Configurazione di Amazon Q Developer Wiz plugin

Wiz è una piattaforma di sicurezza cloud che fornisce la gestione del livello di sicurezza, la valutazione e l'assegnazione delle priorità dei rischi e la gestione delle vulnerabilità. Se si utilizza Wiz per valutare e monitorare AWS le tue applicazioni, puoi utilizzare il plug-in nella chat di Amazon Q per accedere a approfondimenti da Wiz senza lasciare il AWS Management Console.

È possibile utilizzare il plugin per identificare e recuperare Wiz problemi, valuta gli asset più rischiosi e comprendi le vulnerabilità o le esposizioni. Dopo aver ricevuto una risposta, puoi porre domande di follow-up, tra cui come risolvere un problema.

Per configurare il plug-in, fornisci le credenziali di autenticazione fornite dal Wiz account per abilitare una connessione tra Amazon Q e Wiz. Dopo aver configurato il plugin, puoi accedere Wiz metriche @wiz aggiungendole all'inizio della domanda nella chat di Amazon Q.

Prerequisiti

Aggiungere autorizzazioni

Per configurare i plugin, sono necessarie le seguenti autorizzazioni a livello di amministratore:

Acquisire credenziali

Prima di iniziare, prendete nota delle seguenti informazioni fornite dal Wiz conto. Queste credenziali di autenticazione verranno archiviate in modo AWS Secrets Manager segreto durante la configurazione del plug-in.

Segreti e ruoli di servizio

AWS Secrets Manager segreto

Quando configuri il plug-in, Amazon Q crea un nuovo AWS Secrets Manager segreto da archiviare Wiz credenziali di autenticazione. In alternativa, puoi usare un segreto esistente che crei tu stesso.

Se crei tu stesso un segreto, assicurati che includa le seguenti credenziali e utilizzi il seguente formato JSON:

{ 
   "ClientId": "<your-client-id>", 
   "ClientSecret": "<your-client-secret>"  
}

Per ulteriori informazioni sulla creazione di segreti, consulta Creare un segreto nella Guida per l'AWS Secrets Manager utente.

Ruoli di servizio

Per configurare il Wiz plug-in in Amazon Q Developer, devi creare un ruolo di servizio che autorizzi Amazon Q ad accedere al tuo segreto di Secrets Manager. Amazon Q assume questo ruolo per accedere al segreto in cui Wiz le credenziali vengono archiviate.

Quando configuri il plug-in nella AWS console, hai la possibilità di creare un nuovo segreto o utilizzarne uno esistente. Se crei un nuovo segreto, il ruolo di servizio associato viene creato automaticamente. Se utilizzi un segreto esistente e un ruolo di servizio esistente, assicurati che il ruolo di servizio contenga queste autorizzazioni e abbia la seguente politica di fiducia allegata. Il ruolo di servizio richiesto dipende dal metodo di crittografia segreto utilizzato.

Se il tuo segreto è crittografato con una chiave KMS AWS gestita, è richiesto il seguente ruolo del servizio IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:{{your-region}}:{{your-account-id}}:secret:[[secret-id]]"
            ]
        }
    ]
}

Se il tuo segreto è crittografato con una AWS KMS chiave gestita dal cliente, è richiesto il seguente ruolo di servizio IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:{{region}}:{{accountId}}:secret:{{secretId}}"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:{{region}}:{{accountId}}:key/{{keyId}}",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "secretsmanager.{{region}}.amazonaws.com"
                }
            }
        }
    ]
}

Per consentire ad Amazon Q di assumere il ruolo di servizio, il ruolo di servizio necessita della seguente politica di fiducia:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "q.amazonaws.com"
      },
      "Action": ["sts:AssumeRole", "sts:SetContext"],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{accountId}}",
          "aws:SourceArn": "arn:aws:codewhisperer:{{region}}:{{accountId}}:profile/{{profileId}}"
        }
      }
    }
  ]
}

Per ulteriori informazioni sui ruoli di servizio, consulta Creare un ruolo per delegare le autorizzazioni a un AWS servizio nella Guida per l'utente.AWS Identity and Access Management

Configura il Wiz plugin

Puoi configurare i plugin nella console Amazon Q Developer. Amazon Q utilizza le credenziali archiviate AWS Secrets Manager per abilitare le interazioni con Wiz.

Per configurare il Wiz plugin, completa la seguente procedura:

Se desideri aggiornare le credenziali di un plug-in, devi eliminare il plug-in corrente e configurarne uno nuovo. L'eliminazione di un plug-in rimuove tutte le specifiche precedenti. Ogni volta che configuri un nuovo plugin, viene generato un nuovo plugin ARN.

Configura le autorizzazioni utente

Per utilizzare i plugin, sono necessarie le seguenti autorizzazioni:

Quando concedi a un'identità IAM l'accesso a un'identità configurata Wiz plugin, l'identità ottiene l'accesso a tutte le risorse del Wiz account recuperabile dal plugin. Wiz le autorizzazioni degli utenti non vengono rilevate dal plugin. Se desideri controllare l'accesso a un plug-in, puoi farlo specificando l'ARN del plug-in in una policy IAM.

Ogni volta che si crea o si elimina e si riconfigura un plug-in, a quest'ultimo viene assegnato un nuovo ARN. Se si utilizza un plug-in ARN in una politica, sarà necessario aggiornarlo se si desidera concedere l'accesso al plug-in appena configurato.

Per localizzare il Wiz plugin ARN, vai alla pagina Plugin nella console Amazon Q Developer e scegli il configurato Wiz . Nella pagina dei dettagli del plug-in, copia l'ARN del plug-in. È possibile aggiungere questo ARN a una politica per consentire o negare l'accesso a Wiz .

Se si crea una politica per controllare l'accesso a Wiz plugin, specificate Wiz il nome del plugin nella policy.

Per esempi di policy IAM che controllano l'accesso ai plugin, vediConsenti agli utenti di chattare con i plug-in di un provider.

Chatta con Wiz plugin

Per usare Amazon Q Wiz plugin, inserisci @Wiz all'inizio di una domanda sul tuo Wiz problemi. È necessario includere anche le domande di follow-up o le risposte alle domande di Amazon Q@Wiz.

Di seguito sono riportati alcuni esempi di casi d'uso e domande associate che puoi porre per ottenere il massimo da Amazon Q Wiz :