Über Amazon Simple Storage Service (S3)
Der Amazon S3-Connector inventarisiert die Bucket-Konfiguration: Richtlinien, Verschlüsselung, Versionierung, Protokollierung, Benachrichtigungen, Blockierungen des öffentlichen Zugriffs und zugehörige Einstellungen, ohne Objektinhalte zu lesen. Iru übernimmt eine IAM-Rolle, die Sie in Ihrem Konto erstellen (sts:AssumeRole mit einer externen ID). So konzentrieren sich die Nachweise darauf, wie Buckets konfiguriert sind, und nicht auf die Inhalte gespeicherter Dateien.
So funktioniert es
Iru wird in einem eigenen AWS-Konto ausgeführt. Um die S3-Bucket-Konfiguration zu inventarisieren (standardmäßig ohne Objektinhalte), erstellen Sie eine IAM-Rolle, deren Vertrauensrichtlinie auf den AWS-Principal von Iru verweist und die External ID aus dem Assistenten zwingend voraussetzt und deren Berechtigungsrichtlinie nur die Metadaten-Lesezugriffe gewährt, die Ihr Team genehmigt. Verwenden Sie bevorzugt die unten stehende Inline-Richtlinie statt nurAmazonS3ReadOnlyAccess. Die verwaltete Richtlinie enthält s3:GetObject, was viele Teams für reine Metadaten-Integrationen nicht zulassen. Fügen Sie den ARN der Rolle anschließend in Iru ein.
Referenzen: S3-Benutzerhandbuch, Zugriffsverwaltung.
Voraussetzungen
- IAM-Berechtigungen zum Erstellen von Rollen und zum Anhängen von Inline-Richtlinien.
- Das aktuelle Paar aus Principal und externer ID aus Ihrem Connector – nicht unbedingt die Beispiel-IDs aus älteren Screenshots.
Amazon S3 mit Iru verbinden
- Iru Compliance
- AWS
Beginnen Sie hier: Öffnen Sie den Quellen-Assistenten und kopieren Sie die Vertrauensrichtlinie (notieren Sie sich die externe ID). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen. Sobald Sie den Role ARN haben, kehren Sie zur Registerkarte Iru Compliance zurück und schließen Sie unten Rollen-ARN in Iru übermitteln ab.
Vertrauensrichtlinie aus Iru abrufen
1
Quellen öffnen
Erweitern Sie in Iru Compliance in der linken Navigationsleiste Compliance und wählen Sie Quellen aus.
2
AWS S3 aktivieren
Suchen Sie AWS S3 (verwenden Sie Kategorie oder Nach Name oder Beschreibung suchen). Aktivieren Sie auf dieser Karte den Schalter. Lassen Sie die Assistenten-Registerkarte Iru fordert Zugriff auf externe Dienste an geöffnet.
3
JSON der Vertrauensrichtlinie kopieren
Der Assistent zeigt das JSON der Vertrauensrichtlinie, das Ihre IAM-Rolle verwenden muss (Principal und sts:ExternalId). Unten finden Sie ein Beispiel für die Struktur; kopieren Sie das aktuelle JSON aus Ihrem Assistenten, damit Konto, Principal-ARN und externe ID exakt übereinstimmen.
copy=false
4
Zu AWS wechseln, um die Rolle zu erstellen
Lassen Sie die Registerkarte des Iru-Assistenten als Referenz geöffnet, wechseln Sie dann zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen.
Rollen-ARN in Iru übermitteln
Schließen Sie zuerst die Registerkarte AWS ab (bis einschließlich IAM-Rolle in AWS erstellen), damit Sie den Role ARN der neuen Rolle haben.
1
IAM Role ARN einfügen
Kehren Sie zur Registerkarte des Iru-Assistenten zurück. Fügen Sie den Role ARN an der Stelle ein, an der der Connector danach fragt.
2
Verbindung abschließen
Wählen Sie Submit Role aus. Wenn die Verbindung erfolgreich ist, zeigt der Assistent Verbindung konfiguriert an.
3
Prüfen, ob die Quelle aktiv ist
Schließen Sie die Browser-Registerkarte Iru fordert Zugriff auf externe Dienste an, kehren Sie dann zu Compliance → Quellen zurück und vergewissern Sie sich, dass die Karte AWS S3 den Status Aktiv hat.
Fehlerbehebung
Beim Aktivieren der Quelle öffnet sich nichts
Beim Aktivieren der Quelle öffnet sich nichts
Überprüfen Sie die Einstellungen des Pop-up-Blockers für die Iru-Website und versuchen Sie es erneut.
AssumeRole verweigert
AssumeRole verweigert
Die externe ID stimmt nicht überein – kopieren Sie sie erneut aus Iru, ohne überflüssige Leerzeichen.
Zeilen zu Bucket-Richtlinien fehlen
Zeilen zu Bucket-Richtlinien fehlen
Bucket-Ressourcenrichtlinien können kontoübergreifende Lesezugriffe verweigern, auch wenn IAM sie zulässt.
Verschlüsselungseinstellungen fehlen
Verschlüsselungseinstellungen fehlen
Vergewissern Sie sich, dass
s3:GetEncryptionConfiguration in der Inline-Richtlinie enthalten geblieben ist.Hinweise
Buckets sind regional, aber ListAllMyBuckets ist…
Buckets sind regional, aber
ListAllMyBuckets ist global – rechnen Sie bei der Inventarisierung mit Folgeaufrufen in mehreren Regionen.Explizite Deny-Anweisungen in Bucket-Richtlinien blockieren…
Explizite Verweigern-Anweisungen in Bucket-Richtlinien blockieren Lesezugriffe unabhängig von IAM-Freigaben – dokumentieren Sie die Erwartungen gemeinsam mit Auditoren.
Verwandte Artikel
Quellenverwaltung
Alle Compliance-Quellen durchsuchen und verwalten.
Erste Schritte mit Compliance
Frameworks, Aktionen und Artefakte.
Iru-Übersicht
Wie Endpoint, Compliance und Identity zusammenwirken.
Artifacts-Verwaltung
Nachweise aus Quellen und Aktionen hochladen, prüfen und organisieren.