Cloudsplaining を使用した AWS IAM ポリシーのリスク監査

Cloudsplaining を使用した AWS IAM ポリシーのリスク監査 は何をしますか？

エージェントが AWS ポリシーの変更が本番環境に到達する前に、権限昇格パスや過度に広範な IAM 権限をフラグ付けする必要がある場合に、Cloudsplaining を使用します。

前提条件

Python 3、AWS IAM ポリシーの JSON またはアカウントデータ、および Cloudsplaining。

インストール

環境に合わせて上流のインストール手順またはセットアップパスを使用してください：

• brew tap salesforce/cloudsplaining https://github.com/salesforce/cloudsplaining
• brew install cloudsplaining

上流からの要件と注意事項：

• 
• iam:GetAccountAuthorizationDetails を実行する権限が必要です。arn:aws:iam::aws:policy/SecurityAudit ポリシーにはこれが含まれています。
• default-iam-results.json：レポートの生の JSON 出力を含むファイル。このデータファイルを使用して、スキャン結果をさまざまな目的で操作できます。たとえば、結果を解析する Python スクリプトを作成できます。

基本的な使用法または開始方法のメモ：

• レポート例

• Cloudsplaining は、AWS コンピュートサービス（EC2、ECS、EKS、Lambda など）が引き受け可能な IAM ロールも特定します。これらのロールはユーザー定義のロールよりも大きなリスクをもたらす可能性があり、特に AWS コンピュートサービスに権限が委任されている場合は注意が必要です。

• カスタムの除外ファイルを指定して、さまざまな理由で誤検出となる結果をフィルタリングすることもできます。たとえば、ユーザーポリシーは設計上寛容であるのに対し、システムロールは一般的により制限的です。

• ソース：https://github.com/salesforce/cloudsplaining

• 上流のドキュメントから抽出：https://raw.githubusercontent.com/salesforce/cloudsplaining/HEAD/README.md

ドキュメント

• https://cloudsplaining.readthedocs.io/en/latest/

ソース

• Agent Skill Exchange