使用 Cloudsplaining 审计 AWS IAM 策略中的风险权限

使用 Cloudsplaining 审计 AWS IAM 策略中的风险权限 是做什么的？

在 AWS 策略变更进入生产环境前，使用 Cloudsplaining 标记权限提升路径和过宽的 IAM 权限，帮助代理识别并阻止风险。

前提条件

Python 3、AWS IAM 策略 JSON 或账户数据，以及 Cloudsplaining。

安装

使用适合您环境的上游安装或设置路径：

• brew tap salesforce/cloudsplaining https://github.com/salesforce/cloudsplaining
• brew install cloudsplaining

来自上游的要求和注意事项：

• 
• 您必须具有运行 iam:GetAccountAuthorizationDetails 的权限。arn:aws:iam::aws:policy/SecurityAudit 策略…
• default-iam-results.json：包含报告的原始 JSON 输出。您可以使用此数据文件对扫描结果进行各种处理。例如，您可以编写一个 Python 脚本，解析该文件…

基本使用或入门说明：

• 示例报告

• Cloudsplaining 还会识别可由 AWS 计算服务（如 EC2、ECS、EKS 或 Lambda）代入的 IAM 角色，因为这些角色可能比用户定义的角色具有更大的风险——尤其是当 AWS 计算服务…

• 您还可以指定自定义排除文件，以过滤掉由于各种原因导致的误报结果。例如，用户策略通常设计为宽松，而系统角色则通常更为严格…

• 来源：https://github.com/salesforce/cloudsplaining

• 摘自上游文档：https://raw.githubusercontent.com/salesforce/cloudsplaining/HEAD/README.md

文档

• https://cloudsplaining.readthedocs.io/en/latest/

来源

• Agent Skill Exchange