View a markdown version of this page

Menghasilkan rekomendasi kebijakan untuk temuan akses yang tidak digunakan - AWS Hub Keamanan
Bagaimana rekomendasi kebijakan bekerjaSiapa yang bisa menghasilkan rekomendasiSiklus hidup rekomendasiKasus kesalahanMenggunakan konsolReferensi API

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menghasilkan rekomendasi kebijakan untuk temuan akses yang tidak digunakan

Untuk temuan izin yang tidak terpakai, Security Hub dapat menghasilkan rekomendasi kebijakan hak istimewa terkecil yang menunjukkan kebijakan penggantian dengan cakupan. Rekomendasi mengevaluasi setiap kebijakan yang dilampirkan pada prinsipal IAM dan menghasilkan pengganti yang hanya mempertahankan izin yang sebenarnya digunakan oleh kepala sekolah. Kemampuan ini disediakan untuk semua pelanggan Security Hub tanpa biaya tambahan.

Bagaimana rekomendasi kebijakan bekerja

Pembuatan rekomendasi kebijakan adalah operasi asinkron. Untuk menghasilkan dan mengambil rekomendasi:

  1. Ambil temuan izin yang tidak digunakan dari Hub Keamanan menggunakan operasi GetFindingsV2 API. Perhatikan metadata.uid bidang dari temuan.

  2. Hu GenerateRecommendedPolicyV2 bungi temuan itumetadata.uid. Ini memulai pembuatan rekomendasi, yang biasanya selesai dalam 20 detik.

  3. Jajak pendapat GetRecommendedPolicyV2 dengan yang sama metadata.uid sampai status bidang kembaliSUCCEEDED.

  4. Tanggapan berisi satu atau lebih langkah rekomendasi. Setiap langkah menentukan recommendedAction salah satu CREATE_POLICY (membuat dan melampirkan kebijakan penggantian dengan cakupan) atau DETACH_POLICY (lepaskan kebijakan asli yang terlalu istimewa). Untuk CREATE_POLICY langkah-langkah, respons mencakup existingPolicy JSON dan recommendedPolicy JSON sehingga Anda dapat membandingkannya.

Anda harus menelepon GenerateRecommendedPolicyV2 sebelum GetRecommendedPolicyV2 menelepon jika rekomendasi belum dibuat sebelumnya untuk temuan itu.

Siapa yang bisa menghasilkan rekomendasi

Baik pemilik akun maupun administrator yang didelegasikan dapat memanggil operasi API ini:

  • Pemilik akun dapat membuat dan melihat rekomendasi untuk temuan izin yang tidak digunakan di akun mereka sendiri.

  • Administrator yang didelegasikan dapat membuat dan melihat rekomendasi untuk temuan izin akun anggota yang tidak terpakai dalam organisasi mereka.

Jika Anda bukan administrator yang didelegasikan dan temuan tersebut milik akun yang berbeda, operasi API mengembalikan AccessDeniedException kesalahan.

Siklus hidup rekomendasi

  • Rekomendasi disimpan dalam cache selama 90 hari dan tetap tersedia selama temuan aktif (tidak Ditutup). Namun, memanggil GenerateRecommendedPolicyV2 beberapa kali membatalkan cache dan memulai pekerjaan baru yang menggantikan kebijakan cache. Panggil GenerateRecommendedPolicyV2 hanya sekali per temuan.

  • Rekomendasi mengikuti pola lepas-dan-pasang. Itu tidak mengubah kebijakan IAM Anda yang ada. Anda meninjau kebijakan yang disarankan dan menerapkannya secara manual di konsol IAM atau melalui IAM API.

  • Jika temuan diselesaikan (misalnya, karena izin yang sebelumnya tidak digunakan sekarang digunakan), rekomendasi tidak lagi tersedia.

Kasus kesalahan

Operasi API mengembalikan kesalahan dalam situasi berikut:

  • Temuan telah diselesaikan - InvalidInputException (HTTP 400).

  • Temuan ini bukan temuan izin yang tidak digunakan - InvalidInputException (HTTP 400).

  • Prinsip IAM dibuat melalui kumpulan izin Pusat Identitas IAM. Kebijakan untuk prinsipal kumpulan izin tidak dapat dimodifikasi secara langsung. Rekomendasi mengembalikan FAILED status dengan penjelasan.

  • Penelepon bukan administrator yang didelegasikan dan temuan itu milik akun yang berbeda - AccessDeniedException (HTTP 403).

  • Belum ada rekomendasi yang dibuat dan Anda menelepon GetRecommendedPolicyV2 tanpa menelepon GenerateRecommendedPolicyV2 terlebih dahulu - ResourceNotFoundException (HTTP 404).

Menggunakan konsol

Di konsol Hub Keamanan, Anda dapat membuat rekomendasi kebijakan dengan melihat pencarian izin yang tidak digunakan dan memilih tab Remediasi. Konsol menampilkan pemintal pemuatan saat rekomendasi sedang dibuat. Ketika rekomendasi sudah siap, Anda dapat memilih Prat injau untuk melihat perbandingan berdampingan dari kebijakan Anda saat ini dan penggantian hak istimewa terendah yang disarankan. Anda dapat menyalin kebijakan yang disarankan dalam format JSON.

Referensi API

  • GenerateRecommendedPolicyV2— Memulai pembuatan asinkron dari rekomendasi kebijakan hak istimewa terkecil untuk temuan izin yang tidak digunakan. Mengambil temuan metadata.uid sebagai masukan. Mengembalikan HTTP 200 dengan tubuh kosong saat berhasil.

  • GetRecommendedPolicyV2— Mengambil rekomendasi kebijakan yang dihasilkan. Mengambil temuan metadata.uid sebagai masukan. Mendukung pagination dengan maxResults (1—100) dan nextToken parameter. Mengembalikan status rekomendasi (IN_PROGRESS,SUCCEEDED, atauFAILED), langkah-langkah rekomendasi, ARN sumber daya, dan kesalahan apa pun.

Untuk dokumentasi API terperinci, lihat Referensi API Hub Keamanan.