Amazon Elastic Compute Cloud (EC2)

Über Amazon Elastic Compute Cloud (EC2)

Der Amazon EC2-Connector erfasst Instanzinventar, Sicherheitsgruppen, VPC-Topologie, AMI-Metadaten und zugehörige Compute-Details aus Ihrem AWS-Konto, damit Sie sie in Iru Compliance an Controls anhängen können. Iru ruft AWS-APIs über sts:AssumeRole in eine von Ihnen erstellte IAM-Rolle in Ihrem Konto auf. Die Rolle vertraut dem AWS-Principal von Iru und erzwingt eine External ID, die Ihnen der Connector-Assistent anzeigt. Der Zugriff ist schreibgeschützt, daher startet, stoppt oder beendet Iru über diese Source keine Instanzen.

Funktionsweise

Iru wird im AWS-Konto von Iru ausgeführt. Sie erstellen in Ihrem Konto eine kundenverwaltete IAM-Rolle, die:

dem Rollen-ARN von Iru (im Assistenten angezeigt) nur dann vertraut, wenn sts:ExternalId mit dem von Iru angezeigten Wert übereinstimmt.
schreibgeschützte EC2- und unterstützende Aufrufe erlaubt, in der Regel über AmazonEC2ReadOnlyAccess oder eine engere Inline-Richtlinie, wenn Ihr Sicherheitsteam das Prinzip der minimalen Rechte bevorzugt.

Sie kopieren den ARN der Rolle zurück in den Connector. Iru übernimmt dann diese Rolle und liest regionale EC2-Daten (Iru durchläuft die aktivierten Regionen).

Detail	Wert
Kategorie	Developer tools
Authentifizierung	Kontoübergreifende IAM-Rolle (`sts:AssumeRole` + External ID)

Referenzen: AmazonEC2ReadOnlyAccess, EC2 IAM.

Voraussetzungen

IAM-Berechtigungen zum Erstellen von Rollen und Anhängen von Richtlinien (zum Beispiel IAMFullAccess oder eine engere Admin-Rolle).
Der Iru-Principal-ARN und die External ID aus dem Connector-Bildschirm Ihres Mandanten (nicht die Beispielwerte unten, es sei denn, sie stimmen mit dem überein, was Iru Ihnen aktuell anzeigt).

Amazon EC2 mit Iru verbinden

Iru Compliance
AWS

Beginnen Sie hier: Öffnen Sie den Source-Assistenten und prüfen Sie die Vertrauensrichtlinie (und notieren Sie die External ID). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zum Tab AWS und folgen Sie IAM-Rolle erstellen. Sobald Sie den Role ARN haben, kehren Sie zum Tab Iru Compliance zurück und schließen Sie unten Rollen-ARN in Iru übermitteln ab.

Vertrauensrichtlinie aus Iru abrufen

Quellen öffnen

Erweitern Sie in Iru Compliance in der linken Navigationsleiste Compliance und wählen Sie Quellen.

Linke Navigation: Compliance erweitert, Sources ausgewählt

AWS Elastic Compute Cloud (EC2) aktivieren

Suchen Sie AWS Elastic Compute Cloud (EC2) (verwenden Sie Kategorie oder Nach Name oder Beschreibung suchen). Aktivieren Sie auf dieser Karte den Schalter. Lassen Sie den Assistenten-Tab Iru fordert Zugriff auf externe Dienste an geöffnet.

JSON der Vertrauensrichtlinie prüfen

Der Assistent fragt nach einem Rollen-ARN und zeigt die Vertrauensrichtlinie, die Ihre IAM-Rolle verwenden muss (Principal und sts:ExternalId). Unten sehen Sie ein Beispiel für die Struktur; kopieren Sie das aktuelle JSON aus Ihrem Assistenten, damit Konto, Principal-ARN und External ID exakt übereinstimmen.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Zu AWS wechseln, um die Rolle zu erstellen

Lassen Sie den Iru-Assistenten-Tab als Referenz geöffnet, wechseln Sie dann zum Tab AWS und folgen Sie IAM-Rolle erstellen.

Rollen-ARN in Iru übermitteln

Schließen Sie zuerst den Tab AWS ab (bis einschließlich IAM-Rolle erstellen), damit Sie den Role ARN der neuen Rolle haben.

IAM Role ARN einfügen

Kehren Sie zum Iru-Assistenten-Tab zurück. Fügen Sie den Role ARN in das Feld Role ARN ein.

Verbindung abschließen

Wählen Sie Submit Role. Wenn die Verbindung erfolgreich ist, zeigt der Assistent Verbindung konfiguriert an.

Bestätigen, dass die Source Active ist

Schließen Sie den Browser-Tab Iru fordert Zugriff auf externe Dienste an, kehren Sie dann zu Compliance → Quellen zurück und bestätigen Sie, dass die Karte EC2 Aktiv ist.

Schließen Sie Vertrauensrichtlinie aus Iru abrufen im Tab Iru Compliance ab, bevor Sie diese Rolle erstellen. Verwenden Sie die External ID und die Vertrauensrichtlinie aus dem aktuellen Assistenten, wenn Sie Trusted entity konfigurieren.

IAM-Rolle erstellen

Workflow Create role starten

Melden Sie sich bei dem AWS-Konto an, dem Ihre EC2-Workload gehört. Öffnen Sie IAM → Roles → Create role.

Vertrauenswürdige Entität konfigurieren

Wählen Sie AWS account → Another AWS account. Geben Sie die AWS-Konto-ID von Iru ein (753695775620, sofern der Assistent keinen anderen Wert anzeigt). Aktivieren Sie Require external ID und fügen Sie die External ID aus dem Iru-Assistenten ein.

EC2-Leseberechtigungen anhängen

Hängen Sie unter Berechtigungen die Richtlinie AmazonEC2ReadOnlyAccess an.Wenn Ihr Sicherheitsteam die verwaltete Richtlinie nicht verwendet, hängen Sie stattdessen eine Inline-Richtlinie mit dem unten stehenden JSON an. Das JSON ist eine beispielhafte Alternative nach dem Prinzip der minimalen Rechte; schränken Sie die Aktionen nach der Prüfung durch Ihr Team ein oder erweitern Sie sie.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "ec2:Get*",
        "elasticloadbalancing:Describe*",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:Describe*",
        "autoscaling:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

Rolle benennen und ARN kopieren

Schließen Sie den Assistenten ab und benennen Sie die Rolle (zum Beispiel IruEC2ReadOnly). Öffnen Sie die neue Rolle und kopieren Sie den Role ARN oben auf der Übersichtsseite. Wechseln Sie zurück zum Tab Iru Compliance und schließen Sie Rollen-ARN in Iru übermitteln ab.

Vertrauensrichtlinie überprüfen

Öffnen Sie den Tab Trust relationships der Rolle und bestätigen Sie, dass das JSON mit dem übereinstimmt, was Iru angezeigt hat. Tippfehler in der External ID sind die häufigste Ursache für AccessDenied bei AssumeRole.

Fahren Sie mit dem Tab Iru Compliance fort, um den Role ARN einzufügen und den Assistenten abzuschließen (Rollen-ARN in Iru übermitteln).

Fehlerbehebung

Beim Aktivieren der Source öffnet sich nichts

Prüfen Sie die Einstellungen des Pop-up-Blockers für die Iru-Website und versuchen Sie es erneut.

AccessDenied bei AssumeRole

Prüfen Sie, ob External ID und Principal in der Vertrauensrichtlinie Zeichen für Zeichen mit dem Iru-Assistenten übereinstimmen.

Leeres Inventar

Bestätigen Sie, dass sich die Rolle im selben Konto wie Ihre Instanzen befindet und dass Instanzen in den erwarteten Regionen vorhanden sind.

Fehlende Daten zu Sicherheitsgruppen / VPC

Stellen Sie die Abdeckung durch ec2:Describe* sicher (die verwaltete Richtlinie enthält diese bereits). Benutzerdefinierte Richtlinien benötigen entsprechende Describe*-Aktionen.

Hinweise

EC2-APIs sind regional: Die erste Synchronisierung kann länger dauern…

EC2-APIs sind regional, daher kann die erste Synchronisierung über viele Regionen hinweg länger dauern.

AmazonEC2ReadOnlyAccess deckt auch zugehörige ELB- und…

AmazonEC2ReadOnlyAccess deckt für ein vollständigeres Bild auch zugehörige Lesezugriffe auf ELB und Auto Scaling ab.

Diese Integration verändert niemals Instanzen: Sie…

Diese Integration verändert niemals Instanzen; sie beschreibt sie nur.

Verwaltung von Sources

Alle Compliance-Sources durchsuchen und verwalten.

Erste Schritte mit Compliance

Frameworks, Actions und Artefakte.

Iru-Übersicht

Wie Endpoint, Compliance und Identity zusammenwirken.

Verwaltung von Artefakten

Nachweise aus Sources und Actions hochladen, prüfen und organisieren.

Erste Schritte

Aktionen

Frameworks

Artefakte

Quellen

Richtlinien

Trust Center

Workflows

Amazon Elastic Compute Cloud (EC2)

Über Amazon Elastic Compute Cloud (EC2)

Funktionsweise

Voraussetzungen

Amazon EC2 mit Iru verbinden

Vertrauensrichtlinie aus Iru abrufen

Rollen-ARN in Iru übermitteln

IAM-Rolle erstellen

Fehlerbehebung

Hinweise

EC2-APIs sind regional: Die erste Synchronisierung kann länger dauern…

AmazonEC2ReadOnlyAccess deckt auch zugehörige ELB- und…

Diese Integration verändert niemals Instanzen: Sie…

Verwandte Artikel

Verwaltung von Sources

Erste Schritte mit Compliance

Iru-Übersicht

Verwaltung von Artefakten

​Über Amazon Elastic Compute Cloud (EC2)

​Funktionsweise

​Voraussetzungen

​Amazon EC2 mit Iru verbinden

​Vertrauensrichtlinie aus Iru abrufen

​Rollen-ARN in Iru übermitteln

​IAM-Rolle erstellen

​Fehlerbehebung

​Hinweise

EC2-APIs sind regional: Die erste Synchronisierung kann länger dauern…

AmazonEC2ReadOnlyAccess deckt auch zugehörige ELB- und…

Diese Integration verändert niemals Instanzen: Sie…

​Verwandte Artikel

Verwaltung von Sources

Erste Schritte mit Compliance

Iru-Übersicht

Verwaltung von Artefakten

Über Amazon Elastic Compute Cloud (EC2)

Funktionsweise

Voraussetzungen

Amazon EC2 mit Iru verbinden

Vertrauensrichtlinie aus Iru abrufen

Rollen-ARN in Iru übermitteln

IAM-Rolle erstellen

Fehlerbehebung

Hinweise

Verwandte Artikel