View a markdown version of this page

Menggunakan skrip Detective Python untuk mengelola akun - Amazon Detective
Ikhtisar dari mengaktifkan Detective.py scriptIkhtisar dari menonaktifkan Detective.py scriptIzin yang diperlukan untuk skripMenyiapkan lingkungan run untuk skrip PythonMembuat sebuah .csv daftar akun anggota untuk ditambahkan atau dihapusBerjalan mengaktifkan Detective.pyBerjalan menonaktifkan Detective.py

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan skrip Detective Python untuk mengelola akun

Amazon Detective menyediakan satu set skrip Python open-source di GitHub repositori amazon -detective-multiaccount-scripts. Skrip membutuhkan Python 3.

Anda dapat menggunakan ini untuk melakukan tugas-tugas berikut:

  • Aktifkan Detektif untuk akun administrator di seluruh Wilayah.

    Saat mengaktifkan Detective, Anda dapat menetapkan nilai tag ke grafik perilaku.

  • Tambahkan akun anggota ke grafik perilaku akun administrator di seluruh Wilayah.

  • Secara opsional mengirim email undangan ke akun anggota. Anda juga dapat mengonfigurasi permintaan untuk tidak mengirim email undangan.

  • Hapus akun anggota dari grafik perilaku akun administrator di seluruh Wilayah.

  • Nonaktifkan Detektif untuk akun administrator di seluruh Wilayah. Saat akun administrator menonaktifkan Detective, grafik perilaku akun administrator di setiap Wilayah dinonaktifkan.

Ikhtisar dari mengaktifkan Detective.py script

enableDetective.pyScript melakukan hal berikut:

  1. Memungkinkan Detektif masuk untuk akun administrator di setiap Wilayah yang ditentukan, jika akun administrator belum mengaktifkan Detektif di Wilayah tersebut.

    Saat menggunakan skrip untuk mengaktifkan Detective, Anda dapat menetapkan nilai tag ke grafik perilaku.

  2. Secara opsional mengirim undangan dari akun administrator ke akun anggota yang ditentukan untuk setiap grafik perilaku.

    Pesan email undangan menggunakan konten pesan default dan tidak dapat disesuaikan.

    Anda juga dapat mengonfigurasi permintaan untuk tidak mengirim email undangan.

  3. Secara otomatis menerima undangan untuk akun anggota.

    Karena skrip secara otomatis menerima undangan, akun anggota dapat mengabaikan pesan-pesan ini.

    Kami merekomendasikan menghubungi langsung ke akun anggota untuk memberi tahu mereka bahwa undangan diterima secara otomatis.

Ikhtisar dari menonaktifkan Detective.py script

disableDetective.pySkrip menghapus akun anggota yang ditentukan dari grafik perilaku akun administrator di seluruh Wilayah yang ditentukan.

Ini juga menyediakan opsi untuk menonaktifkan Detective untuk akun administrator di seluruh Wilayah yang ditentukan.

Izin yang diperlukan untuk skrip

Skrip memerlukan AWS peran yang sudah ada sebelumnya di akun administrator dan di semua akun anggota yang Anda tambahkan atau hapus.

catatan

Nama peran harus sama di semua akun.

Praktik terbaik yang direkomendasikan kebijakan IAM adalah menggunakan peran yang paling tidak terlingkup. Untuk menjalankan alur kerja skrip untuk membuat grafik, membuat anggota, dan menambahkan anggota ke grafik, izin yang diperlukan adalah:

  • detektif: CreateGraph

  • detektif: CreateMembers

  • detektif: DeleteGraph

  • detektif: DeleteMembers

  • detektif: ListGraphs

  • detektif: ListMembers

  • detektif: AcceptInvitation

Hubungan kepercayaan peran

Hubungan kepercayaan peran harus memungkinkan instans atau kredentif lokal Anda untuk mengambil peran tersebut.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
            "AWS": "arn:aws:iam::123456789012:user/john_doe"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Jika Anda tidak memiliki peran umum yang menyertakan izin yang diperlukan, Anda harus membuat peran dengan setidaknya izin tersebut di setiap akun anggota. Anda juga harus membuat peran di akun administrator.

Saat Anda membuat peran, pastikan Anda melakukan hal berikut:

  • Gunakan nama peran yang sama di setiap akun.

  • Tambahkan izin yang diperlukan di atas (disarankan) atau pilih kebijakan ter AmazonDetectiveFullAccess kelola.

  • Tambahkan blok hubungan kepercayaan peran seperti yang dibahas di atas.

Untuk mengotomatiskan proses ini, Anda dapat menggunakan EnableDetective.yaml CloudFormation template. Karena template hanya menciptakan sumber daya global, itu dapat dijalankan di Wilayah mana pun.

Menyiapkan lingkungan run untuk skrip Python

Anda dapat menjalankan skrip dari instance EC2 atau dari mesin lokal.

Meluncurkan dan mengonfigurasi instance EC2

Salah satu opsi untuk menjalankan skrip adalah menjalankannya dari instance EC2.

Untuk meluncurkan dan mengkonfigurasi instance EC2

  1. Luncurkan instance EC2 di akun administrator Anda. Untuk detail tentang cara meluncurkan instans EC2, lihat Mem ulai dengan Instans Linux Amazon EC2 di Panduan Pengguna Amazon EC2.

  2. Lampirkan ke instance peran IAM yang memiliki izin untuk mengizinkan instance memanggil AssumeRole dalam akun administrator.

    Jika Anda menggunakan EnableDetective.yaml CloudFormation template, maka peran instance dengan profil bernama EnableDetective dibuat.

    Jika tidak, untuk informasi tentang membuat peran instans, lihat posting blog Ganti atau Lampirkan Peran IAM dengan Mudah ke Instans EC2 yang Ada dengan Menggunakan Konsol EC2.

  3. Instal perangkat lunak yang diperlukan:

    • APT: sudo apt-get -y install python3-pip python3 git

    • RPM: sudo yum -y install python3-pip python3 git

    • Boto (versi minimum 1.15): sudo pip install boto3

  4. Kloning repositori ke instance EC2.

    git clone https://github.com/aws-samples/amazon-detective-multiaccount-scripts.git

Mengkonfigurasi mesin lokal untuk menjalankan skrip

Anda juga dapat menjalankan skrip dari mesin lokal Anda.

Untuk mengkonfigurasi mesin lokal untuk menjalankan skrip

  1. Pastikan bahwa Anda telah mengatur kredenSIAL mesin lokal untuk akun administrator yang memiliki izin untuk meneleponAssumeRole.

  2. Instal perangkat lunak yang diperlukan:

    • Python 3

    • Boto (versi minimum 1.15)

    • GitHub skrip

    Platform

    Instruksi penyiapan

    Windows

    1. Instal Python 3 (https://www.python.org/downloads/windows/).

    2. Buka prompt perintah.

    3. Untuk menginstal Boto, jalankan: pip install boto3

    4. Unduh kode sumber skrip dari GitHub (https://github.com/aws-samples/amazon-detective-multiaccount-scripts).

    Mac

    1. Instal Python 3 (https://www.python.org/downloads/mac-osx/).

    2. Buka prompt perintah.

    3. Untuk menginstal Boto, jalankan: pip install boto3

    4. Unduh kode sumber skrip dari GitHub (https://github.com/aws-samples/amazon-detective-multiaccount-scripts).

    Linux

    1. Untuk menginstal Python 3, jalankan salah satu dari berikut ini:

      • sudo apt-get -y install install python3-pip python3 git

      • sudo yum install git python

    2. Untuk menginstal Boto, jalankan: sudo pip install boto3

    3. Kloning kode sumber skrip dari https://github.com/aws-samples/amazon-detective-multiaccount-scripts.

Membuat sebuah .csv daftar akun anggota untuk ditambahkan atau dihapus

Untuk mengidentifikasi akun anggota yang akan ditambahkan atau dihapus dari grafik perilaku, Anda menyediakan .csv file yang berisi daftar akun.

Daftar setiap akun pada baris terpisah. Setiap entri akun anggota berisi ID AWS akun dan alamat email pengguna root akun.

Lihat contoh berikut ini:

111122223333,srodriguez@example.com
444455556666,rroe@example.com

Berjalan mengaktifkan Detective.py

Anda dapat menjalankan enableDetective.py skrip dari instance EC2 atau mesin lokal Anda.

Untuk berlari mengaktifkan Detective.py

  1. Salin .csv file ke amazon-detective-multiaccount-scripts direktori pada instance EC2 atau mesin lokal Anda.

  2. Ubah ke direktori amazon-detective-multiaccount-scripts.

  3. Jalankan enableDetective.py skrip.

    enableDetective.py --master_account administratorAccountID --assume_role roleName --input_file inputFileName --tags tagValueList --enabled_regions regionList  --disable_email

Saat Anda menjalankan skrip, ganti nilai-nilai berikut:

administratorAccountID

ID AWS akun untuk akun administrator.

roleName

Nama AWS peran yang akan diambil di akun administrator dan setiap akun anggota.

inputFileName

Nama .csv file yang berisi daftar akun anggota untuk ditambahkan ke grafik perilaku akun administrator.

tagValueList

(Opsional) Daftar nilai tag yang dipisahkan koma untuk ditetapkan ke grafik perilaku baru.

Untuk setiap nilai tag, formatnya adalahkey=value. Contoh:

--tags Department=Finance,Geo=Americas
regionList

(Opsional) Daftar Wilayah yang dipisahkan koma untuk menambahkan akun anggota ke grafik perilaku akun administrator. Contoh:

--enabled_regions us-east-1,us-east-2,us-west-2

Akun administrator mungkin belum mengaktifkan Detektif di Wilayah. Dalam hal ini, skrip mengaktifkan Detective dan membuat grafik perilaku baru untuk akun administrator.

Jika Anda tidak memberikan daftar Wilayah, maka skrip bertindak di semua Wilayah yang didukung Detektif.

--disable_email

(Opsional) Jika disertakan, Detektif tidak mengirim email undangan ke akun anggota.

Berjalan menonaktifkan Detective.py

Anda dapat menjalankan disableDetective.py skrip dari instance EC2 atau mesin lokal Anda.

Untuk berlari menonaktifkan Detective.py

  1. Salin .csv file ke amazon-detective-multiaccount-scripts direktori.

  2. Untuk menggunakan .csv file untuk menghapus akun anggota yang terdaftar dari grafik perilaku akun administrator di daftar Wilayah tertentu, jalankan disableDetective.py skrip sebagai berikut:

    disabledetective.py --master_account administratorAccountID --assume_role roleName --input_file inputFileName --disabled_regions regionList

  3. Untuk menonaktifkan Detective untuk akun administrator di semua Wilayah, jalankan disableDetective.py skrip dengan --delete-master bendera.

    disabledetective.py --master_account administratorAccountID --assume_role roleName --input_file inputFileName --disabled_regions regionList --delete_master

Saat Anda menjalankan skrip, ganti nilai-nilai berikut:

administratorAccountID

ID AWS akun untuk akun administrator.

roleName

Nama AWS peran yang akan diambil di akun administrator dan setiap akun anggota.

inputFileName

Nama .csv file yang berisi daftar akun anggota yang akan dihapus dari grafik perilaku akun administrator.

Anda harus memberikan .csv file bahkan jika Anda menonaktifkan Detektif.

regionList

(Opsional) Daftar Wilayah yang dipisahkan koma untuk melakukan salah satu hal berikut:

  • Hapus akun anggota dari grafik perilaku akun administrator.

  • Jika --delete-master bendera disertakan, nonaktifkan Detektif.

Contoh:

--disabled_regions us-east-1,us-east-2,us-west-2

Jika Anda tidak memberikan daftar Wilayah, maka skrip bertindak di semua Wilayah yang didukung Detektif.