Verfeinern Sie die Berechtigungen in AWS unter Verwendung der zuletzt abgerufenen Informationen

Nachverfolgungszeitraum — Aktuelle Aktivitäten werden innerhalb von vier Stunden in der IAM Konsole angezeigt. Der Nachverfolgungszeitraum für Service-Informationen beträgt mindestens 400 Tage, je nachdem, wann der Service mit der Nachverfolgung von Aktionsinformationen begonnen hat. Der Nachverfolgungszeitraum für Amazon S3 Aktionsinformationen begann am 12. April 2020. Der Nachverfolgungszeitraum für Amazon EC2 IAM - und Lambda-Aktionen begann am 7. April 2021. Der Nachverfolgungszeitraum für alle anderen Services begann am 23. Mai 2023. Eine Liste der Services, für die Informationen über die zuletzt aufgerufene Aktion verfügbar sind, finden Sie unter IAMAktion, zuletzt aufgerufene Informationsdienste und Aktionen. Weitere Informationen darüber, in welchen Regionen die Aktion zuletzt aufgerufen wurde, finden Sie unter Wo AWS verfolgt die zuletzt aufgerufenen Informationen.

Gemeldete Versuche — Die Daten, auf die der Dienst zuletzt zugegriffen hat, umfassen alle Versuche, auf einen zuzugreifen AWS API, nicht nur die erfolgreichen Versuche. Dies schließt alle Versuche ein, die mit dem AWS Management Console, der AWS APIüber eines der SDKs oder eines der Befehlszeilentools. Ein unerwarteter Eintrag als letztes Service-Zugriffsdatum bedeutet nicht, dass Ihr Konto beschädigt oder infiziert worden ist, da der Zugriff möglicherweise verweigert wurde. Informationen zu allen API Anrufen und dazu, ob der Zugriff erfolgreich war oder verweigert wurde, finden Sie in Ihren CloudTrail Protokollen als verlässliche Quelle.

PassRole— Die iam:PassRole Aktion wird nicht nachverfolgt und ist nicht in den Informationen zur zuletzt aufgerufenen IAM Aktion enthalten.

Informationen zur zuletzt aufgerufenen Aktion — Informationen zur zuletzt aufgerufenen Aktion sind für Service-Management-Aktionen verfügbar, auf die über IAM Identitäten zugegriffen wurde. Hier finden Sie die Liste der Services und deren Aktionen, für die zuletzt auf Berichtsinformationen zugegriffen wurde.

Verwaltungsereignisse — IAM stellt Aktionsinformationen für Servicemanagement-Ereignisse bereit, die von protokolliert wurden CloudTrail. Manchmal werden CloudTrail Verwaltungsereignisse auch als Operationen auf Kontrollebene oder Ereignisse auf Kontrollebene bezeichnet. Verwaltungsereignisse bieten Einblick in Verwaltungsvorgänge, die an Ressourcen in Ihrem AWS-Konto. Weitere Informationen zu Verwaltungsereignissen finden Sie unter Protokollieren von Verwaltungsereignissen in der CloudTrail AWS CloudTrail Benutzerleitfaden.

Berichtsbesitzer – Nur der Auftraggeber, der einen Bericht generiert, kann die Berichtsdetails anzeigen. Das bedeutet, dass, wenn Sie die Informationen in der AWS Management Console, müssen Sie möglicherweise warten, bis sie generiert und geladen sind. Wenn Sie das AWS CLI or AWS APIUm Berichtsdetails abzurufen, müssen Ihre Anmeldeinformationen mit den Anmeldeinformationen des Prinzipals übereinstimmen, der den Bericht generiert hat. Wenn Sie temporäre Anmeldeinformationen für eine Rolle oder einen Verbundbenutzer verwenden, müssen Sie den Bericht während derselben Sitzung generieren und abrufen. Weitere Hinweise zu Sitzungs-Auftraggeber für angenommene Rollen finden Sie unter AWS JSONpolitische Elemente: Principal.

IAMRessourcen — Zu den Informationen, auf die zuletzt zugegriffen wurde, IAM gehören IAM Ressourcen (Rollen, Benutzer, Benutzergruppen und Richtlinien) in Ihrem Konto. Zu den zuletzt aufgerufenen Informationen für Organizations gehören Prinzipale (IAMBenutzer, IAM Rollen oder Root-Benutzer des AWS-Kontos) in der angegebenen Organisationseinheit. Die zuletzt zugegriffenen Informationen beinhalten keine nicht authentifizierten Versuche.

IAMRichtlinientypen — Die Informationen für, auf die zuletzt zugegriffen wurde, IAM umfassen Dienste, die gemäß den Richtlinien einer IAM Identität zulässig sind. Diese Richtlinien sind einer Rolle oder einem Benutzer direkt oder über eine Gruppe angefügt. Zugriff, der über andere Richtlinientypen gewährt wird, ist in diesem Bericht nicht enthalten. Zu den ausgeschlossenen Richtlinientypen gehören ressourcenbasierte Richtlinien, Zugriffskontrolllisten, AWS Organizations SCPs, IAM Berechtigungsgrenzen und Sitzungsrichtlinien. Berechtigungen, die durch dienstbezogene Rollen bereitgestellt werden, werden durch den Dienst definiert, mit dem sie verknüpft sind, und können in IAM diesem nicht geändert werden. Weitere Informationen zu serviceverknüpften Rollen finden Sie unter Erstellen einer serviceverknüpften Rolle. Informationen dazu, wie die verschiedenen Richtlinientypen ausgewertet werden, um den Zugriff zuzulassen oder zu verweigern, finden Sie unter Auswertungslogik für Richtlinien.

Richtlinientypen für Organizations — Die Informationen für AWS Organizations umfasst nur Dienste, die durch die übernommenen Dienststeuerungsrichtlinien (SCPs) einer Organisationseinheit zugelassen sind. SCPssind Richtlinien, die einem Root, einer Organisationseinheit oder einem Konto zugeordnet sind. Zugriff, der über andere Richtlinientypen gewährt wird, ist in diesem Bericht nicht enthalten. Zu den ausgeschlossenen Richtlinientypen gehören identitätsbasierte Richtlinien, ressourcenbasierte Richtlinien, Zugriffskontrolllisten, IAM Berechtigungsgrenzen und Sitzungsrichtlinien. Informationen dazu, wie die verschiedenen Richtlinientypen ausgewertet werden, um Zugriff zu erlauben oder zu verweigern, finden Sie unter Auswertungslogik für Richtlinien.

Angabe einer Richtlinien-ID — Wenn Sie die verwenden AWS CLI or AWS APIUm einen Bericht für Informationen zu erstellen, auf die zuletzt in Organizations zugegriffen wurde, können Sie optional eine Richtlinien-ID angeben. Der resultierende Bericht enthält Daten für die Services, die nur aufgrund dieser Richtlinie zulässig sind. Die Daten beinhalten die letzten Kontoaktivitäten in der angegebenen Organizations-Entität oder den untergeordneten Elementen der Entität. Weitere Informationen finden Sie unter aws iam generate-organizations-access-report oder GenerateOrganizationsAccessReport.

Verwaltungskonto der Organisation – Sie müssen sich bei dem Verwaltungskonto Ihrer Organisation anmelden, um die zuletzt abgerufenen Informationen zum Dienst anzuzeigen. Sie können wählen, ob Sie Informationen für das Verwaltungskonto über die IAM Konsole anzeigen möchten, AWS CLI, oder das AWS API. Der resultierende Bericht listet alle AWS Dienste, da das Verwaltungskonto nicht eingeschränkt ist durchSCPs. Wenn Sie im CLI oder eine Richtlinien-ID angebenAPI, wird die Richtlinie ignoriert. Für jeden Service beinhaltet der Bericht nur Daten für das Hauptkonto. Die Berichte für andere Organisationseinheiten liefern jedoch keine Informationen über die Aktivitäten auf dem Verwaltungskonto.

Organisationseinstellungen — Ein Administrator muss sie SCPs in Ihrem Organisationsstamm aktivieren, bevor Sie Daten für Organizations generieren können.

iam:GenerateServiceLastAccessedDetails

iam:Get*

iam:List*

Welche Benutzer, Gruppen oder Rollen einer verwalteten Richtlinie angefügt sind

Auf welche Services ein Benutzer oder eine Rolle zugreifen kann

Das Datum des letzten Zugriffs auf den Service

Das letzte Mal, als sie versucht haben, eine bestimmte Amazon- EC2IAM, Lambda- oder Amazon S3 S3-Aktion zu verwenden

iam:GenerateServiceLastAccessedDetails

iam:GetServiceLastAccessedDetails

iam:GetServiceLastAccessedDetailsWithEntities

iam:ListPoliciesGrantingServiceAccess

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribeAccount

organizations:DescribeOrganization

organizations:DescribeOrganizationalUnit

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

Bei Informationen zum letzten Zugriff auf Aktionen kann es sein, dass eine Aktion, die Sie in der Liste erwarten, dort nicht angezeigt wird. Dies kann entweder passieren, weil die IAM Identität keine Berechtigungen für die Aktion hat, oder AWS verfolgt die Aktion für die zuletzt abgerufenen Informationen noch nicht.

Stellen Sie für einen IAM Benutzer sicher, dass dem Benutzer mindestens eine Inline-Richtlinie oder eine verwaltete Richtlinie zugewiesen ist, entweder direkt oder über Gruppenmitgliedschaften.

Stellen Sie für eine IAM Gruppe sicher, dass der Gruppe mindestens eine Inline-Richtlinie oder eine verwaltete Richtlinie zugeordnet ist.

Für eine IAM Gruppe gibt der Bericht nur die Informationen über den Dienst zurück, auf den zuletzt zugegriffen wurde, und zwar für Mitglieder, die die Gruppenrichtlinien für den Zugriff auf einen Dienst verwendet haben. Wenn Sie wissen möchten, ob ein Mitglied andere Richtlinien verwendet hat, überprüfen Sie die Informationen zum letzten Zugriff für diesen Benutzer.

Stellen Sie für eine IAM Rolle sicher, dass der Rolle mindestens eine Inline-Richtlinie oder eine verwaltete Richtlinie zugeordnet ist.

Überprüfen Sie für eine IAM Entität (Benutzer oder Rolle) andere Richtlinientypen, die sich auf die Berechtigungen dieser Entität auswirken könnten. Dazu gehören ressourcenbasierte Richtlinien, Zugriffskontrolllisten, AWS Organizations Richtlinien, IAM Berechtigungsgrenzen oder Sitzungsrichtlinien. Weitere Informationen finden Sie unter Richtlinientypen oder Auswerten von Richtlinien in einem einzelnen Konto.

Stellen Sie bei einer IAM Richtlinie sicher, dass die angegebene verwaltete Richtlinie mindestens einem Benutzer, einer Gruppe mit Mitgliedern oder einer Rolle zugeordnet ist.

Vergewissern Sie sich, dass Sie für eine Organisationsentität (Stamm, OU oder Konto) mit den Anmeldeinformationen des Verwaltungskontos Organisationen signiert sind.

Vergewissern Sie SCPssich, dass sie im Stammverzeichnis Ihrer Organisation aktiviert sind.

Die Information über den letzten Zugriff auf eine Aktion ist nur für die unter IAMAktion, zuletzt aufgerufene Informationsdienste und Aktionen aufgeführten Aktionen verfügbar.

Serviceinformationen – Der Nachverfolgungszeitraum für Services beträgt mindestens 400 Tage oder weniger, wenn Ihre Region innerhalb der letzten 400 Tage mit der Verfolgung dieses Features begonnen hat.

Aktionsinformationen – Der Nachverfolgungszeitraum für Amazon S3-Managementaktionen begann am 12. April 2020. Der Nachverfolgungszeitraum für Amazon EC2 IAM - und Lambda-Managementaktionen begann am 7. April 2021. Der Nachverfolgungszeitraum für Verwaltungsmaßnahmen für alle anderen Services begann am 23. Mai 2023. Wenn das Nachverfolgungsdatum einer Region nach dem 23. Mai 2023 liegt, beginnt die Aktion mit den zuletzt aufgerufenen Informationen aus dieser Region zu dem späteren Datum.