Integrar o AWS Identity and Access Management (IAM) ao Google SecOps

Neste documento, descrevemos como integrar o AWS Identity and Access Management ao Google Security Operations.

Casos de uso

A integração do AWS IAM usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:

  • Contenção de usuários comprometidos: revogue automaticamente o acesso de usuários do IAM suspeitos de comprometimento aplicando políticas de negação inline durante os fluxos de trabalho de resposta a incidentes.

  • Revogação de acesso e ajuste de privilégios: remova usuários de grupos sensíveis do IAM para restringir imediatamente o acesso a recursos críticos da AWS ao detectar comportamentos anômalos.

  • Gerenciamento de políticas e grupos: automatize a criação e a anexação de políticas e grupos gerenciados do IAM para aplicar controles de acesso com privilégio mínimo.

  • Auditoria de identidade e descoberta de postura: recupere listas de usuários, grupos e políticas gerenciadas para enriquecer os alertas de segurança e auditar as configurações do IAM no ambiente da AWS.

  • Provisionamento automatizado de identidade: crie usuários do IAM e atribua-os a grupos funcionais predefinidos como parte de tarefas automatizadas de integração ou correção de contenção.

Antes de começar

Antes de configurar a integração do AWS IAM no Google SecOps, verifique se o ambiente de rede e as credenciais da AWS atendem a todos os pré-requisitos operacionais.

Para preparar o ambiente para integração, conclua o seguinte:

  1. Verifique a linha de visão da rede entre o Google SecOps e o endpoint de serviço global do IAM da AWS (iam.amazonaws.com).

  2. Consiga credenciais de API programática da AWS (um ID de chave de acesso e uma chave de acesso secreta) com as permissões do IAM adequadas.

  3. Configure e teste a instância de integração no Google SecOps.

Requisitos de rede

O Google SecOps se comunica diretamente com o endpoint do serviço do AWS IAM usando APIs REST HTTPS e o SDK do Python da AWS (boto3).

Verifique se o ambiente de rede atende às seguintes regras de conectividade:

  • Acesso HTTPS de saída: ative a comunicação HTTPS de saída da sua instância do Google SecOps ou do agente remoto para o endpoint global do AWS IAM (iam.amazonaws.com) pela porta 443/TCP.

    Para mais informações sobre endpoints da AWS, consulte Endpoints de serviço da AWS na documentação da AWS.

  • Configuração de proxy: se a organização rotear o tráfego de saída por um proxy HTTP/HTTPS, configure as variáveis de proxy de ambiente padrão (HTTP_PROXY, HTTPS_PROXY, NO_PROXY) no servidor do Google SecOps ou no host do agente remoto.

Autenticação e credenciais

A integração do IAM da AWS requer credenciais de API programáticas para autenticar solicitações usando o AWS Signature versão 4.

Verifique se o ambiente da AWS atende aos seguintes requisitos de autenticação:

  • Credenciais programáticas: consiga um ID de chave de acesso da AWS e uma chave secreta da AWS válidos associados a um usuário ou papel do IAM da AWS.

    Para informações sobre como criar identidades do IAM e gerar credenciais, consulte Como gerenciar chaves de acesso para usuários do IAM e Identidades do IAM na documentação da AWS.

  • Privilégio mínimo: restrinja as permissões apenas às ações necessárias para seus fluxos de trabalho automatizados e alterne as credenciais periodicamente.

    Para detalhes sobre as recomendações de segurança, consulte Práticas recomendadas de segurança no IAM na documentação da AWS.

Configurar permissões de ação

Conceda à identidade do AWS IAM de autenticação as permissões específicas necessárias para as ações que os playbooks do Google SecOps executam.

Consulte as permissões mínimas para ações do IAM da AWS na tabela a seguir:

Nome da ação Permissão do IAM da AWS necessária (ActionName:Permission) Permissão de pré-requisito Descrição / Escopo do recurso
Adicionar um usuário a um grupo iam:AddUserToGroup iam:GetAccountSummary Adiciona um usuário do IAM a um grupo do IAM. Recurso: ARN do grupo de destino do IAM.
Anexar uma política iam:AttachUserPolicy
iam:AttachGroupPolicy
iam:AttachRolePolicy		 iam:ListPolicies Anexa uma política gerenciada a um usuário, grupo ou papel do IAM. Requer iam:ListPolicies para procurar ARNs de política por nome.
Criar um grupo iam:CreateGroup iam:GetAccountSummary Cria um novo grupo do IAM. Recurso: ARN do grupo de destino do IAM.
Criar uma política iam:CreatePolicy iam:GetAccountSummary Cria uma nova política gerenciada pelo cliente. Recurso: ARN da política do IAM de destino.
Criar um usuário iam:CreateUser iam:GetAccountSummary Cria um novo usuário do IAM. Recurso: ARN do usuário do IAM de destino.
Desativar o acesso do usuário iam:PutUserPolicy — Anexa uma política de negação inline (DisableUserAccessPolicy) para revogar o acesso do usuário. Recurso: ARN do usuário do IAM de destino.
Listar grupos de produtos anunciados iam:ListGroups iam:GetAccountSummary Lista os grupos do IAM na conta. Recurso: *.
Listar políticas iam:ListPolicies iam:GetAccountSummary Lista as políticas gerenciadas na conta. Recurso: *.
Listar usuários iam:ListUsers iam:GetAccountSummary Lista os usuários do IAM na conta. Recurso: *.
Ping iam:GetAccountSummary — Valida a conectividade da integração. Recurso: *.
Remover um usuário de um grupo iam:RemoveUserFromGroup iam:GetAccountSummary Remove um usuário de um grupo do IAM. Recurso: ARN do grupo de destino do IAM.

Referência rápida (ActionName:Permission)

Use a seguinte referência rápida para analisar as permissões necessárias para cada ação:

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

Exemplo de política do IAM (privilégio mínimo)

O exemplo de política a seguir demonstra as permissões necessárias para executar todas as ações do IAM da AWS no Google SecOps.

Para instruções sobre como criar e anexar políticas do IAM, consulte Como criar políticas do IAM na documentação da AWS.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da chave de acesso da AWS String N/A Sim ID da chave de acesso da AWS a ser usado na integração.
Chave secreta da AWS Senha N/A Sim Chave secreta da AWS para usar na integração.
Verificar SSL Booleano Verdadeiro Não Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do AWS IAM.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Adicionar um usuário a um grupo

Adiciona o usuário especificado ao grupo do IAM especificado. Use grupos para aplicar as mesmas políticas de permissões a vários usuários de uma só vez.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do grupo String N/A Sim O nome do grupo a ser atualizado. Observação: os nomes de grupos não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-.
Nome de usuário String N/A Sim O nome do usuário que será adicionado. Observação: os nomes de usuário não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-. Valores separados por vírgulas.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • se for bem-sucedido: mostre "O nome de usuário <Nome do usuário> foi adicionado ao grupo do IAM: <Nome do grupo>"
  • Se houver um erro (o grupo e/ou o usuário não existem):
    O grupo não existe: Mostre "Não foi possível adicionar <UserName> a <Group name>. O grupo <group name> não foi encontrado.
     O usuário não existe ou ambos não existem: Mostre "Não foi possível adicionar <UserName> a <Group name>. O usuário <user name> não foi encontrado.
  • Se houver erro
    Limitação de usuário: o usuário do IAM pode ser membro de 10 grupos
     Limitação de grupo: 5.000 usuários podem estar em um grupo
    Imprima "Não foi possível adicionar <UserName> a <Group name> porque ele tentou criar recursos além dos limites atuais da conta da AWS".

A ação deve falhar e interromper a execução de um playbook:

  • Se não funcionar (credenciais erradas, sem conexão, outro erro do SDK): mostre "Erro ao executar a ação 'Adicionar um usuário a um grupo'. Motivo: {exception.stacktrace}
 Geral

Anexar uma política

Anexa a política gerenciada especificada a uma identidade (usuário, grupo, papel).

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Tipo de identidade

DDL
(usuário, grupo, papel)

 Grupo Sim Tipo de identidade do IAM.
Nome da identidade String N/A Sim O nome (nome amigável, não ARN) da identidade à qual a política será anexada. Os nomes de identidade não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-.
Nome da política String N/A Sim O nome (nome amigável, não ARN) da política à qual a política será anexada. Os nomes das políticas não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • Se for bem-sucedido: mostre "A política foi anexada a <Identity Type>: <Identity Name>"

A ação deve falhar e interromper a execução de um playbook:

  • Se houver um erro: mostre "Não foi possível criar a política <nome da política>. Os nomes das políticas precisam ser exclusivos em uma conta.
  • Se houver erro (o nome da identidade era inválido): mostre "Não foi possível anexar <nome da política> a <tipo de identidade>: <nome da identidade>. Os nomes precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=,.@_-.
  • Se não for bem-sucedida (credenciais erradas, sem conexão com o servidor, outro erro de servidor): mostre "Erro ao executar a ação 'Anexar uma política'. Motivo: {exception.stacktrace}
 Geral

Criar um grupo

Crie um novo grupo do IAM para sua conta da AWS. Para configurar um grupo, você precisa criá-lo. Em seguida, conceda permissões ao grupo com base no tipo de trabalho que você espera que os usuários do grupo façam. Por fim, adicione usuários ao grupo.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do grupo String N/A Sim Nome do grupo a ser criado. Valores separados por vírgula. Observação: os nomes de grupos não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-. Os nomes precisam ser exclusivos em uma conta.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • Se for bem-sucedido (alguns/todos os nomes de grupo eram válidos): mostre "Os seguintes grupos foram adicionados ao IAM: <nomes de grupo>"
  • Se houver um erro (o grupo já existe): mostre "Não foi possível adicionar os seguintes grupos ao IAM: <nomes dos grupos>. Os nomes precisam ser exclusivos em uma conta.
  • Se houver um erro (alguns nomes de grupos eram inválidos): mostre "Não foi possível adicionar os seguintes grupos ao IAM: <nomes dos grupos>. Os nomes dos grupos precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=,.@_-.
  • Se houver erro (aumentar limitação). Máximo de 500 grupos por conta): Imprima "Não foi possível adicionar os seguintes grupos ao IAM: <Group names>. Alcance a limitação de grupos na sua conta da AWS.


A ação deve falhar e interromper a execução de um playbook:

  • Se não for bem-sucedido (todos os nomes eram inválidos, credenciais erradas, sem conexão, outro erro): print "Erro ao executar a ação 'Criar um grupo'. Motivo: {exception.stacktrace}
 Geral

Criar uma política

Crie uma política gerenciada pelo cliente do IAM para sua conta da AWS. Essa ação cria uma versão de política com um identificador de versão v1 e define v1 como a versão padrão da política.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome da política String N/A Sim Nome da política a ser criada. O nome da política não pode incluir espaços e precisa conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-. Os nomes das políticas precisam ser exclusivos em uma conta.
Documento de política String N/A Sim O documento de política JSON que você quer usar como conteúdo para a nova política.
Descrição String N/A Não Descrição da política.Normalmente usada para armazenar informações sobre as permissões definidas na política. Por exemplo, "Concede acesso às tabelas de produção do DynamoDB". A descrição da política é imutável. Depois que um valor é atribuído, ele não pode ser alterado.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • se for bem-sucedido: mostre "A política <Policy name> foi criada"

A ação deve falhar e interromper a execução de um playbook:

  • Se houver um erro (a política já existe): mostre "Não foi possível criar a política <nome da política>. Os nomes das políticas precisam ser exclusivos em uma conta.
  • Se houver um erro porque o nome da política é inválido: mostre "Não foi possível criar a política <nome da política>. Os nomes de políticas precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=,.@_-.
  • Se houver um erro (o documento da política está corrompido): mostre "Não foi possível criar a política <nome da política>. O documento de política estava corrompido.Motivo: {exception.stacktrace}

Se não for bem-sucedido (LimitExceededException, credenciais incorretas, sem conexão, outro erro): print "Erro ao executar a ação 'Criar uma política'. Motivo: {exception.stacktrace}

 Geral

Criar um usuário

Crie um novo usuário do IAM para sua conta da AWS. É possível adicionar vários usuários de uma vez com valores separados por vírgulas. Nenhuma política será aplicada nesta etapa.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome de usuário String N/A Sim Nome do usuário a ser criado. Valores separados por vírgula. Observação: o nome de usuário não pode incluir espaços e precisa conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-. Os nomes precisam ser exclusivos em uma conta.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • Se for bem-sucedido (alguns nomes de usuário eram válidos): mostre "Os seguintes usuários foram adicionados ao IAM: <nomes de usuário>"
  • Se houver um erro de usuários já existentes: mostre "Não foi possível adicionar os seguintes usuários ao IAM: <Usernames>. Os nomes precisam ser exclusivos em uma conta.
  • Se houver um erro (alguns nomes de usuário eram inválidos): mostre "Não foi possível adicionar os seguintes usuários ao IAM: <Nomes de usuário>. Os nomes de usuário precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=,.@-.
  • Se houver erro (limitação de aumento). Máximo de 5.000 usuários por conta): exiba "Não foi possível adicionar os seguintes usuários ao IAM: <Usernames>. Limite de usuários atingido na sua conta da AWS.

Observação: se nada acontecer, todos os usuários são inválidos/existem/limite → a ação deve falhar

A ação deve falhar e interromper a execução de um playbook:

  • Se não funcionar (todos os nomes de usuário eram inválidos, credenciais erradas, sem conexão, outro erro): mostre "Erro ao executar a ação 'Criar um usuário'. Motivo: {exception.stacktrace}

Observação: se todos os nomes de usuário forem inválidos, mostre "Erro ao executar a ação 'Criar um usuário'. Motivo: {invalid usernames}: os nomes de usuário precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=,.@-. {existing usernames}: os nomes precisam ser exclusivos em uma conta.

 Geral

Desativar acesso do usuário

Desative o acesso do usuário na AWS adicionando uma política de negação inline explícita.

Essa ação só é compatível com usuários regulares da AWS, não com usuários federados ou papéis do IAM.

Entidades

Essa ação é executada na entidade Usuário.

Entradas da ação

N/A

Saídas da ação

Tipo de saída da ação
Anexo do Painel de Casos N/A
Link do Painel de Casos N/A
Tabela do painel de casos N/A
Tabela de enriquecimento N/A
Resultado JSON Disponível
Resultado do script Disponível
Resultado JSON
[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]
Resultado do script
Nome do resultado do script Valor
is_success Verdadeiro/falso
Mural do caso

A ação fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

 Ação concluída.
Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Falha na ação.

Um erro impediu a aplicação da política de negação a pelo menos um usuário fornecido.
Error executing action "Disable User Access". Reason: ERROR_REASON

Falha na ação.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Listar grupos

Receba uma lista de todos os grupos no IAM.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Número máximo de grupos a serem retornados Inteiro 50 Não Especifique quantos grupos serão retornados. O máximo é de 1.000 grupos. O padrão é 50.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

se for bem-sucedido: exibir "Os grupos disponíveis no AWS IAM foram listados"

Se não houver dados disponíveis: imprima "Nenhum grupo encontrado no IAM da AWS"


A ação deve falhar e interromper a execução de um playbook:

Se não funcionar (credenciais incorretas, sem conexão com o servidor, outro erro de servidor, se "Max Groups"> 1000): exiba "Error executing action 'List Groups'. Motivo: {exception.stacktrace}

 Geral
Tabela CSV

Título: Grupos do IAM

Colunas:

Nome do grupo

ID do grupo

ARN

Data de criação

 Geral

Listar políticas

Lista todas as políticas gerenciadas disponíveis na sua conta da AWS, incluindo as políticas gerenciadas definidas pelo cliente e todas as políticas gerenciadas da AWS. É possível filtrar a lista de políticas retornadas usando os parâmetros opcionais "Somente anexadas", "Escopo" e "Uso da política". Por exemplo, para listar apenas as políticas gerenciadas pelo cliente na sua conta da AWS, defina o escopo como "Local". Para listar apenas as políticas gerenciadas da AWS, defina o escopo como AWS.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Somente anexados Booleano Não Não Quando marcada, filtra os resultados para mostrar apenas as políticas anexadas a um usuário, grupo ou papel do IAM. Quando desmarcada, todas as políticas serão retornadas.
Escopo

DDL
(todos, AWS, local)

 Todos Não O escopo a ser usado para filtrar os resultados. Para listar apenas as políticas gerenciadas pela AWS, defina o escopo como AWS. Para listar apenas as políticas gerenciadas pelo cliente na sua conta da AWS, defina o escopo como "Local". Por padrão, todas as políticas serão retornadas.
Número máximo de políticas a serem retornadas Inteiro 100 Não Especifique quantas políticas serão retornadas. O padrão é 100. O máximo é 1.000.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • se for bem-sucedido: mostre "As políticas disponíveis no IAM da AWS foram listadas"
  • Se o valor de "Max Policies" for menor que as políticas correspondentes com base no filtro: mostre a mensagem "As políticas disponíveis no AWS IAM foram listadas. Há outras políticas que correspondem ao filtro fornecido."
  • Se não houver dados: mostre "Nenhuma política foi encontrada no AWS IAM"


A ação deve falhar e interromper a execução de um playbook:

  • Se não for bem-sucedida (credenciais erradas, sem conexão com o servidor, outro erro de servidor, max>1000): exiba "Erro ao executar a ação 'Listar políticas'. Motivo: {exception.stacktrace}
 Geral
Tabela CSV

Título: políticas do IAM

Colunas:

Nome da política

ID da política

Criar data

Data da atualização

 Geral

Listar usuários

Receber uma lista de todos os usuários no IAM.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Número máximo de usuários a serem retornados Inteiro 50 Não Especifique quantos usuários serão retornados. O máximo é de 1.000 usuários. O padrão é 50.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

se for bem-sucedido: mostre "Usuários disponíveis listados com sucesso no IAM da AWS"

Se não houver dados disponíveis: imprima "Nenhum usuário encontrado no IAM da AWS"


A ação deve falhar e interromper a execução de um playbook:

Se não funcionar (credenciais incorretas, sem conexão com o servidor, outro erro de servidor, se max>10000): mostre "Erro ao executar a ação 'Listar usuários'. Motivo: {exception.stacktrace}

 Geral
Tabela CSV

Título: Usuários do IAM

Colunas:

Nome de usuário

ID do usuário

ARN

Data de criação

 Geral

Ping

Teste a conectividade com o IAM da AWS usando os parâmetros fornecidos na página de configuração da integração na página do Google SecOps Content Hub.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se a conexão for bem-sucedida: mostre "Conexão bem-sucedida com o servidor do IAM da AWS usando os parâmetros de conexão fornecidos!"

A ação deve falhar e interromper a execução de um playbook:

if not successful: print "Failed to connect to the AWS IAM server! O erro é {0}".format(exception.stacktrace)

 Geral

Remover um usuário de um grupo

Adiciona o usuário especificado ao grupo do IAM especificado. Use grupos para aplicar as mesmas políticas de permissões a vários usuários de uma só vez.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do grupo String N/A Sim O nome do grupo a ser atualizado. Observação: os nomes de grupos não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-.
Nome de usuário String N/A Sim O nome do usuário que será removido. Observação: os nomes de usuário não podem incluir espaços e precisam conter apenas caracteres alfanuméricos e/ou os seguintes: +=.@_-. Valores separados por vírgulas.

Essa ação não é executada em entidades do Google SecOps.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • Se for bem-sucedido: mostre "<Nome do usuário> foi removido do grupo: <Nome do grupo>"
  • Se houver um erro (o grupo e/ou o usuário não existem):
    O grupo não existe: Mostre "Não foi possível remover <UserName> de <Group name>. O grupo <group name> não foi encontrado.
     O usuário não existe ou ambos: Mostre "Não foi possível remover <UserName> de <Group name>. O usuário <user name> não foi encontrado.
  • Se houver erro
    Limitação de usuário: o usuário do IAM pode ser membro de 10 grupos
     Limitação de grupo: 5.000 usuários podem estar em um grupo
    Imprima "Não foi possível remover <UserName> de <Group name> porque ele tentou criar recursos além dos limites atuais da conta da AWS".

A ação deve falhar e interromper a execução de um playbook:

  • Se não for bem-sucedido (credenciais erradas, sem conexão, outro erro do SDK): mostre "Erro ao executar a ação 'Remover um usuário de um grupo'. Motivo: {exception.stacktrace}
 Geral

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.