Acerca de AWS Identity and Access Management (IAM)
El conector de IAM inventaría usuarios, roles, grupos, políticas, claves de acceso, dispositivos MFA e informes de credenciales. Son datos de alta sensibilidad que se usan como evidencia para las revisiones de acceso. La integración usasts:AssumeRole. IAMReadOnlyAccess es la opción más sencilla; el JSON en línea que aparece a continuación se limita a Get* / List* más GenerateCredentialReport / GenerateServiceLastAccessedDetails.
Trata el ARN del rol entre cuentas como un secreto de infraestructura: limita quién puede editar las relaciones de confianza.
Cómo funciona
Iru se ejecuta en su propia cuenta de AWS. Para leer los datos de IAM en tu cuenta, creas un rol de IAM con una política de confianza que permite al principal de Iru llamar asts:AssumeRole, protegido por el External ID del asistente, y una política de permisos que concede acceso de solo lectura a los recursos de IAM (por ejemplo, IAMReadOnlyAccess o el JSON en línea más restrictivo de la pestaña AWS). A continuación, pegas el ARN del rol de vuelta en Iru. IAMReadOnlyAccess expone por diseño identidades, documentos de políticas y metadatos de claves de acceso, así que trata el rol y su ARN como información confidencial.
Requisitos previos
- Permisos de administrador de IAM en la misma cuenta de cuyo plano de IAM quieres obtener evidencia.
Conectar AWS IAM a Iru
- Iru Compliance
- AWS
Empieza aquí: abre el asistente de la fuente y copia la política de confianza (y anota el ID externo). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.
Obtener la política de confianza de Iru
1
Abrir Sources
En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.
2
Activar AWS IAM
Busca AWS IAM (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.
3
Copiar el JSON de la política de confianza
El asistente muestra el JSON de la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON activo de tu asistente para que la cuenta, el ARN del principal y el ID externo coincidan exactamente.
copy=false
4
Cambiar a AWS para crear el rol
Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS.
Enviar el ARN del rol en Iru
Termina primero la pestaña AWS (hasta Crear el rol de IAM en AWS) para tener el Role ARN del nuevo rol.
1
Pegar el ARN del rol de IAM
Vuelve a la pestaña del asistente de Iru. Pega el Role ARN en el campo que proporciona el asistente.
2
Finalizar la conexión
Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.
3
Confirmar que la fuente está activa
Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de AWS IAM está Activo.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
Informe de credenciales vacío
Informe de credenciales vacío
Ejecuta
GenerateCredentialReport manualmente una vez mediante la consola o la CLI.Faltan identidades
Faltan identidades
Los comodines deben cubrir
Get* / List* para cada tipo de recurso que esperes.Consideraciones
IAM es global dentro de una cuenta: un solo análisis cubre…
IAM es global dentro de una cuenta: un solo análisis cubre las API de IAM de todas las regiones.
Artículos relacionados
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Introducción a Compliance
Marcos, acciones y Artefactos.
Descripción general de Iru
Cómo encajan Endpoint, Compliance e Identity.
Gestión de artefactos
Sube, revisa y organiza la evidencia de fuentes y acciones.