Acerca de AWS Organizations
La evidencia de AWS Organizations incluye cuentas, unidades organizativas (OU), raíces, SCP y políticas relacionadas. El rol debe estar en la cuenta de administración: las cuentas miembro no pueden enumerar el grafo completo de la organización mediante estas API.Cómo funciona
Iru se ejecuta en su propia cuenta de AWS. Para leer la estructura y la configuración de AWS Organizations en tu cuenta de administración, creas un rol de IAM con confianzasts:AssumeRole (External ID del asistente) y permisos de solo lectura organizations:. Pega el ARN del rol de vuelta en Iru.
Adjunta AWSOrganizationsReadOnlyAccess, o limítalo a organizations:Describe* / organizations:List* mediante JSON en línea.
Requisitos previos
- Permisos de administrador de IAM en la cuenta de administración (no en una cuenta miembro de cargas de trabajo).
- Principal + ID externo del conector.
Conectar AWS Organizations a Iru
- Iru Compliance
- AWS
Empieza aquí: abre el asistente de la fuente y copia la política de confianza (y anota el ID externo). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM en la cuenta de administración. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.
Obtener la política de confianza de Iru
1
Abrir Sources
En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.
2
Activar AWS Organizations
Busca AWS Organizations (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.
3
Copiar el JSON de la política de confianza
El asistente muestra el JSON de la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON activo de tu asistente para que la cuenta, el ARN del principal y el ID externo coincidan exactamente.
copy=false
4
Cambiar a AWS para crear el rol
Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM en la cuenta de administración.
Enviar el ARN del rol en Iru
Termina primero la pestaña AWS (hasta Crear el rol de IAM en la cuenta de administración) para tener el Role ARN del nuevo rol.
1
Pegar el ARN del rol de IAM
Vuelve a la pestaña del asistente de Iru. Pega el Role ARN donde el conector lo solicite.
2
Finalizar la conexión
Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.
3
Confirmar que la fuente está activa
Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de AWS Organizations está Activo.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
AccessDenied en todas partes
AccessDenied en todas partes
Confirma que el rol se creó en la cuenta de administración.
AssumeRole denegado
AssumeRole denegado
El ID externo no coincide.
Consideraciones
Las API de Organizations evolucionan: los comodines Describe / List**…
Las API de Organizations evolucionan: los pares de comodines
Describe* / List* reducen los cambios necesarios cuando AWS publica nuevas operaciones de lectura.Artículos relacionados
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Introducción a Compliance
Marcos, acciones y Artefactos.
Descripción general de Iru
Cómo encajan Endpoint, Compliance e Identity.
Gestión de artefactos
Sube, revisa y organiza la evidencia de fuentes y acciones.