Verwenden Sie Skripts, um Ihre Richtlinien massenweise zu migrieren und detaillierte Aktionen zu verwenden IAM

Um Ihre IAM Richtlinien zur Verwendung neuer Aktionen, sogenannter detaillierter Aktionen, zu migrieren, können Sie Skripts von der Samples-Website verwenden.AWS

Sie führen diese Skripts vom Zahlerkonto Ihrer Organisation aus, um die folgenden betroffenen Richtlinien in Ihrer Organisation zu identifizieren, die die alten Aktionen verwenden: IAM

Die Skripte generieren Vorschläge für neue Aktionen, die existierenden Aktionen entsprechen, die in der Richtlinie verwendet werden. Anschließend überprüfen Sie die Vorschläge und fügen mithilfe der Skripte die neuen Aktionen für alle betroffenen Richtlinien in Ihrer Organisation hinzu. Sie müssen weder verwaltete noch AWS verwaltete Richtlinien SCPs (z. B. AWS Control Tower und AWS Organizations SCPs) aktualisieren. AWS

Sie verwenden diese Skripte, um:

Weitere Informationen zu Richtlinien und Richtlinien zur Dienststeuerung (SCPs) finden Sie in den folgenden Themen:

Übersicht

Halten Sie sich an dieses Thema, um die folgenden Schritte auszuführen:

Voraussetzungen

Bevor Sie beginnen, müssen Sie Folgendes tun:

Schritt 1: Einrichten Ihrer Umgebung

Laden Sie zunächst die erforderlichen Dateien von der AWS -Samples-Website herunter. Anschließend führen Sie Befehle aus, um Ihre Umgebung einzurichten.

Weitere Informationen finden Sie in der README.md-Datei.

Schritt 2: Erstellen Sie die CloudFormation StackSet

Gehen Sie wie folgt vor, um ein CloudFormation Stack-Set zu erstellen. Dieses Stack-Set erstellt dann die BillingConsolePolicyMigratorRole IAM Rolle für alle Mitgliedskonten in Ihrer Organisation.

Nach CloudFormation der Erstellung des Stack-Sets hat jedes Mitgliedskonto in Ihrer Organisation eine BillingConsolePolicyMigratorRole IAM Rolle.

Die IAM Rolle enthält die folgenden Berechtigungen:

"iam:GetAccountAuthorizationDetails",
"iam:GetPolicy",
"iam:GetPolicyVersion",
"iam:GetUserPolicy",
"iam:GetGroupPolicy",
"iam:GetRolePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion",
"iam:ListPolicyVersions",
"iam:PutUserPolicy",
"iam:PutGroupPolicy",
"iam:PutRolePolicy",
"iam:SetDefaultPolicyVersion"

Schritt 3: Identifizieren der betroffenen Richtlinien

Nachdem Sie das Stack-Set erstellt und die Dateien heruntergeladen haben, führen Sie das identify_affected_policies.py-Skript aus. Dieses Skript übernimmt die BillingConsolePolicyMigratorRole IAM Rolle für jedes Mitgliedskonto und identifiziert dann die betroffenen Richtlinien.

Sie können auch die folgenden Eingabeparameter verwenden:

Nachdem Sie das Skript ausgeführt haben, erstellt es zwei JSON Dateien in einem Affected_Policies_<Timestamp> Ordner:

Schritt 4: Überprüfen der vorgeschlagenen Änderungen

Nachdem das Skript die affected_policies_and_suggestions.json-Datei erstellt hat, überprüfen Sie sie und nehmen alle Änderungen vor.

Beispiel 1: Aktualisieren der action_mapping_config.json-Datei

Sie können die vorgeschlagenen Zuordnungen in der action_mapping_config.json aktualisieren. Nachdem Sie die Datei aktualisiert haben, können Sie das identify_affected_policies.py-Skript erneut ausführen. Dieses Skript generiert aktualisierte Vorschläge für die betroffenen Richtlinien.

Sie können mehrere Versionen der action_mapping_config.json-Datei erstellen, um die Richtlinien für verschiedene Konten mit unterschiedlichen Berechtigungen zu ändern. Sie könnten beispielsweise eine Datei mit dem Namen action_mapping_config_testing.json erstellen, um die Berechtigungen für Ihre Testkonten und action_mapping_config_production.json für Ihre Produktionskonten zu migrieren.

Beispiel 2: Aktualisieren der affected_policies_and_suggestions.json-Datei

Um Änderungen an den vorgeschlagenen Ersetzungen für eine bestimmte betroffene Richtliniengruppe vorzunehmen, können Sie den Abschnitt „Ersatzvorschläge“ in der affected_policies_and_suggestions.json-Datei direkt bearbeiten.

Alle Änderungen, die Sie in diesem Abschnitt vornehmen, werden auf alle Richtlinien innerhalb der jeweiligen betroffenen Richtliniengruppe angewendet.

Beispiel 3: Anpassen einer bestimmten Richtlinie

Wenn Sie feststellen, dass eine Richtlinie innerhalb einer betroffenen Richtliniengruppe andere Änderungen als die vorgeschlagenen Aktualisierungen benötigt, können Sie wie folgt vorgehen:

Schritt 5: Aktualisieren der betroffenen Richtlinien

Nachdem Sie die Ersatzvorschläge überprüft und verfeinert haben, führen Sie das update_affected_policies.py-Skript aus. Das Skript verwendet die affected_policies_and_suggestions.json-Datei als Eingabe. Dieses Skript übernimmt die BillingConsolePolicyMigratorRole IAM Rolle, die betroffenen Richtlinien zu aktualisieren, die in der affected_policies_and_suggestions.json Datei aufgeführt sind.

python3 update_affected_policies.py --affected-policies-directory Affected_Policies_<Timestamp>

Das update_affected_policies.py-Skript aktualisiert die betroffenen Richtlinien in der affected_policies_and_suggestions.json-Datei mit den vorgeschlagenen neuen Aktionen. Das Skript fügt den Richtlinien einen Sid Block hinzu, der als gekennzeichnet istBillingConsolePolicyMigrator#, wobei # entspricht einem inkrementellen Zähler (z. B. 1, 2, 3).

Wenn die betroffene Richtlinie beispielsweise mehrere Sid-Blöcke enthält, die alte Aktionen verwenden, fügt das Skript mehrere Sid-Blöcke hinzu, die als BillingConsolePolicyMigrator# erscheinen, um jedem Sid-Block zu entsprechen.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ce:*",
                "aws-portal:ViewAccount"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator1",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:GetAlternateContact",
                "account:GetChallengeQuestions",
                "account:GetContactInformation",
                "billing:GetContractInformation",
                "billing:GetIAMAccessPreference",
                "billing:GetSellerOfRecord",
                "payments:ListPaymentPreferences"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator2",
            "Effect": "Deny",
            "Action": [
                "account:CloseAccount",
                "account:DeleteAlternateContact",
                "account:PutAlternateContact",
                "account:PutChallengeQuestions",
                "account:PutContactInformation",
                "billing:PutContractInformation",
                "billing:UpdateIAMAccessPreference",
                "payments:UpdatePaymentPreferences"
            ],
            "Resource": "*"
        }
    ]
} 

Das Skript generiert einen Statusbericht, der erfolglose Operationen enthält, und gibt die JSON Datei lokal aus.

[{
    "Account": "111111111111",
    "PolicyType": "Customer Managed Policy"
    "PolicyName": "AwsPortalViewPaymentMethods",
    "PolicyIdentifier": "identifier",
    "Status": "FAILURE", // FAILURE or SKIPPED	
    "ErrorMessage": "Error message details"
}]

Schritt 6: Ihre Änderungen rückgängig machen (optional)

Das rollback_affected_policies.py-Skript macht die Änderungen rückgängig, die auf jede betroffene Richtlinie für die angegebenen Konten angewendet wurden. Das Skript entfernt alle Sid-Blöcke, die das update_affected_policies.py-Skript angehängt hat. Diese Sid-Blöcke haben das BillingConsolePolicyMigratorRole#-Format.

IAMBeispiele für Richtlinien

Richtlinien gelten als ähnlich, wenn Folgendes identisch ist:

Die folgenden Beispiele zeigen Richtlinien, die aufgrund der Unterschiede zwischen ihnen als ähnlich angesehen werden IAM könnten oder auch nicht.