Configuration de l'Amazon Q Developer Wiz .

Wiz est une plateforme de sécurité dans le cloud qui assure la gestion du niveau de sécurité, l'évaluation et la priorisation des risques, ainsi que la gestion des vulnérabilités. Si vous utilisez Wiz pour évaluer et surveiller vos AWS applications, vous pouvez utiliser le plugin dans le chat Amazon Q pour accéder aux informations provenant de Wiz sans quitter le AWS Management Console.

Vous pouvez utiliser le plugin pour identifier et récupérer Wiz les problèmes, évaluez vos actifs les plus risqués et comprenez les vulnérabilités ou les expositions. Après avoir reçu une réponse, vous pouvez poser des questions complémentaires, notamment sur la manière de résoudre un problème.

Pour configurer le plugin, vous devez fournir les informations d'authentification de votre Wiz compte pour activer une connexion entre Amazon Q et Wiz. Après avoir configuré le plugin, vous pouvez accéder Wiz statistiques en les ajoutant @wiz au début de votre question dans le chat Amazon Q.

Prérequis

Ajout des autorisations

Pour configurer les plug-ins, les autorisations de niveau administrateur suivantes sont requises :

Acquérir des identifiants

Avant de commencer, notez les informations suivantes provenant de votre Wiz . Ces informations d'authentification seront stockées dans un AWS Secrets Manager secret lorsque vous configurerez le plugin.

Secrets et rôles de service

AWS Secrets Manager secret

Lorsque vous configurez le plugin, Amazon Q crée un nouveau AWS Secrets Manager secret que vous devez stocker Wiz informations d'authentification. Vous pouvez également utiliser un secret existant que vous avez créé vous-même.

Si vous créez vous-même un secret, assurez-vous qu'il inclut les informations d'identification suivantes et qu'il utilise le format JSON suivant :

{ 
   "ClientId": "<your-client-id>", 
   "ClientSecret": "<your-client-secret>"  
}

Pour plus d'informations sur la création de secrets, voir Création d'un secret dans le Guide de AWS Secrets Manager l'utilisateur.

Rôles de service

Pour configurer le Wiz dans Amazon Q Developer, vous devez créer un rôle de service qui autorise Amazon Q à accéder à votre secret Secrets Manager. Amazon Q assume ce rôle pour accéder au secret où se trouve votre Wiz les informations d'identification sont stockées.

Lorsque vous configurez le plugin dans la AWS console, vous avez la possibilité de créer un nouveau secret ou d'utiliser un secret existant. Si vous créez un nouveau secret, le rôle de service associé est créé pour vous. Si vous utilisez un secret existant et un rôle de service existant, assurez-vous que votre rôle de service contient ces autorisations et qu'il est assorti de la politique de confiance suivante. Le rôle de service requis dépend de votre méthode de chiffrement secrète.

Si votre secret est chiffré à l'aide d'une clé KMS AWS gérée, le rôle de service IAM suivant est requis :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:{{your-region}}:{{your-account-id}}:secret:[[secret-id]]"
            ]
        }
    ]
}

Si votre secret est chiffré à l'aide d'une AWS KMS clé gérée par le client, le rôle de service IAM suivant est requis :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:{{region}}:{{accountId}}:secret:{{secretId}}"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:{{region}}:{{accountId}}:key/{{keyId}}",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "secretsmanager.{{region}}.amazonaws.com"
                }
            }
        }
    ]
}

Pour permettre à Amazon Q d'assumer le rôle de service, celui-ci doit respecter la politique de confiance suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "q.amazonaws.com"
      },
      "Action": ["sts:AssumeRole", "sts:SetContext"],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{accountId}}",
          "aws:SourceArn": "arn:aws:codewhisperer:{{region}}:{{accountId}}:profile/{{profileId}}"
        }
      }
    }
  ]
}

Pour plus d'informations sur les rôles de service, voir Créer un rôle pour déléguer des autorisations à un AWS service dans le Guide de AWS Identity and Access Management l'utilisateur.

Configurez le Wiz .

Vous configurez les plug-ins dans la console Amazon Q Developer. Amazon Q utilise les informations d'identification stockées dans le AWS Secrets Manager site pour permettre les interactions avec Wiz.

Pour configurer le Wiz plugin, effectuez la procédure suivante :

Si vous souhaitez mettre à jour les informations d'identification d'un plugin, vous devez supprimer le plugin actuel et en configurer un nouveau. La suppression d'un plugin entraîne la suppression de toutes les spécifications précédentes. Chaque fois que vous configurez un nouveau plugin, un nouvel ARN de plugin est généré.

Configuration des autorisations utilisateur

Pour utiliser les plugins, les autorisations suivantes sont requises :

Lorsque vous accordez à une identité IAM l'accès à un Wiz plugin, l'identité accède à toutes les ressources du Wiz compte récupérable par le plugin. Wiz les autorisations des utilisateurs ne sont pas détectées par le plugin. Si vous souhaitez contrôler l'accès à un plugin, vous pouvez le faire en spécifiant son ARN dans une politique IAM.

Chaque fois que vous créez ou supprimez et reconfigurez un plugin, un nouvel ARN lui est attribué. Si vous utilisez un ARN de plugin dans une politique, celui-ci devra être mis à jour si vous souhaitez autoriser l'accès au plugin nouvellement configuré.

Pour localiser le Wiz ARN du plugin, rendez-vous sur la page Plugins de la console Amazon Q Developer et choisissez le Wiz . Sur la page de détails du plugin, copiez l'ARN du plugin. Vous pouvez ajouter cet ARN à une politique pour autoriser ou refuser l'accès au Wiz .

Si vous créez une politique pour contrôler l'accès à Wiz plugins, spécifiez Wiz le nom du plugin dans la politique.

Pour des exemples de politiques IAM qui contrôlent l'accès aux plug-ins, consultezPermettre aux utilisateurs de discuter avec les plugins d'un seul fournisseur.

Discutez avec Wiz .

Pour utiliser Amazon Q Wiz plugin, entrez @Wiz au début d'une question concernant votre Wiz problèmes. Les questions de suivi ou les réponses aux questions d'Amazon Q doivent également inclure@Wiz.

Voici quelques exemples de cas d'utilisation et de questions connexes que vous pouvez poser pour tirer le meilleur parti d'Amazon Q Wiz  :