Com scripts, migre suas políticas em massa para usar ações do IAM refinadas

Para ajudar a migrar suas políticas do IAM a fim de usar ações refinadas, conhecidas como novas ações, você pode usar scripts do site Exemplos da AWS.

Você executa esses scripts na conta do pagador de sua organização para identificar as seguintes políticas afetadas em sua organização que usam as ações antigas do IAM:

Os scripts geram sugestões para novas ações que correspondem a ações existentes usadas na política. Em seguida, você analisa as sugestões e usa os scripts para adicionar as novas ações em todas as políticas afetadas em sua organização. Você não precisa atualizar políticas AWS gerenciadas ou SCPs AWS gerenciados (por exemplo, AWS Control Tower e AWS Organizations SCPs).

Você usa esses scripts para:

Para obter mais informações sobre políticas de controle de serviços (SCPs), consulte os seguintes tópicos:

Visão geral

Siga este tópico para concluir as seguintes etapas:

Pré-requisitos

Para começar, faça o seguinte:

Etapa 1: configurar o ambiente

Para começar, faça download dos arquivos necessários no website de Exemplos da AWS. Em seguida, você executa comandos para configurar seu ambiente.

Para obter mais informações, consulte o arquivoREADME.md.

Etapa 2: criar o CloudFormation StackSet

Siga este procedimento para criar um conjunto de CloudFormation pilhas. Este conjunto de pilhas cria o perfil do IAM BillingConsolePolicyMigratorRole para todas as contas-membro de sua organização.

Depois de CloudFormation criar o conjunto de pilhas, cada conta membro em sua organização tem uma função BillingConsolePolicyMigratorRole do IAM.

O perfil do IAM deve incluir as seguintes permissões:

"iam:GetAccountAuthorizationDetails",
"iam:GetPolicy",
"iam:GetPolicyVersion",
"iam:GetUserPolicy",
"iam:GetGroupPolicy",
"iam:GetRolePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion",
"iam:ListPolicyVersions",
"iam:PutUserPolicy",
"iam:PutGroupPolicy",
"iam:PutRolePolicy",
"iam:SetDefaultPolicyVersion"

Etapa 3: identificar as políticas afetadas

Depois de criar o conjunto de pilhas e baixar os arquivos, execute o script identify_affected_policies.py. Esse script assume o perfil BillingConsolePolicyMigratorRole do IAM para cada conta de membro e, em seguida, identifica as políticas afetadas.

Você também pode usar os seguintes parâmetros de entrada:

Depois que você executar o script, ele criará dois arquivos JSON em uma pasta Affected_Policies_<Timestamp>:

Etapa 4: revisar as alterações sugeridas

Depois que o script criar o arquivo affected_policies_and_suggestions.json, revise-o e faça as alterações.

Exemplo 1: atualizar o arquivo action_mapping_config.json

Você pode atualizar os mapeamentos sugeridos no action_mapping_config.json. Depois de atualizar o arquivo, você pode executar novamente o script identify_affected_policies.py. Esse script gera sugestões de atualização para as políticas afetadas.

Você pode criar várias versões do arquivo action_mapping_config.json para alterar as políticas de contas diferentes com permissões diferentes. Por exemplo, você pode criar um arquivo chamado action_mapping_config_testing.json para migrar permissões para suas contas de teste e action_mapping_config_production.json para suas contas de produção.

Exemplo 2: atualizar o arquivo affected_policies_and_suggestions.json

Para fazer alterações nas substituições sugeridas para um grupo de políticas afetado específico, você pode editar diretamente a seção de substituições sugeridas no arquivo affected_policies_and_suggestions.json.

Todas as alterações feitas nesta seção serão aplicadas a todas as políticas desse grupo específico de políticas afetadas.

Exemplo 3: personalizar uma política específica

Se você achar que uma política dentro de um grupo de políticas afetadas precisa de alterações diferentes das atualizações sugeridas, você pode fazer o seguinte:

Etapa 5: atualizar as políticas afetadas

Depois de revisar e refinar as substituições sugeridas, execute o  script update_affected_policies.py. O script usa o arquivo affected_policies_and_suggestions.json como entrada. Esse script assume o perfil BillingConsolePolicyMigratorRole do IAM para atualizar as políticas afetadas listadas no arquivo affected_policies_and_suggestions.json.

python3 update_affected_policies.py --affected-policies-directory Affected_Policies_<Timestamp>

O script update_affected_policies.py atualiza as políticas afetadas no arquivo affected_policies_and_suggestions.json com as novas ações sugeridas. O script adiciona um bloco Sid às políticas, identificado como BillingConsolePolicyMigrator#, em que # corresponde a um contador incremental (por exemplo, 1, 2, 3).

Por exemplo, se houver vários blocos Sid na política afetada que usam ações antigas, o script adicionará vários blocos Sid que aparecerão como BillingConsolePolicyMigrator# para corresponder a cada bloco Sid.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ce:*",
                "aws-portal:ViewAccount"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator1",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:GetAlternateContact",
                "account:GetChallengeQuestions",
                "account:GetContactInformation",
                "billing:GetContractInformation",
                "billing:GetIAMAccessPreference",
                "billing:GetSellerOfRecord",
                "payments:ListPaymentPreferences"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:BillingRole"
            },
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BillingConsolePolicyMigrator2",
            "Effect": "Deny",
            "Action": [
                "account:CloseAccount",
                "account:DeleteAlternateContact",
                "account:PutAlternateContact",
                "account:PutChallengeQuestions",
                "account:PutContactInformation",
                "billing:PutContractInformation",
                "billing:UpdateIAMAccessPreference",
                "payments:UpdatePaymentPreferences"
            ],
            "Resource": "*"
        }
    ]
} 

O script gera um relatório de status que contém operações malsucedidas e gera o arquivo JSON localmente.

[{
    "Account": "111111111111",
    "PolicyType": "Customer Managed Policy"
    "PolicyName": "AwsPortalViewPaymentMethods",
    "PolicyIdentifier": "identifier",
    "Status": "FAILURE", // FAILURE or SKIPPED	
    "ErrorMessage": "Error message details"
}]

Etapa 6: reverter suas alterações (opcional)

O script rollback_affected_policies.py reverte as alterações aplicadas a cada política afetada para as contas especificadas. O script remove todos os blocos Sid que o script update_affected_policies.py anexou. Esses blocos Sid têm o formato BillingConsolePolicyMigratorRole#.

Exemplos de política do IAM

As políticas são consideradas semelhantes se tiverem os(as) mesmos(as):

Os exemplos a seguir mostram políticas que o IAM pode considerar semelhantes, ou não, com base nas diferenças entre elas.