktrace}
 Generale
Tabella CSV

Titolo: Criteri IAM

Colonne:

Nome del criterio

ID policy

Crea data

Data aggiornamento

 Generale

Elenco utenti

Ottieni un elenco di tutti gli utenti in IAM.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Numero massimo di utenti da restituire Numero intero 50 No Specifica il numero di utenti da restituire. Il valore massimo è 1000 utenti. Il valore predefinito è 50.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Risultato JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

in caso di esito positivo:stampa "Successfully listed available users in AWS IAM" (Elenco degli utenti disponibili in AWS IAM riuscito)

Se non sono disponibili dati: stampa "Nessun utente trovato in AWS IAM"


L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

if not successful (wrong credentials, no connection to server, other server error, if max>10000): print "Error executing action 'List Users'. Motivo: {exception.stacktrace}

 Generale
Tabella CSV

Titolo: Utenti IAM

Colonne:

Nome utente

ID utente

ARN

Data creazione

 Generale

Dindin

Verifica la connettività ad AWS IAM con i parametri forniti nella pagina di configurazione dell'integrazione nella scheda Google Security Operations Marketplace.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: stampa "Successfully connected to the AWS IAM server with the provided connection parameters!" (Connessione riuscita al server AWS IAM con i parametri di connessione forniti).

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

if not successful: print "Failed to connect to the AWS IAM server! Error is {0}".format(exception.stacktrace)

 Generale

Rimuovere un utente da un gruppo

Aggiunge l'utente specificato al gruppo IAM specificato. Utilizza i gruppi per applicare le stesse norme relative alle autorizzazioni a più utenti contemporaneamente.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome gruppo Stringa N/D Sì Il nome del gruppo da aggiornare. Nota: i nomi dei gruppi non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-.
Nome utente Stringa N/D Sì Il nome dell'utente da rimuovere. Nota: i nomi utente non possono includere spazi e devono contenere solo caratteri alfanumerici e/o i seguenti: +=.@_-. Valori separati da virgola.

Questa azione non viene eseguita sulle entità Google SecOps.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

  • In caso di esito positivo: stampa "<User name> è stato rimosso dal gruppo: <Group name>"
  • Se si verifica un errore - Il gruppo non esiste e/o l'utente non esiste:
    Il gruppo non esiste: Stampa "Impossibile rimuovere <UserName> da <Group name>. Il gruppo <group name> non è stato trovato.
     L'utente non esiste/entrambi: stampa "Impossibile rimuovere <UserName> da <Group name>. L'utente <user name> non è stato trovato.
  • If error
    User limitation - IAM user can be a member of 10 groups
     Group limitation - 5000 users can be in a group
    Print "Could not remove <UserName> from <Group name> because it attempted to create resources beyond the current AWS account limits."

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

  • Se l'operazione non va a buon fine (credenziali errate, nessuna connessione, altro errore SDK): stampa "Error executing action 'Remove a User from a Group. Motivo: {exception.stacktrace}
 Generale

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.