Utilisation de scripts pour migrer vos politiques en bloc afin d'utiliser des actions IAM précises

Pour faciliter la migration de vos politiques IAM afin d'utiliser les nouvelles actions, appelées actions détaillées, vous pouvez utiliser les scripts disponibles sur le site Web Exemples AWS (langue française non garantie).

Vous exécutez ces scripts à partir du compte payeur de votre organisation pour identifier les stratégies concernées suivantes de votre organisation qui utilisent les anciennes actions IAM :

Les scripts génèrent des suggestions de nouvelles actions qui correspondent aux actions existantes utilisées dans la politique. Vous passez ensuite en revue les suggestions et utilisez les scripts pour ajouter les nouvelles actions à toutes les stratégies concernées de votre organisation. Il n'est pas nécessaire de mettre à jour les politiques AWS AWS gérées ou gérées SCPs (par exemple, AWS Control Tower et AWS Organizations SCPs).

Ces scripts sont utilisés pour :

Pour plus d'informations sur les politiques et les politiques de contrôle des services (SCPs), consultez les rubriques suivantes :

Présentation

Suivez cette rubrique pour effectuer les étapes suivantes :

Prérequis

Pour commencer, vous devez réaliser l'action suivante :

Étape 1 : configuration de votre environnement

Pour commencer, téléchargez les fichiers requis sur le site Web AWS Samples. Exécutez ensuite des commandes pour configurer votre environnement.

Pour plus d'informations, veuillez consulter le fichier README.md.

Étape 2 : Création du CloudFormation StackSet

Suivez cette procédure pour créer un ensemble de CloudFormation piles. Cet ensemble de piles crée ensuite le rôle IAM BillingConsolePolicyMigratorRole pour tous les comptes membres de votre organisation.

Une fois CloudFormation le stack set créé, chaque compte membre de votre organisation possède un rôle BillingConsolePolicyMigratorRole IAM.

Le rôle IAM contient les autorisations suivantes :

"iam:GetAccountAuthorizationDetails",
"iam:GetPolicy",
"iam:GetPolicyVersion",
"iam:GetUserPolicy",
"iam:GetGroupPolicy",
"iam:GetRolePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion",
"iam:ListPolicyVersions",
"iam:PutUserPolicy",
"iam:PutGroupPolicy",
"iam:PutRolePolicy",
"iam:SetDefaultPolicyVersion"

Étape 3 : identification des stratégies concernées

Après avoir créé l'ensemble de piles et téléchargé les fichiers, exécutez le script identify_affected_policies.py. Ce script endosse le rôle IAM BillingConsolePolicyMigratorRole pour chaque compte membre, puis identifie les stratégies concernées.

Vous pouvez utiliser les paramètres d'entrée suivants :

Après avoir exécuté le script, il crée deux fichiers JSON dans un dossier Affected_Policies_<Timestamp> :

Étape 4 : examen des modifications suggérées

Une fois que le script a créé le fichier affected_policies_and_suggestions.json, examinez-le et apportez les modifications nécessaires.

Exemple 1 : mise à jour du fichier action_mapping_config.json

Vous pouvez mettre à jour les mappages suggérés dans le action_mapping_config.json. Après avoir mis à jour le fichier, vous pouvez réexécuter le script identify_affected_policies.py. Ce script génère des suggestions mises à jour pour les stratégies concernées.

Vous pouvez créer plusieurs versions du fichier action_mapping_config.json pour modifier les politiques de différents comptes dotés d'autorisations différentes. Par exemple, vous pouvez créer un fichier nommé action_mapping_config_testing.json pour migrer les autorisations de vos comptes de test, et un nommé action_mapping_config_production.json pour vos comptes de production.

Exemple 2 : mise à jour du fichier affected_policies_and_suggestions.json

Pour apporter des modifications aux remplacements suggérés pour un groupe de politiques concernées spécifique, vous pouvez directement modifier la section des remplacements suggérés dans le fichier affected_policies_and_suggestions.json.

Toutes les modifications que vous apportez à cette section s'appliquent à toutes les politiques du groupe de politiques concernées.

Exemple 3 : personnalisation d'une politique spécifique

Si vous trouvez qu'une politique au sein d'un groupe de politiques concernées nécessite des modifications différentes des mises à jour suggérées, vous pouvez procéder comme suit :

Étape 5 : mise à jour des stratégies concernées

Après avoir examiné et affiné les suggestions de remplacement, exécutez le script update_affected_policies.py. Le script prend le fichier affected_policies_and_suggestions.json comme entrée. Ce script endosse le rôle IAM BillingConsolePolicyMigratorRole pour mettre à jour les stratégies concernées répertoriées dans le affected_policies_and_suggestions.json fichier.

python3 update_affected_policies.py --affected-policies-directory Affected_Policies_<Timestamp>

Le script update_affected_policies.py met à jour les stratégies concernées dans le fichier affected_policies_and_suggestions.json avec les nouvelles actions suggérées. Le script ajoute un Sid bloc aux politiques, identifié commeBillingConsolePolicyMigrator#, où # correspond à un compteur incrémentiel (par exemple, 1, 2, 3).

Par exemple, si plusieurs blocs Sid de la politique concernée utilisent d'anciennes actions, le script ajoute plusieurs blocs Sid, qui apparaissent comme BillingConsolePolicyMigrator#, en correspondance à chaque bloc Sid.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ce:*",
                "aws-portal:ViewAccount"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator1",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:GetAlternateContact",
                "account:GetChallengeQuestions",
                "account:GetContactInformation",
                "billing:GetContractInformation",
                "billing:GetIAMAccessPreference",
                "billing:GetSellerOfRecord",
                "payments:ListPaymentPreferences"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator2",
            "Effect": "Deny",
            "Action": [
                "account:CloseAccount",
                "account:DeleteAlternateContact",
                "account:PutAlternateContact",
                "account:PutChallengeQuestions",
                "account:PutContactInformation",
                "billing:PutContractInformation",
                "billing:UpdateIAMAccessPreference",
                "payments:UpdatePaymentPreferences"
            ],
            "Resource": "*"
        }
    ]
} 

Le script génère un rapport d'état qui contient les opérations ayant échoué et génère le fichier JSON localement.

[{
    "Account": "111111111111",
    "PolicyType": "Customer Managed Policy"
    "PolicyName": "AwsPortalViewPaymentMethods",
    "PolicyIdentifier": "identifier",
    "Status": "FAILURE", // FAILURE or SKIPPED	
    "ErrorMessage": "Error message details"
}]

Étape 6 : annulation de vos modifications (Facultatif)

Le script rollback_affected_policies.py annule les modifications appliquées à chaque politique concernée pour les comptes spécifiés. Le script supprime tous les blocs Sid ajoutés par le script update_affected_policies.py. Ces blocs Sid ont le format BillingConsolePolicyMigratorRole#.

Exemples de politique IAM

Les politiques sont considérées comme similaires si leurs caractéristiques suivantes sont identiques :

Les exemples suivants montrent des politiques qu'IAM pourrait ou non considérer comme similaires en fonction de leurs différences.