Pembuatan kebijakan IAM Access Analyzer

Menghasilkan kebijakan untuk peran IAM

1. Masuk ke AWS Management Console dan buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Pada panel navigasi di sebelah kiri, pilih Peran.

   catatan

   Langkah-langkah untuk menghasilkan kebijakan berdasarkan aktivitas untuk pengguna IAM hampir identik. Untuk melakukannya, pilih Pengguna sebagai ganti Peran.

3. Dalam daftar peran di akun Anda, pilih nama peran yang aktivitasnya ingin Anda gunakan untuk menghasilkan kebijakan.

4. Pada tab Izin, di bagian Buat kebijakan berdasarkan CloudTrail peristiwa, pilih Buat kebijakan.

5. Pada halaman Buat kebijakan, tentukan periode waktu yang Anda inginkan IAM Access Analyzer untuk menganalisis CloudTrail peristiwa Anda untuk tindakan yang diambil dengan peran tersebut. Anda dapat memilih rentang hingga 90 hari. Kami menyarankan Anda memilih periode waktu sesingkat mungkin untuk mengurangi waktu pembuatan kebijakan.

6. Di bagian CloudTrail akses, pilih peran yang ada yang sesuai atau buat peran baru jika peran yang sesuai tidak ada. Peran tersebut memberikan izin IAM Access Analyzer untuk mengakses CloudTrail data Anda atas nama Anda guna meninjau aktivitas akses guna mengidentifikasi layanan dan tindakan yang telah digunakan. Untuk mempelajari lebih lanjut tentang izin yang diperlukan untuk peran ini, lihatIzin diperlukan untuk menghasilkan kebijakan.

7. Di bagian CloudTrail jejak yang akan dianalisis, tentukan CloudTrail jejak yang mencatat peristiwa untuk akun tersebut.

   Jika Anda memilih CloudTrail jejak yang menyimpan log di akun yang berbeda, kotak informasi tentang akses lintas akun akan ditampilkan. Akses lintas akun memerlukan pengaturan tambahan. Untuk mempelajari lebih lanjut, lihat Choose a role for cross-account access nanti dalam topik ini.

8. Pilih Buat kebijakan.

9. Sementara pembuatan kebijakan sedang berlangsung, Anda akan dikembalikan ke halaman Ringkasan Peran tab Izin. Tunggu hingga status di bagian Detail permintaan kebijakanmenampilkan bagian Sukses, lalu pilih Lihat kebijakan yang dibuat. Anda dapat melihat kebijakan yang dihasilkan hingga tujuh hari. Jika Anda membuat kebijakan lain, kebijakan yang ada diganti dengan yang baru yang Anda buat.

1. Tinjau bagian berikut:

   • Pada Tinjau izin, tinjau daftarTindakan yang disertakan dalam kebijakan yang dihasilkan. Daftar ini menampilkan layanan dan tindakan yang diidentifikasi oleh IAM Access Analyzer yang digunakan oleh peran dalam rentang tanggal yang ditentukan.

   • Bagian Layanan yang digunakan menampilkan layanan tambahan yang diidentifikasi oleh IAM Access Analyzer yang digunakan oleh peran dalam rentang tanggal yang ditentukan. Informasi tentang tindakan yang digunakan mungkin tidak tersedia untuk layanan yang tercantum dalam bagian ini. Gunakan menu untuk setiap layanan yang tercantum untuk secara manual memilih tindakan yang ingin Anda sertakan dalam kebijakan.

2. Setelah selesai menambahkan tindakan, pilih Next (Berikutnya).

Untuk menyesuaikan kebijakan yang dihasilkan

1. Memperbarui templat kebijakan. Templat kebijakan berisi placeholder ARN sumber daya untuk tindakan yang mendukung izin tingkat sumber daya, seperti yang ditunjukkan pada gambar berikut. Izin tingkat sumber daya mengacu pada kemampuan untuk menentukan sumber daya mana yang boleh digunakan oleh para pengguna untuk melakukan tindakan. Kami menyarankan agar Anda menggunakan ARN untuk menentukan sumber daya individu Anda dalam kebijakan untuk tindakan yang mendukung izin tingkat sumber daya. Anda dapat mengganti sumber daya pengganti ARN dengan ARN sumber daya yang valid untuk kasus penggunaan Anda.

   Jika suatu tindakan tidak mendukung izin tingkat sumber daya, Anda harus menggunakan wildcard (*) untuk menentukan bahwa semua sumber daya dapat dipengaruhi oleh tindakan tersebut. Untuk mempelajari AWS layanan mana yang mendukung izin tingkat sumber daya, lihat AWS layanan yang berfungsi dengan IAM. Untuk daftar tindakan di setiap layanan, dan untuk mempelajari tindakan mana yang mendukung izin tingkat sumber daya, lihat Tindakan, Sumber Daya, dan Kunci Syarat untuk Layanan AWS.

   

2. (Opsional) Tambahkan, modifikasi, atau hapus pernyataan kebijakan JSON dalam templat. Untuk mempelajari selengkapnya tentang menulis kebijakan JSON, lihat Membuat kebijakan IAM (konsol).

3. Setelah selesai menyesuaikan templat kebijakan, Anda akan memiliki opsi berikut:

   • (Opsional) Anda dapat menyalin JSON dalam templat untuk menggunakan secara terpisah di luar halaman Kebijakan yang dihasilkan. Misalnya, jika Anda ingin menggunakan JSON untuk membuat kebijakan di akun yang berbeda. Jika kebijakan dalam templat Anda melebihi batas 6.144 karakter untuk kebijakan JSON, kebijakan dibagi menjadi beberapa kebijakan.

   • Pilih Next (Berikutnya) untuk meninjau dan membuat kebijakan terkelola di akun yang sama.

Untuk meninjau dan membuat kebijakan

1. Pada halaman Tinjau dan buat kebijakan terkelola, masukkan Nama dan Deskripsi (opsional) untuk kebijakan yang Anda buat.

2. (Opsional) Di bagian Summary (Ringkasan), Anda dapat meninjau izin yang akan disertakan dalam kebijakan.

3. (Opsional) Tambahkan metadata ke kebijakan dengan melampirkan tanda sebagai pasangan nilai kunci. Untuk informasi lebih lanjut tentang penggunaan tanda dan IAM, lihat Penandaan sumber daya IAM.

4. Setelah selesai, lakukan salah satu hal berikut:

   • Anda dapat melampirkan kebijakan baru langsung ke peran yang digunakan untuk menghasilkan kebijakan. Untuk melakukannya, di dekat bagian bawah halaman, pilih kotak centang di samping Lampirkan kebijakan ke YourRoleNama. Kemudian pilih Create and attach policy (Membuat dan melampirkan kebijakan).

   • Atau, pilih Buat kebijakan. Anda dapat menemukan kebijakan yang Anda buat dalam daftar kebijakan di panel navigasi Kebijakan konsol IAM.

5. Anda dapat melampirkan kebijakan yang Anda buat ke entitas di akun. Setelah Anda melampirkan kebijakan, Anda dapat menghapus kebijakan lain yang terlalu luas yang mungkin dilampirkan ke entitas. Untuk mempelajari cara melampirkan kebijakan terkelola, lihat Menambahkan izin identitas IAM (konsol).

Langkah 1: Pilih atau buat peran untuk akses lintas akun

• Pada layar Buat kebijakan, opsi untuk Menggunakan peran yang ada telah dipilih sebelumnya untuk Anda jika peran dengan izin yang diperlukan ada di akun Anda. Jika tidak, pilih Buat dan gunakan peran layanan baru. Peran baru ini digunakan untuk memberikan IAM Access Analyzer akses ke CloudTrail log Anda di akun B.

Langkah 2: Verifikasi atau perbarui konfigurasi bucket Amazon S3 Anda di akun B

1. Masuk ke AWS Management Console dan buka konsol Amazon S3 di https://console.aws.amazon.com/s3/.

2. Dalam daftar Bucket, pilih nama bucket tempat log CloudTrail jejak Anda disimpan.

3. Pilih tab Permissions dan pergi ke bagian Object Ownership.

   Gunakan setelan bucket Kepemilikan Objek Amazon S3 untuk mengontrol kepemilikan objek yang Anda unggah ke bucket. Secara default, ketika objek Akun AWS upload lain ke bucket Anda, akun upload memiliki objek. Untuk membuat kebijakan, pemilik bucket harus memiliki semua objek di ember. Bergantung pada kasus penggunaan ACL, Anda mungkin perlu mengubah setelan Kepemilikan Objek untuk bucket Anda. Tetapkan Object Ownership ke salah satu opsi berikut.

   • Pemilik bucket diberlakukan (disarankan)

   • Pemilik ember lebih disukai

   penting

   Agar berhasil menghasilkan kebijakan, objek dalam ember harus dimiliki oleh pemilik ember. Jika Anda memilih untuk menggunakan pemilik Bucket yang diinginkan, Anda hanya dapat membuat kebijakan untuk jangka waktu tersebut setelah perubahan kepemilikan objek dilakukan.

   Untuk mempelajari lebih lanjut tentang kepemilikan objek di Amazon S3, lihat Mengontrol kepemilikan objek dan menonaktifkan ACL untuk bucket Anda di Panduan Pengguna Amazon S3.

4. Tambahkan izin ke kebijakan bucket Amazon S3 Anda di akun B untuk mengizinkan akses peran di akun A.

   Kebijakan contoh berikut memungkinkan ListBucket dan GetObject untuk bucket bernamaDOC-EXAMPLE-BUCKET. Ini memungkinkan akses jika peran yang mengakses bucket milik akun di organisasi Anda dan memiliki nama yang dimulai denganAccessAnalyzerMonitorServiceRole. Menggunakan aws:PrincipalArnsebagai Resource elemen Condition dalam memastikan bahwa peran hanya dapat mengakses aktivitas untuk akun jika itu milik akun A. Anda dapat mengganti DOC-EXAMPLE-BUCKET dengan nama bucket, optional-prefix dengan awalan opsional untuk bucket, dan organization-id dengan ID organisasi Anda.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "PolicyGenerationBucketPolicy",
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": [
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET/optional-prefix/AWSLogs/organization-id/${aws:PrincipalAccount}/*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }

5. Jika Anda mengenkripsi log Anda menggunakan AWS KMS, perbarui kebijakan AWS KMS kunci Anda di akun tempat Anda menyimpan CloudTrail log untuk memberikan akses kepada IAM Access Analyzer untuk menggunakan kunci Anda, seperti yang ditunjukkan dalam contoh kebijakan berikut. Ganti CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN dengan ARN untuk jejak Anda dan organization-id dengan ID organisasi Anda.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": "kms:Decrypt",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN",
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "kms:ViaService": [
               "access-analyzer.*.amazonaws.com",
               "s3.*.amazonaws.com"
             ]
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }