Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Limitar el acceso de los agentes en un AWS Cuenta

AWS DevOps El agente utiliza las funciones de IAM para descubrir y describir AWS los recursos durante las investigaciones de incidentes y las evaluaciones preventivas. Puede controlar el nivel de acceso del agente configurando las políticas de IAM asociadas a estas funciones. La topología de la aplicación no muestra todo a lo que tiene acceso el agente; las políticas de IAM son la única forma de limitar realmente a qué API y recursos de AWS servicio puede acceder el agente.

Comprender las funciones de IAM para AWS DevOps Agente

AWS DevOps El agente usa las funciones de IAM para acceder a los recursos en dos tipos de cuentas:

Para cualquier tipo de cuenta, puede restringir AWS los servicios a los que puede acceder el agente, limitar el acceso a recursos específicos dentro de esos servicios y controlar en qué regiones puede operar el agente.

Cómo entender los límites de los permisos

AWS DevOps El agente aplica una barrera de protección de permisos a cada sesión que crea al acceder a sus recursos. AWS Esta barrera actúa como límite: define el conjunto máximo de permisos que el agente puede utilizar, independientemente de los permisos que concedas en el rol de IAM.

Funcionamiento

Cuando el agente asume su función de IAM, aprueba una política de sesión que limita los permisos efectivos para esa sesión. Los permisos efectivos son la intersección de:

Para que surta efecto, debe haber un permiso en ambas capas. Si añade un permiso a su función que no esté incluido en la barrera, el agente no podrá usarlo.

Permisos predeterminados

La política AIDevOpsAgentAccessPolicy gestionada proporciona el conjunto predeterminado de permisos de solo lectura que el agente utiliza para las investigaciones. Estos permisos están incluidos en la barandilla, por lo que funcionan sin necesidad de configuración adicional.

Ampliar los permisos más allá de lo predeterminado

AWS DevOps El agente admite un conjunto seleccionado de permisos adicionales además de la política administrada predeterminada. Estos permisos están incluidos en la barandilla, pero no están habilitados de forma predeterminada. Para utilizarlos, añada los permisos específicos a su función como política integrada.

Por ejemplo, para permitir que el agente lea los objetos de sus depósitos de S3 durante las investigaciones, añada una política integrada a su función:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-application-bucket",
        "arn:aws:s3:::my-application-bucket/*"
      ]
    }
  ]
}

Esta política en s3:ListBucket línea entra en vigor porque s3:GetObject está incluida en la barrera de protección. Puede seleccionar los dos grupos específicos Resource para seguir el principio del mínimo privilegio.

Se admiten permisos adicionales

Los siguientes permisos están incluidos en la barandilla y se pueden habilitar agregándolos a su rol como una política integrada. Estos no se conceden de forma predeterminada, por lo que debes activarlos de forma explícita.

Permisos bloqueados por la barandilla

Si agrega un permiso a su función que no esté en la barrera de protección, el agente no podrá usarlo. Esto se debe a su diseño: la barrera impide que el agente lleve a cabo acciones fuera del alcance previsto, incluso si la función lo permitiera de otro modo.

Por ejemplo, escriba operaciones como s3:PutObjectec2:TerminateInstances, o no dynamodb:DeleteItem estén incluidas en la barandilla. Incluso si su rol otorga estos permisos, el agente no puede realizar estas acciones.

Resumen

Este modelo garantiza que el agente funcione dentro de un límite de seguridad bien definido y, al mismo tiempo, le brinda flexibilidad para ampliar sus capacidades para su caso de uso específico.

Elegir los límites de sus recursos

Al limitar el acceso a los recursos, debe incluir permisos suficientes para que el agente investigue correctamente los incidentes de las aplicaciones. Esto incluye:

La infraestructura de soporte puede incluir:

Si restringe el acceso de forma demasiado restringida, es posible que el agente no pueda identificar las causas fundamentales que se originan en la infraestructura de soporte que está fuera de los límites definidos.

Restricción del acceso al servicio

Puede limitar AWS los servicios a los que puede acceder el agente modificando las políticas de IAM asociadas a las funciones del agente. Al crear políticas personalizadas, siga estas prácticas recomendadas:

Ejemplo de política que se restringe a servicios específicos:

json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:GetMetricData",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:DescribeAlarms",
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "ec2:DescribeInstances",
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

Limitar el acceso a los recursos

Para limitar el agente a recursos específicos dentro de un servicio, utilice los permisos a nivel de recurso en sus políticas de IAM. Esto le permite conceder acceso únicamente a los recursos que coincidan con patrones específicos.

Uso de patrones de ARN de recursos:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "arn:aws:lambda:*:*:function:production-*"
    }
  ]
}

Este ejemplo limita al agente a acceder únicamente a las funciones de Lambda con nombres que comiencen por «production-».

Uso de restricciones basadas en etiquetas:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "production"
        }
      }
    }
  ]
}

Este ejemplo limita al agente a acceder únicamente a las instancias de EC2 etiquetadas con. Environment=production

Restringir el acceso regional

Para limitar AWS las regiones a las que puede acceder el agente, utilice la clave de aws:RequestedRegion condición de sus políticas de IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "lambda:Get*",
        "cloudwatch:Get*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": [
            "us-east-1",
            "us-west-2"
          ]
        }
      }
    }
  ]
}

Este ejemplo limita al agente a acceder a los recursos únicamente en las regiones us-east-1 y us-west-2.

Creación de políticas de IAM personalizadas

Al crear un espacio de agente o añadir cuentas secundarias, tiene la opción de crear un rol de IAM personalizado mediante una plantilla de políticas. Esto le permite implementar el principio de privilegios mínimos.

Al crear un espacio de agente

Desde la consola del DevOps agente en la consola AWS de administración...

Al editar un espacio de agente

Desde la consola del DevOps agente a la consola AWS de administración...

Mejores prácticas en materia de políticas personalizadas