Usa gli script per migrare in blocco le tue policy per utilizzare azioni IAM granulari

Per facilitare la migrazione delle policy IAM in modo da utilizzare nuove azioni, note come azioni granulari, puoi utilizzare gli script del sito Web  AWS  Samples.

Esegui questi script dal conto pagatore della tua organizzazione per identificare le seguenti policy interessate nella tua organizzazione che utilizzano le vecchie azioni IAM:

Gli script generano suggerimenti per nuove azioni che corrispondono alle azioni esistenti utilizzate nella policy. Quindi esamini i suggerimenti e usi gli script per aggiungere le nuove azioni a tutte le policy interessate della tua organizzazione. Non è necessario aggiornare le politiche AWS gestite o AWS gestite SCPs (ad esempio, AWS Control Tower e AWS Organizations SCPs).

Utilizzare questi script per:

Per ulteriori informazioni sulle politiche e sulle politiche di controllo dei servizi (SCPs), consulta i seguenti argomenti:

Panoramica

Segui questo argomento per completare i passaggi seguenti:

Prerequisiti

Per iniziare, devi effettuare quanto segue:

Fase 1: configurazione dell'ambiente

Per iniziare, scarica i file richiesti dal sito Web  AWS  Samples. Quindi esegui i comandi per configurare il tuo ambiente.

Per ulteriori informazioni, consulta il file README.md.

Fase 2: Creare il CloudFormation StackSet

Segui questa procedura per creare un set di CloudFormation stack. Questo set di stack crea quindi il ruolo IAM BillingConsolePolicyMigratorRole per tutti gli account membri nell'organizzazione.

Dopo aver CloudFormation creato lo stack set, ogni account membro dell'organizzazione ha un ruolo BillingConsolePolicyMigratorRole IAM.

Il ruolo IAM contiene le seguenti autorizzazioni:

"iam:GetAccountAuthorizationDetails",
"iam:GetPolicy",
"iam:GetPolicyVersion",
"iam:GetUserPolicy",
"iam:GetGroupPolicy",
"iam:GetRolePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion",
"iam:ListPolicyVersions",
"iam:PutUserPolicy",
"iam:PutGroupPolicy",
"iam:PutRolePolicy",
"iam:SetDefaultPolicyVersion"

Fase 3: Identifica le policy interessate

Dopo aver creato il set di stack e scaricato i file, esegui lo script identify_affected_policies.py. Questo script assume il ruolo IAM BillingConsolePolicyMigratorRole per ogni account membro e quindi identifica le policy interessate.

Puoi inoltre utilizzare i seguenti parametri di input:

Dopo aver eseguito lo script, crea due file JSON in una Affected_Policies_<Timestamp> cartella:

Fase 4: Esamina le modifiche suggerite

Dopo che lo script ha creato il file affected_policies_and_suggestions.json, esaminalo e apporta le modifiche.

Esempio 1: aggiorna il file action_mapping_config.json

È possibile aggiornare le mappature suggerite in action_mapping_config.json. Dopo aver aggiornato il file, è possibile eseguire nuovamente lo script identify_affected_policies.py. Questo script genera suggerimenti aggiornati per le policy interessate.

Puoi creare più versioni del file action_mapping_config.json per modificare le policy per diversi account con autorizzazioni diverse. Ad esempio, potresti creare un file denominato action_mapping_config_testing.json per migrare le autorizzazioni per i tuoi account di prova e action_mapping_config_production.json per i tuoi account di produzione.

Esempio 2: aggiorna il file affected_policies_and_suggestions.json

Per apportare modifiche alle sostituzioni suggerite per uno specifico gruppo di policy interessato, puoi modificare direttamente la sezione delle sostituzioni suggerite all'interno del file affected_policies_and_suggestions.json.

Tutte le modifiche apportate in questa sezione vengono applicate a tutte le policy all'interno di quello specifico gruppo di policy interessato.

Esempio 3: personalizza una policy specifica

Se trovi che una policy all'interno di un gruppo di policy interessato richiede modifiche diverse rispetto agli aggiornamenti suggeriti, puoi procedere come segue:

Fase 5: aggiorna le policy interessate

Dopo aver esaminato e perfezionato le sostituzioni suggerite, esegui lo script update_affected_policies.py. Lo script accetta il file affected_policies_and_suggestions.json come input. Questo script assume il ruolo IAM BillingConsolePolicyMigratorRole per aggiornare le policy interessate elencate nel file affected_policies_and_suggestions.json.

python3 update_affected_policies.py --affected-policies-directory Affected_Policies_<Timestamp>

Lo script update_affected_policies.py aggiorna le policy interessate all'interno del file affected_policies_and_suggestions.json con le nuove azioni suggerite. Lo script aggiunge un Sid blocco alle politiche, identificato comeBillingConsolePolicyMigrator#, dove # corrisponde a un contatore incrementale (ad esempio, 1, 2, 3).

Ad esempio, se nella policy interessata sono presenti più blocchi Sid che utilizzano azioni obsolete, lo script aggiunge più blocchi Sid che sembrano corrispondere a BillingConsolePolicyMigrator# a ciascun blocco Sid.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ce:*",
                "aws-portal:ViewAccount"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator1",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:GetAlternateContact",
                "account:GetChallengeQuestions",
                "account:GetContactInformation",
                "billing:GetContractInformation",
                "billing:GetIAMAccessPreference",
                "billing:GetSellerOfRecord",
                "payments:ListPaymentPreferences"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator2",
            "Effect": "Deny",
            "Action": [
                "account:CloseAccount",
                "account:DeleteAlternateContact",
                "account:PutAlternateContact",
                "account:PutChallengeQuestions",
                "account:PutContactInformation",
                "billing:PutContractInformation",
                "billing:UpdateIAMAccessPreference",
                "payments:UpdatePaymentPreferences"
            ],
            "Resource": "*"
        }
    ]
} 

Lo script genera un rapporto sullo stato che contiene operazioni non riuscite e restituisce il file JSON localmente.

[{
    "Account": "111111111111",
    "PolicyType": "Customer Managed Policy"
    "PolicyName": "AwsPortalViewPaymentMethods",
    "PolicyIdentifier": "identifier",
    "Status": "FAILURE", // FAILURE or SKIPPED	
    "ErrorMessage": "Error message details"
}]

Fase 6: annulla le modifiche (facoltativo)

Lo script rollback_affected_policies.py ripristina le modifiche applicate a ciascuna policy interessata per gli account specificati. Lo script rimuove tutti i blocchi Sid che lo script update_affected_policies.py ha aggiunto. Questi blocchi Sid hanno il formato BillingConsolePolicyMigratorRole#.

Esempi di policy IAM

Le policy sono considerate simili se hanno simili:

Gli esempi seguenti mostrano policy che IAM potrebbe considerare simili o meno in base alle differenze.