Test delle policy IAM con il simulatore di policy IAM

Apri la console del simulatore di policy IAM all'indirizzo https://policysim.aws.amazon.com/.

Nel menu Mode: (Modalità:) nella parte superiore della pagina, selezionare New Policy (Nuova policy).

In Policy Sandbox (Sandbox policy), selezionare Create New Policy (Crea nuova policy).

Digita o copia una policy nel simulatore e utilizza il simulatore come descritto di seguito.

Apri la console del simulatore di policy IAM all'indirizzo https://policysim.aws.amazon.com/.

Il simulatore si apre nella modalità Existing Policies (Policy esistenti) ed elenca gli utenti IAM nell'account in Users, Groups, and Roles (Utenti, gruppi e ruoli).

Selezionare l'opzione opportuna per la propria attività:

(Facoltativo) Se l'account è membro di un'organizzazione in AWS Organizations, seleziona la casella di controllo accanto a SCP AWS Organizations per includere SCP nella valutazione simulata. Le SCP sono policy JSON che specificano il numero massimo di autorizzazioni per un'organizzazione o un'unità organizzativa (UO). L'SCP limita le autorizzazioni per le entità negli account membri. Se una SCP blocca un servizio o un'operazione, nessuna entità in tale account può accedere a quel servizio né eseguire questa operazione. Ciò è valido anche se un amministratore esplicitamente concede le autorizzazioni a quell'operazione o servizio tramite una policy IAM o delle risorse.

Se l'account non è un membro di un'organizzazione, la casella di controllo non viene visualizzata.

(Facoltativo) Puoi eseguire il test di una policy impostata come limite delle autorizzazioni per un'entità IAM (utente o ruolo), ma non per i gruppi di utenti. Se un criterio limite delle autorizzazioni è attualmente impostato per l'entità, verrà visualizzato nel riquadro Criteri . È possibile impostare solo un limite delle autorizzazioni per un'entità. Per testare un limite di autorizzazioni diverso, è possibile creare un limite di autorizzazioni personalizzato. A tale scopo, scegliere Crea nuovo criterio. Viene aperto un nuovo riquadro Criteri . Nel menu, scegliere Criteri di limite autorizzazioni IAM personalizzate. Immettere un nome per il nuovo criterio e digitare o copiare un criterio nello spazio sottostante. Scegliere Applica per salvare il criterio. Quindi, scegliere Indietro per tornare al riquadro Criteri originale. Seleziona quindi la casella di controllo accanto al limite delle autorizzazioni che desideri utilizzare per la simulazione.

(Facoltativo) Puoi eseguire il test solo di un sottoinsieme di policy collegate a un utente, un gruppo di utenti o un ruolo. A tale scopo, nel riquadro Criteri deselezionare la casella di controllo accanto a ciascun criterio che si desidera escludere.

In Policy Simulator (Simulatore di policy), selezionare Select service (Seleziona servizio) e scegliere il servizio da testare. Selezionare Select actions (Seleziona operazioni) e scegliere una o più operazioni da testare. Sebbene i menu mostrino le opzioni disponibili per un solo servizio alla volta, tutti i servizi e le operazioni selezionati vengono visualizzati in Action Settings and Results (Impostazioni e risultati operazione).

(Facoltativo) Se una delle policy che scegli in Passo 2 e Passo 5 include condizioni con le chiavi della condizione globale di AWS, devi fornire i valori per tali chiavi. È possibile eseguire questa operazione espandendo la sezione Global Settings (Impostazioni globali) e digitando i valori per i nomi chiave visualizzati.

(Facoltativo) Ogni operazione selezionata viene mostrata nell'elenco Action Settings and Results (Impostazioni e risultati operazione) con Not simulated (Non simulata) nella colonna Permission (Autorizzazione) finché effettivamente la simulazione non viene eseguita. Prima di eseguire la simulazione, è possibile configurare ciascuna operazione con una risorsa. Per configurare le operazioni individuali per un determinato scenario, selezionare la freccia per espandere la riga dell'operazione. Se l'operazione supporta le autorizzazioni a livello di risorsa, è possibile digitare l'Amazon Resource Name (ARN) della risorsa specifica di cui si desidera testare l'accesso. Come impostazione predefinita, ogni risorsa è impostata su un carattere jolly (*). È anche possibile specificare un valore per qualsiasi chiave di contesto della condizione. Come indicato in precedenza, le chiavi con valori vuoti vengono ignorate, ciò può provocare errori di simulazione o risultati inaffidabili.

1. Selezionare la freccia accanto al nome dell'operazione per espandere ogni riga e configurare qualsiasi informazioni aggiuntive necessarie per simulare accuratamente l'operazione nel proprio scenario. Se l'operazione richiede autorizzazioni a livello di risorsa, è possibile digitare l'Amazon Resource Name (ARN) della risorsa specifica alla quale si desidera simulare l'accesso. Come impostazione predefinita, ogni risorsa è impostata su un carattere jolly (*).

2. Se l'operazione supporta autorizzazioni a livello di risorsa, ma non le richiede, è possibile selezionare Add Resource (Aggiungi risorsa) per selezionare il tipo di risorsa che si desidera aggiungere alla simulazione.

3. Se nessuna delle policy selezionate include un elementoCondition che fa riferimento a una chiave contestuale per il servizio di questa operazione, tale nome della chiave è visualizzato sotto l'operazione. È possibile specificare il valore da utilizzare durante la simulazione di quell'operazione per la risorsa specificata.

Operazioni che richiedono diversi gruppi di tipi di risorse

Alcune operazioni richiedono diversi tipi di risorse in circostanze diverse. Ogni gruppo di tipi di risorse è associato a uno scenario. Se uno di questi si applica alla propria simulazione, selezionarlo e il simulatore richiederà i tipi di risorse appropriate per tale scenario. L'elenco seguente mostra ciascuna delle opzioni di scenari supportate e le risorse che è necessario definire per eseguire la simulazione.

Ognuno dei seguenti scenari di Amazon EC2 richiede che vengano specificate le risorse instance, image e security-group. Se il proprio scenario include un volume EBS, è necessario specificare quel volume come una risorsa. Se lo scenario di Amazon EC2 include un virtual private cloud (VPC), è necessario fornire la risorsa network-interface. Se include una sottorete IP, è necessario specificare la risorsa subnet. Per ulteriori informazioni sulle opzioni dello scenario di Amazon EC2, consulta Piattaforme supportatenella Guida per l'utente di Amazon EC2.

(Facoltativo) Se si desidera includere una policy basate su risorse nella simulazione, è necessario selezionare le operazioni che si desidera simulare su quella risorsa Passo 6. Espandere le righe per le operazioni selezionate e digitare il nome ARN della risorsa con una policy che si desidera simulare. Selezionare Include Resource Policy (Includi policy delle risorse) accanto alla casella di testo ARN. Il simulatore di policy IAM attualmente supporta le policy basate sulle risorse solo dai seguenti servizi: Amazon S3 (solo policy basate su risorse; le liste ACL non sono attualmente supportate), Amazon SQS, Amazon SNS e vault S3 Glacier sbloccati (i vault bloccati non sono attualmente supportati).

Selezionare Run Simulation (Esegui simulazione) nell'angolo in alto a destra.

La colonna Permission (Autorizzazione) in ogni riga di Action Settings e Results (Impostazioni e risultati operazione) visualizza il risultato di simulazione di tale operazione nella risorsa specificata.

Per consultare quale istruzione in una policy ha esplicitamente permesso o negato un'operazione, selezionare il collegamento N matching statement(s) (Istruzioni corrispondenti) nella colonna Permissions (Autorizzazioni) per espandere la riga. Selezionare il collegamento Show statement (Mostra istruzione). Il riquadro Policies (Policy) mostra la policy rilevante con l'istruzione che ha interessato i risultati della simulazione evidenziata.