Acerca de Amazon DynamoDB
El conector de Amazon DynamoDB inventaría tablas, ajustes de capacidad, índices y recursos relacionados para la asignación de cumplimiento. Iru asume un rol de IAM en tu cuenta (sts:AssumeRole + external ID) y no exporta en bloque el contenido de los elementos como evidencia: el foco se mantiene en las API de configuración e inventario.
Cómo funciona
Iru se ejecuta en su propia cuenta de AWS. Para leer los metadatos de tablas e índices de DynamoDB en tu cuenta, creas un rol de IAM con confianzasts:AssumeRole (External ID del asistente) y permisos dynamodb: de solo lectura adecuados para el inventario (no la exportación en bloque de elementos, salvo que añadas esas acciones). Pega el ARN del rol de vuelta en Iru.
Usa AmazonDynamoDBReadOnlyAccess o la política en línea que aparece a continuación si quieres acciones explícitas (incluye las vías de lectura PartiQLSelect / Query / Scan presentes en el conjunto de políticas administradas; alinéalo con tu revisión de seguridad).
Referencias: AmazonDynamoDBReadOnlyAccess, Security and IAM.
Requisitos previos
- Permisos de IAM para crear roles y políticas en línea.
- La entidad principal y el external ID del conector de Iru.
Conectar AWS DynamoDB con Iru
- Iru Compliance
- AWS
Empieza aquí: abre el asistente de la fuente y copia la política de confianza (y anota el external ID). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.
Obtener la política de confianza de Iru
1
Abrir Sources
En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.
2
Activar AWS DynamoDB
Busca AWS DynamoDB (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.
3
Copiar el JSON de la política de confianza
El asistente muestra el JSON de la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON real de tu asistente para que la cuenta, el ARN de la entidad principal y el external ID coincidan exactamente.
copy=false
4
Cambiar a AWS para crear el rol
Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS.
Enviar el ARN del rol en Iru
Termina primero la pestaña AWS (hasta Crear el rol de IAM en AWS) para tener el Role ARN del nuevo rol.
1
Pegar el ARN del rol de IAM
Vuelve a la pestaña del asistente de Iru. Pega el Role ARN donde el conector lo solicite.
2
Finalizar la conexión
Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.
3
Confirmar que la fuente está activa
Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de AWS DynamoDB está Activo.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
AssumeRole denegado
AssumeRole denegado
El external ID no coincide.
Carencias regionales
Carencias regionales
Las tablas residen en regiones específicas: asegúrate de que la cuenta del rol coincida con la propiedad de los activos.
DAX
DAX
La política administrada incluye lecturas de DAX; las políticas personalizadas pueden necesitar
dax:Describe* / dax:List*.Consideraciones
Las tablas globales y los recursos relacionados pueden aparecer por cada región de réplica.
Las tablas globales y los recursos relacionados pueden aparecer por cada región de réplica.
Limita IAM a lo que las auditorías realmente necesitan: unas…
Limita IAM a lo que las auditorías realmente necesitan: unas políticas más restrictivas reducen las lecturas accidentales del plano de datos.
Artículos relacionados
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Primeros pasos con Compliance
Marcos, acciones y Artefactos.
Descripción general de Iru
Cómo encajan Endpoint, Compliance e Identity.
Gestión de artefactos
Carga, revisa y organiza las evidencias de fuentes y acciones.