AWS Identity and Access Management (IAM)

Über AWS Identity and Access Management (IAM)

Der IAM-Connector inventarisiert Benutzer, Rollen, Gruppen, Richtlinien, Zugriffsschlüssel, MFA-Geräte und Anmeldeinformationsberichte. Dabei handelt es sich um hochsensible Daten, die als Nachweise für Zugriffsprüfungen dienen. Die Integration verwendet sts:AssumeRole. IAMReadOnlyAccess ist am einfachsten; das unten stehende Inline-JSON beschränkt den Umfang auf Get* / List* sowie GenerateCredentialReport / GenerateServiceLastAccessedDetails. Behandeln Sie den ARN der kontoübergreifenden Rolle wie Infrastruktur-Geheimnisse – beschränken Sie, wer Vertrauensstellungen bearbeiten darf.

So funktioniert es

Iru wird in einem eigenen AWS-Konto ausgeführt. Damit Iru IAM-Daten in Ihrem Konto lesen kann, erstellen Sie eine IAM-Rolle mit einer Vertrauensrichtlinie, die dem Principal von Iru den Aufruf von sts:AssumeRole erlaubt – abgesichert durch die External ID aus dem Assistenten –, und einer Berechtigungsrichtlinie, die schreibgeschützten Zugriff auf IAM-Ressourcen gewährt (zum Beispiel IAMReadOnlyAccess oder das enger gefasste Inline-JSON auf der Registerkarte AWS). Anschließend fügen Sie den ARN der Rolle in Iru ein. IAMReadOnlyAccess legt konstruktionsbedingt Identitäten, Richtliniendokumente und Metadaten von Zugriffsschlüsseln offen; behandeln Sie die Rolle und ihren ARN daher als sensibel.

Detail	Wert
Kategorie	Sicherheit
Authentifizierung	Kontoübergreifende IAM-Rolle

Voraussetzungen

IAM-Administratorrechte im selben Konto, für dessen IAM-Ebene Sie Nachweise benötigen.

AWS IAM mit Iru verbinden

Iru Compliance
AWS

Beginnen Sie hier: Öffnen Sie den Quellen-Assistenten und kopieren Sie die Vertrauensrichtlinie (notieren Sie sich die externe ID). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen. Sobald Sie den Role ARN haben, kehren Sie zur Registerkarte Iru Compliance zurück und schließen Sie unten Rollen-ARN in Iru übermitteln ab.

Vertrauensrichtlinie aus Iru abrufen

Quellen öffnen

Erweitern Sie in Iru Compliance in der linken Navigationsleiste Compliance und wählen Sie Quellen aus.

Linke Navigation: Compliance erweitert, Sources ausgewählt

AWS IAM aktivieren

Suchen Sie AWS IAM (verwenden Sie Kategorie oder Nach Name oder Beschreibung suchen). Aktivieren Sie auf dieser Karte den Schalter. Lassen Sie die Assistenten-Registerkarte Iru fordert Zugriff auf externe Dienste an geöffnet.

JSON der Vertrauensrichtlinie kopieren

Der Assistent zeigt das JSON der Vertrauensrichtlinie, das Ihre IAM-Rolle verwenden muss (Principal und sts:ExternalId). Unten finden Sie ein Beispiel für die Struktur; kopieren Sie das aktuelle JSON aus Ihrem Assistenten, damit Konto, Principal-ARN und externe ID exakt übereinstimmen.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Zu AWS wechseln, um die Rolle zu erstellen

Lassen Sie die Registerkarte des Iru-Assistenten als Referenz geöffnet, wechseln Sie dann zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen.

Rollen-ARN in Iru übermitteln

Schließen Sie zuerst die Registerkarte AWS ab (bis einschließlich IAM-Rolle in AWS erstellen), damit Sie den Role ARN der neuen Rolle haben.

IAM Role ARN einfügen

Kehren Sie zur Registerkarte des Iru-Assistenten zurück. Fügen Sie den Role ARN in das vom Assistenten bereitgestellte Feld ein.

Verbindung abschließen

Wählen Sie Submit Role aus. Wenn die Verbindung erfolgreich ist, zeigt der Assistent Verbindung konfiguriert an.

Prüfen, ob die Quelle aktiv ist

Schließen Sie die Browser-Registerkarte Iru fordert Zugriff auf externe Dienste an, kehren Sie dann zu Compliance → Quellen zurück und vergewissern Sie sich, dass die Karte AWS IAM den Status Aktiv hat.

Schließen Sie Vertrauensrichtlinie aus Iru abrufen auf der Registerkarte Iru Compliance ab, bevor Sie diese Rolle erstellen. Verwenden Sie die externe ID und die Vertrauensrichtlinie aus dem aktuellen Assistenten, wenn Sie Trusted entity konfigurieren.

IAM-Rolle in AWS erstellen

Workflow „Create role“ starten

Öffnen Sie in dem Konto, dessen IAM-Daten Sie benötigen, IAM → Roles → Create role.

Vertrauenswürdige Entität festlegen

Wählen Sie AWS account → Another AWS account. Geben Sie 753695775620 ein (oder die Konto-ID, die Iru anzeigt). Aktivieren Sie Require external ID und fügen Sie den Wert aus Iru ein.

Schreibgeschützte IAM-Berechtigungen anhängen

Hängen Sie IAMReadOnlyAccess an oder fügen Sie diese Inline-Richtlinie hinzu, wenn Sie die verwaltete Richtlinie nicht verwenden können. Das folgende JSON ist ein Beispiel; schränken Sie die Aktionen weiter ein, wenn Ihr Sicherheitsteam dies verlangt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:Get*",
        "iam:List*",
        "iam:GenerateCredentialReport",
        "iam:GenerateServiceLastAccessedDetails"
      ],
      "Resource": "*"
    }
  ]
}

Rolle benennen und ARN kopieren

Benennen Sie die Rolle (zum Beispiel IruIAMReadOnly), erstellen Sie sie und kopieren Sie den Role ARN aus der Rollenübersicht. Wechseln Sie zurück zur Registerkarte Iru Compliance und schließen Sie Rollen-ARN in Iru übermitteln ab.

Vertrauensstellung bestätigen

Vergewissern Sie sich unter Trust relationships, dass das JSON exakt mit dem Assistenten von Iru übereinstimmt.

Fahren Sie auf der Registerkarte Iru Compliance fort, um den Role ARN einzufügen und den Assistenten abzuschließen (Rollen-ARN in Iru übermitteln).

Fehlerbehebung

Beim Aktivieren der Quelle öffnet sich nichts

Überprüfen Sie die Einstellungen des Pop-up-Blockers für die Iru-Website und versuchen Sie es erneut.

Anmeldeinformationsbericht leer

Lösen Sie GenerateCredentialReport einmal manuell über die Konsole oder die CLI aus.

Fehlende Identitäten

Die Platzhalter müssen Get* / List* für jeden erwarteten Ressourcentyp abdecken.

Hinweise

IAM ist innerhalb eines Kontos global: Ein einziger Scan deckt…

IAM ist innerhalb eines Kontos global – ein einziger Scan deckt die IAM-APIs aller Regionen ab.

Quellenverwaltung

Alle Compliance-Quellen durchsuchen und verwalten.

Erste Schritte mit Compliance

Frameworks, Aktionen und Artefakte.

Iru-Übersicht

Wie Endpoint, Compliance und Identity zusammenwirken.

Artifacts-Verwaltung

Nachweise aus Quellen und Aktionen hochladen, prüfen und organisieren.

Erste Schritte

Aktionen

Frameworks

Artefakte

Quellen

Richtlinien

Trust Center

Workflows

AWS Identity and Access Management (IAM)

Über AWS Identity and Access Management (IAM)

So funktioniert es

Voraussetzungen

AWS IAM mit Iru verbinden

Vertrauensrichtlinie aus Iru abrufen

Rollen-ARN in Iru übermitteln

IAM-Rolle in AWS erstellen

Fehlerbehebung

Hinweise

IAM ist innerhalb eines Kontos global: Ein einziger Scan deckt…

Verwandte Artikel

Quellenverwaltung

Erste Schritte mit Compliance

Iru-Übersicht

Artifacts-Verwaltung

​Über AWS Identity and Access Management (IAM)

​So funktioniert es

​Voraussetzungen

​AWS IAM mit Iru verbinden

​Vertrauensrichtlinie aus Iru abrufen

​Rollen-ARN in Iru übermitteln

​IAM-Rolle in AWS erstellen

​Fehlerbehebung

​Hinweise

IAM ist innerhalb eines Kontos global: Ein einziger Scan deckt…

​Verwandte Artikel

Quellenverwaltung

Erste Schritte mit Compliance

Iru-Übersicht

Artifacts-Verwaltung

Über AWS Identity and Access Management (IAM)

So funktioniert es

Voraussetzungen

AWS IAM mit Iru verbinden

Vertrauensrichtlinie aus Iru abrufen

Rollen-ARN in Iru übermitteln

IAM-Rolle in AWS erstellen

Fehlerbehebung

Hinweise

Verwandte Artikel