Acerca de Amazon Simple Storage Service (S3)
El conector de Amazon S3 inventaría la configuración de los buckets: políticas, cifrado, control de versiones, registro, notificaciones, bloqueos de acceso público y ajustes relacionados, sin leer el contenido de los objetos. Iru asume un rol de IAM que creas en tu cuenta (sts:AssumeRole con un ID externo). Esto mantiene la evidencia centrada en cómo están configurados los buckets, no en el contenido de los archivos almacenados.
Cómo funciona
Iru se ejecuta en su propia cuenta de AWS. Para inventariar la configuración de buckets de S3 (no el contenido de los objetos de forma predeterminada), creas un rol de IAM cuya política de confianza hace referencia al principal de AWS de Iru y exige el External ID del asistente, y cuya política de permisos concede solo las lecturas de metadatos que apruebe tu equipo. Es preferible usar la política en línea que aparece a continuación en lugar de soloAmazonS3ReadOnlyAccess. La política administrada incluye s3:GetObject, que muchos equipos no permiten en integraciones solo de metadatos. Pega el ARN del rol de vuelta en Iru.
Referencias: Guía del usuario de S3, Administración de acceso.
Requisitos previos
- Permisos de IAM para crear roles y adjuntar políticas en línea.
- El par activo de principal + ID externo de tu conector, no necesariamente los ID de ejemplo que aparecen en capturas de pantalla antiguas.
Conectar Amazon S3 a Iru
- Iru Compliance
- AWS
Empieza aquí: abre el asistente de la fuente y copia la política de confianza (y anota el ID externo). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.
Obtener la política de confianza de Iru
1
Abrir Sources
En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.
2
Activar AWS S3
Busca AWS S3 (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.
3
Copiar el JSON de la política de confianza
El asistente muestra el JSON de la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON activo de tu asistente para que la cuenta, el ARN del principal y el ID externo coincidan exactamente.
copy=false
4
Cambiar a AWS para crear el rol
Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS.
Enviar el ARN del rol en Iru
Termina primero la pestaña AWS (hasta Crear el rol de IAM en AWS) para tener el Role ARN del nuevo rol.
1
Pegar el ARN del rol de IAM
Vuelve a la pestaña del asistente de Iru. Pega el Role ARN donde el conector lo solicite.
2
Finalizar la conexión
Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.
3
Confirmar que la fuente está activa
Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de AWS S3 está Activo.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
AssumeRole denegado
AssumeRole denegado
El ID externo no coincide: vuelve a copiarlo desde Iru sin espacios adicionales.
Faltan filas de políticas de bucket
Faltan filas de políticas de bucket
Las políticas de recursos del bucket pueden denegar las lecturas entre cuentas incluso cuando IAM las permite.
No aparece la configuración de cifrado
No aparece la configuración de cifrado
Confirma que
s3:GetEncryptionConfiguration sigue incluido en la política en línea.Consideraciones
Los buckets son regionales, pero ListAllMyBuckets es…
Los buckets son regionales, pero
ListAllMyBuckets es global: espera llamadas de seguimiento en varias regiones durante el inventario.Las instrucciones Deny explícitas en las políticas de bucket bloquean…
Las instrucciones Denegar explícitas en las políticas de bucket bloquean las lecturas independientemente de lo que permita IAM; documenta las expectativas con los auditores.
Artículos relacionados
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Introducción a Compliance
Marcos, acciones y Artefactos.
Descripción general de Iru
Cómo encajan Endpoint, Compliance e Identity.
Gestión de artefactos
Sube, revisa y organiza la evidencia de fuentes y acciones.