View a markdown version of this page

Gerando recomendações de políticas para descobertas de acesso não utilizado - AWS Security Hub
Como as recomendações de políticas funcionamQuem pode gerar recomendaçõesCiclo de vida da recomendaçãoCasos de erroUtilizar o consoleReferência de API

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Gerando recomendações de políticas para descobertas de acesso não utilizado

Para descobertas de permissões não utilizadas, o Security Hub pode gerar recomendações de políticas com menos privilégios que mostram uma política de substituição com escopo reduzido. A recomendação avalia cada política anexada ao principal do IAM e gera uma substituição que retém somente as permissões que o principal realmente usou. Esse recurso é fornecido a todos os clientes do Security Hub sem custo adicional.

Como as recomendações de políticas funcionam

A geração de recomendações de políticas é uma operação assíncrona. Para gerar e recuperar uma recomendação:

  1. Recupere as permissões não utilizadas encontradas no Security Hub usando a operação de GetFindingsV2 API. Observe o metadata.uid campo da descoberta.

  2. Ligue GenerateRecommendedPolicyV2 com as descobertasmetadata.uid. Isso inicia a geração da recomendação, que normalmente é concluída em 20 segundos.

  3. Faça uma pesquisa GetRecommendedPolicyV2 com o mesmo metadata.uid até que o status campo retorneSUCCEEDED.

  4. A resposta contém uma ou mais etapas de recomendação. Cada etapa especifica uma recommendedAction de CREATE_POLICY (criar e anexar uma política de substituição com escopo reduzido) ou DETACH_POLICY (desanexar a política original com privilégios excessivos). Nas CREATE_POLICY etapas, a resposta inclui o existingPolicy JSON e o recommendedPolicy JSON para que você possa compará-los.

Você deve ligar GenerateRecommendedPolicyV2 antes de ligar GetRecommendedPolicyV2 se uma recomendação não tiver sido gerada anteriormente para essa descoberta.

Quem pode gerar recomendações

Tanto o proprietário da conta quanto os administradores delegados podem chamar essas operações de API:

  • Os proprietários da conta podem gerar e visualizar recomendações para descobertas de permissões não utilizadas em sua própria conta.

  • Os administradores delegados podem gerar e visualizar recomendações para as descobertas de permissões não utilizadas de qualquer conta membro em sua organização.

Se você não for um administrador delegado e a descoberta pertencer a uma conta diferente, a operação da API retornará um AccessDeniedException erro.

Ciclo de vida da recomendação

  • As recomendações são armazenadas em cache por 90 dias e permanecem disponíveis enquanto a descoberta estiver ativa (não fechada). No entanto, chamar GenerateRecommendedPolicyV2 várias vezes invalida o cache e inicia um novo trabalho que substitui a política em cache. Ligue GenerateRecommendedPolicyV2 apenas uma vez por descoberta.

  • A recomendação segue um padrão de desacoplamento e fixação. Ele não modifica suas políticas de IAM existentes. Você revisa a política recomendada e a aplica manualmente no console do IAM ou por meio da API do IAM.

  • Se a descoberta for resolvida (por exemplo, porque as permissões não usadas anteriormente estão sendo usadas agora), a recomendação não estará mais disponível.

Casos de erro

As operações da API retornam erros nas seguintes situações:

  • A descoberta foi resolvida — InvalidInputException (HTTP 400).

  • A descoberta não é uma descoberta de permissões não utilizadas — InvalidInputException (HTTP 400).

  • O principal do IAM foi criado por meio do conjunto de permissões do IAM Identity Center. As políticas para diretores de conjuntos de permissões não podem ser modificadas diretamente. A recomendação retorna um FAILED status com uma explicação.

  • O chamador não é um administrador delegado e a descoberta pertence a uma conta diferente — AccessDeniedException (HTTP 403).

  • Nenhuma recomendação foi gerada ainda e você liga GetRecommendedPolicyV2 sem ligar primeiro GenerateRecommendedPolicyV2 — ResourceNotFoundException (HTTP 404).

Utilizar o console

No console do Security Hub, você pode gerar uma recomendação de política visualizando uma busca de permissões não utilizadas e escolhendo a guia Remediação. O console exibe um botão giratório de carregamento enquanto a recomendação está sendo criada. Quando a recomendação estiver pronta, você poderá escolher Visualizar para ver uma comparação lado a lado entre sua política atual e a substituição recomendada com menos privilégios. Você pode copiar a política recomendada no formato JSON.

Referência de API

  • GenerateRecommendedPolicyV2— Inicia a geração assíncrona de uma recomendação de política de menor privilégio para uma descoberta de permissões não utilizadas. Toma a descoberta metadata.uid como entrada. Retorna HTTP 200 com um corpo vazio em caso de sucesso.

  • GetRecommendedPolicyV2— Recupera a recomendação de política gerada. Toma a descoberta metadata.uid como entrada. Suporta paginação com maxResults (1—100) e parâmetros. nextToken Retorna o status da recomendação (IN_PROGRESSSUCCEEDED,, ouFAILED), as etapas da recomendação, o ARN do recurso e quaisquer erros.

Para obter a documentação detalhada da API, consulte a Referência da API do Security Hub.