Usa scripts para migrar tus políticas de forma masiva y usar acciones más detalladas IAM

Para ayudarte a migrar tus IAM políticas y utilizarlas en nuevas acciones, conocidas como acciones detalladas, puedes usar scripts del sitio web de Samples.AWS

Ejecute estos scripts desde la cuenta de pagador de su organización para identificar las siguientes políticas afectadas de su organización que utilizan las acciones anteriores: IAM

Los scripts generan sugerencias de nuevas acciones que corresponden a las acciones existentes utilizadas en la política. A continuación, revise las sugerencias y utilice los scripts para agregar las nuevas acciones en todas las políticas afectadas de la organización. No es necesario actualizar las políticas AWS gestionadas o AWS gestionadas SCPs (por ejemplo, AWS Control Tower y AWS Organizations SCPs).

Estos scripts se utilizan para:

Para obtener más información sobre las políticas y las políticas de control de servicios (SCPs), consulte los siguientes temas:

Descripción general

Siga este tema para completar los siguientes pasos:

Requisitos previos

Para comenzar, necesita lo siguiente:

Paso 1: configurar el entorno

Para comenzar, descargue los archivos requeridos del sitio web AWS  Samples. A continuación, ejecute comandos para configurar el entorno.

Para obtener más información, consulte el READMEarchivo.md.

Paso 2: Crea el CloudFormation StackSet

Siga este procedimiento para crear un conjunto de CloudFormation pilas. A continuación, este conjunto de pilas crea el BillingConsolePolicyMigratorRole IAM rol para todas las cuentas de los miembros de la organización.

Después de CloudFormation crear el conjunto de pilas, cada cuenta de miembro de la organización tiene una BillingConsolePolicyMigratorRole IAM función.

El IAM rol contiene los siguientes permisos:

"iam:GetAccountAuthorizationDetails",
"iam:GetPolicy",
"iam:GetPolicyVersion",
"iam:GetUserPolicy",
"iam:GetGroupPolicy",
"iam:GetRolePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion",
"iam:ListPolicyVersions",
"iam:PutUserPolicy",
"iam:PutGroupPolicy",
"iam:PutRolePolicy",
"iam:SetDefaultPolicyVersion"

Paso 3: identificar las políticas afectadas

Después de crear el conjunto de pilas y descargar los archivos, ejecute el script identify_affected_policies.py. Este script asume la BillingConsolePolicyMigratorRole IAM función de cada cuenta de miembro y, a continuación, identifica las políticas afectadas.

Puede utilizar los siguientes parámetros de entrada:

Tras ejecutar el script, se crean dos JSON archivos en una Affected_Policies_<Timestamp> carpeta:

Paso 4: revisar los cambios sugeridos

Una vez que el script haya creado el archivo affected_policies_and_suggestions.json, revíselo y haga los cambios necesarios.

Ejemplo 1: actualizar el archivo action_mapping_config.json

Puede actualizar las asignaciones sugeridas en action_mapping_config.json. Después de actualizar el archivo, puede volver a ejecutar el script identify_affected_policies.py. El script genera sugerencias actualizadas para las políticas afectadas.

Puede crear varias versiones del archivo action_mapping_config.json para cambiar las políticas de diferentes cuentas con diferentes permisos. Por ejemplo, puede crear un archivo con el nombre de action_mapping_config_testing.json para migrar los permisos para las cuentas de prueba y action_mapping_config_production.json para las cuentas de producción.

Ejemplo 2: actualizar el archivo affected_policies_and_suggestions.json

Para modificar los reemplazos sugeridos para un grupo de políticas afectado específico, puede editar directamente la sección de reemplazos sugeridos del archivo affected_policies_and_suggestions.json.

Todos los cambios que realice en esta sección se aplicarán a todas las políticas de ese grupo de políticas afectado específico.

Ejemplo 3: personalizar una política específica

Si descubre una política dentro de un grupo de políticas afectado que necesita cambios diferentes a los sugeridos, puede hacer lo siguiente:

Paso 5: actualizar las políticas afectadas

Después de revisar y refinar los reemplazos sugeridos, ejecute el script update_affected_policies.py. El script toma el archivo affected_policies_and_suggestions.json como entrada. Este script asume la BillingConsolePolicyMigratorRole IAM función de actualizar las políticas afectadas que figuran en el affected_policies_and_suggestions.json archivo.

python3 update_affected_policies.py --affected-policies-directory Affected_Policies_<Timestamp>

El script update_affected_policies.py actualiza las políticas afectadas dentro del archivo affected_policies_and_suggestions.json con las nuevas acciones sugeridas. El script añade un Sid bloque a las políticas, identificado comoBillingConsolePolicyMigrator#, donde # corresponde a un contador incremental (por ejemplo, 1, 2, 3).

Por ejemplo, si hay varios bloques Sid en la política afectada que utilizan acciones antiguas, el script agrega varios bloques Sid que aparecen como BillingConsolePolicyMigrator# para corresponder a cada bloque Sid.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ce:*",
                "aws-portal:ViewAccount"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator1",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:GetAlternateContact",
                "account:GetChallengeQuestions",
                "account:GetContactInformation",
                "billing:GetContractInformation",
                "billing:GetIAMAccessPreference",
                "billing:GetSellerOfRecord",
                "payments:ListPaymentPreferences"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator2",
            "Effect": "Deny",
            "Action": [
                "account:CloseAccount",
                "account:DeleteAlternateContact",
                "account:PutAlternateContact",
                "account:PutChallengeQuestions",
                "account:PutContactInformation",
                "billing:PutContractInformation",
                "billing:UpdateIAMAccessPreference",
                "payments:UpdatePaymentPreferences"
            ],
            "Resource": "*"
        }
    ]
} 

El script genera un informe de estado que contiene las operaciones fallidas y genera el JSON archivo de forma local.

[{
    "Account": "111111111111",
    "PolicyType": "Customer Managed Policy"
    "PolicyName": "AwsPortalViewPaymentMethods",
    "PolicyIdentifier": "identifier",
    "Status": "FAILURE", // FAILURE or SKIPPED	
    "ErrorMessage": "Error message details"
}]

Paso 6: revertir los cambios (opcional)

El script rollback_affected_policies.py revierte los cambios aplicados a cada política afectada para las cuentas especificadas. El script elimina todos los bloques Sid que adjuntó el script update_affected_policies.py. Estos bloques Sid tienen el formato BillingConsolePolicyMigratorRole#.

Ejemplos de políticas de IAM

Las políticas se consideran similares si son idénticas:

Los siguientes ejemplos muestran políticas que IAM podrían considerarse similares o no en función de las diferencias entre ellas.