View a markdown version of this page

AWSSupport-ContainS3Resource - AWS Systems Manager Referensi Runbook Otomasi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWSSupport-ContainS3Resource

Deskripsi

AWSSupport-ContainS3ResourceRunbook menyediakan solusi otomatis untuk prosedur yang diuraikan dalam artikel Support Automation Workflow (SAW) Runbook: Berisi Bucket AWS Amazon S3 yang dikompromikan

penting

  • Runbook ini melakukan berbagai operasi yang memerlukan hak istimewa yang ditingkatkan, seperti memodifikasi kebijakan bucket Amazon S3, tag, dan konfigurasi akses publik. Tindakan ini berpotensi menyebabkan eskalasi hak istimewa atau berdampak pada beban kerja lain yang bergantung pada bucket Amazon S3 yang ditargetkan. Anda harus meninjau izin yang diberikan untuk peran yang ditentukan oleh AutomationAssumeRole parameter dan memastikannya sesuai untuk kasus penggunaan yang dimaksudkan. Anda dapat merujuk ke AWS dokumentasi berikut untuk informasi lebih lanjut tentang izin IAM: Identity and Access Management (IAM) Permissions AWS AWS Systems Manager Automation Permissions.

  • Runbook ini melakukan tindakan mutatif yang berpotensi menyebabkan ketidaktersediaan atau gangguan pada beban kerja Anda. Secara khusus, Contain tindakan memblokir semua akses ke bucket Amazon S3 yang ditentukan, kecuali untuk peran yang ditentukan dalam SecureRoles parameter. Hal ini dapat memengaruhi aplikasi atau layanan apa pun yang bergantung pada bucket Amazon S3 yang ditargetkan.

  • Selama Contain tindakan, runbook ini dapat membuat bucket Amazon S3 tambahan (ditentukan oleh BackupS3BucketName parameter) untuk menyimpan cadangan konfigurasi bucket asli, jika belum ada.

  • Jika Action parameter disetel keRestore, runbook ini akan mencoba mengembalikan konfigurasi bucket Amazon S3 ke keadaan semula berdasarkan cadangan yang disimpan di BackupS3BucketName bucket. Namun, ada risiko bahwa proses pemulihan mungkin gagal, meninggalkan bucket Amazon S3 dalam keadaan tidak konsisten. Runbook memberikan instruksi untuk pemulihan manual jika terjadi kegagalan seperti itu, tetapi Anda harus siap untuk menangani masalah potensial selama proses pemulihan.

Disarankan untuk meninjau runbook secara menyeluruh, memahami dampak potensialnya, dan mengujinya di lingkungan non-produksi sebelum menjalankannya di lingkungan produksi Anda.

Bagaimana cara kerjanya?

Runbook ini beroperasi secara berbeda berdasarkan jenis sumber daya dan tindakan:

  • Untuk Bucket Tujuan Umum Amazon S3Containment: Otomatisasi memblokir akses publik ke bucket, menonaktifkan konfigurasi ACL, memberlakukan kepemilikan Objek Pemilik Bucket, dan menempatkan kebijakan bucket terbatas yang menolak semua tindakan Amazon S3 ke bucket kecuali untuk mengizinkan Peran IAM yang terdaftar.

  • Untuk Objek Tujuan Umum Amazon S3Containment: Otomatisasi memblokir Akses Publik ke bucket, menonaktifkan konfigurasi ACL, memberlakukan kepemilikan Objek Pemilik Bucket, dan menempatkan kebijakan bucket terbatas yang menolak semua tindakan Amazon S3 pada objek kecuali untuk mengizinkan Peran IAM yang terdaftar.

  • Untuk Bucket Direktori Amazon S3Containment: Otomatisasi menempatkan kebijakan bucket terbatas yang menolak semua tindakan Amazon S3 ke bucket kecuali untuk mengizinkan Peran IAM yang terdaftar.

  • Untuk Bucket Tujuan Umum Amazon S3Restore: Otomatisasi mengembalikan konfigurasi Blok Akses Publik, konfigurasi Bucket ACL, kepemilikan Objek Pemilik Bucket, dan Kebijakan Bucket ke konfigurasi awal sebelum penahanan.

  • Untuk Objek Tujuan Umum Amazon S3Restore: Otomatisasi mengembalikan konfigurasi Blok Akses Publik, konfigurasi Bucket ACL, Konfigurasi ACL Objek, kepemilikan Objek Pemilik Bucket, dan Kebijakan Bucket ke konfigurasi awal sebelum penahanan.

  • Untuk Amazon S3 Directory BucketRestore: Otomatisasi mengembalikan kebijakan bucket ke konfigurasi awal sebelum penahanan.

Jalankan Otomatisasi ini (konsol)

Jenis Dokumen

Otomatisasi

Pemilik

Amazon

Platform

/

Izin IAM yang Diperlukan

AutomationAssumeRoleParameter memerlukan tindakan berikut untuk menggunakan runbook dengan sukses.

  • 3: CreateBucket

  • 3: DeleteBucketPolicy

  • 3: DeleteObjectTagging

  • 3: GetAccountPublicAccessBlock

  • 3: GetBucketAcl

  • 3: GetBucketLocation

  • 3: GetBucketOwnershipControls

  • 3: GetBucketPolicy

  • 3: GetBucketPolicyStatus

  • 3: GetBucketTagging

  • 3: GetEncryptionConfiguration

  • 3: GetObject

  • 3: GetObjectAcl

  • 3: GetObjectTagging

  • 3: GetReplicationConfiguration

  • 3: ListBucket

  • 3: PutAccountPublicAccessBlock

  • s3: PutBucket ACL

  • 3: PutBucketOwnershipControls

  • 3: PutBucketPolicy

  • 3: PutBucketPublicAccessBlock

  • 3: PutBucketTagging

  • 3: PutBucketVersioning

  • 3: PutObject

  • 3: PutObjectAcl

  • s3ekspres: CreateSession

  • s3ekspres: DeleteBucketPolicy

  • s3ekspres: GetBucketPolicy

  • s3ekspres: PutBucketPolicy

  • SSM: DescribeAutomationExecutions

Berikut adalah contoh kebijakan IAM yang memberikan izin yang diperlukan untuk: AutomationAssumeRole

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:DeleteBucketPolicy",
                "s3:DeleteObjectTagging",
                "s3:GetAccountPublicAccessBlock",
                "s3:GetBucketAcl",
                "s3:GetBucketLocation",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketTagging",
                "s3:GetEncryptionConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectTagging",
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:PutAccountPublicAccessBlock",
                "s3:PutBucketACL",
                "s3:PutBucketOwnershipControls",
                "s3:PutBucketPolicy",
                "s3:PutBucketPublicAccessBlock",
                "s3:PutBucketTagging",
                "s3:PutBucketVersioning",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "*"
        },
        {
            "Sid": "S3ExpressPermissions",
            "Effect": "Allow",
            "Action": [
                "s3express:CreateSession",
                "s3express:DeleteBucketPolicy",
                "s3express:GetBucketPolicy",
                "s3express:PutBucketPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSMPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAutomationExecutions"
            ],
            "Resource": "*"
        }
    ]
}

Instruksi

Ikuti langkah-langkah ini untuk mengkonfigurasi otomatisasi:

  1. Arahkan ke AWSSupport-ContainS3Resource dalam Manajer Sistem di bawah Dokumen.

  2. Pilih Jalankan otomatisasi.

  3. Untuk parameter input, masukkan yang berikut ini:

    • BucketName (Diperlukan):

      • Deskripsi: (Diperlukan) Nama bucket Amazon S3.

      • Tipe: AWS::S3::Bucket::Name

    • Tindakan (Diperlukan):

      • Deskripsi: (Diperlukan) Pilih Contain untuk mengisolasi sumber daya Amazon S3 atau Restore mencoba mengembalikan konfigurasi sumber daya ke keadaan semula dari cadangan sebelumnya.

      • Tipe: String

      • Nilai yang Diizinkan: Contain|Restore

    • DryRun (Opsional):

      • Deskripsi: (Opsional) Saat disetel ke true, otomatisasi tidak akan membuat perubahan apa pun pada sumber daya Amazon S3 target, melainkan akan menampilkan apa yang akan coba diubah. Nilai default: true.

      • Jenis: Boolean

      • Nilai yang Diizinkan: true|false

    • BucketKeyName (Opsional):

      • Deskripsi: (Opsional) Kunci objek Amazon S3 yang ingin Anda isi atau pulihkan. Digunakan selama penahanan tingkat objek.

      • Tipe: String

      • Pola yang Diizinkan: ^[a-zA-Z0-9\\.\\-_\\\\!*'()/]{0,1024}$

    • BucketRestrictAccess(Bersyarat):

      • Deskripsi: (Bersyarat) ARN pengguna atau peran IAM yang akan diizinkan mengakses sumber daya Amazon S3 target setelah menjalankan tindakan penahanan. Parameter ini diperlukan ketika Action disetel keContain.

      • Tipe: StringList

      • Pola yang Diizinkan: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::[0-9]{12}:(role|user)\\/[\\w+\\/=,.@-]+$

    • TagIdentifier (Opsional):

      • Deskripsi: (Opsional) Tag dalam format Kunci =BatchId, Nilai = 78925 yang akan ditambahkan ke sumber daya yang dibuat atau dimodifikasi oleh runbook ini selama alur kerja penahanan.

      • Tipe: String

      • Pola yang Diizinkan: ^$|^[Kk][Ee][Yy]=[\\+\\-\\=\\.\\_\\:\\/@a-zA-Z0-9]{1,128},[Vv][Aa][Ll][Uu][Ee]=[\\+\\-\\=\\.\\_\\:\\/@a-zA-Z0-9]{0,128}$

    • BackupS3BucketName (Bersyarat):

      • Deskripsi: (Bersyarat) Bucket Amazon S3 untuk mencadangkan konfigurasi sumber daya target saat Action dis Contain etel ke atau mengembalikan konfigurasi dari saat Action disetel keRestore.

      • Tipe: AWS::S3::Bucket::Name

    • BackupS3KeyName (Bersyarat):

      • Deskripsi: (Bersyarat) Jika Action diset Restore el ke, ini menentukan kunci Amazon S3 yang akan digunakan otomatisasi untuk mencoba memulihkan konfigurasi sumber daya target.

      • Tipe: String

      • Pola yang Diizinkan: ^[a-zA-Z0-9\\.\\-_\\\\!*'()/]{0,1024}$

    • BackupS3BucketAccess(Bersyarat):

      • Deskripsi: (Bersyarat) ARN pengguna atau peran IAM yang akan diizinkan mengakses bucket Amazon S3 cadangan setelah menjalankan tindakan penahanan. Parameter ini diperlukan ketika Action adaContain.

      • Tipe: StringList

      • Pola yang Diizinkan: ^$|^arn:(aws|aws-cn|aws-us-gov|aws-iso(-[a-z])?):iam::[0-9]{12}:(role|user)\\/[\\w+\\/=,.@-]+$

    • AutomationAssumeRole (Opsional):

      • Deskripsi: (Opsional) Nama Sumber Daya Amazon (ARN) dari peran IAM yang memungkinkan Otomasi Manajer Sistem untuk melakukan tindakan atas nama Anda.

      • Tipe: AWS::IAM::Role::Arn

  4. Pilih Jalankan.

  5. Otomatisasi dimulai.

  6. Dokumen melakukan langkah-langkah berikut:

    • memvalidasi RequiredInputs

      Memvalidasi parameter input otomatisasi yang diperlukan berdasarkan Tindakan yang ditentukan.

    • menegaskan BucketExists

      Memeriksa apakah bucket target Amazon S3 ada dan dapat diakses.

    • cadangan BucketPreChecks

      Memeriksa apakah bucket cadangan Amazon S3 berpotensi memberikan akses baca atau tulis publik ke objeknya.

    • cadangan TargetBucketMetadata

      Menjelaskan konfigurasi bucket Amazon S3 target saat ini dan mengunggah cadangan ke bucket cadangan Amazon S3 yang ditentukan.

    • ContainBucket

      Melakukan operasi tingkat bucket untuk memuat bucket Amazon S3 target.

    • BranchOnActionAndMode

      Cabang otomatisasi berdasarkan parameter input Action dan DryRun.

    • RestoreInstanceConfiguration

      Mengembalikan konfigurasi bucket Amazon S3 dari cadangan.

    • mengandung FinalOutput

      Mengkonsolidasikan aktivitas penahanan dalam format yang dapat dibaca.

    • ReportContain

      Menghasilkan detail dry run untuk tindakan penahanan.

    • ReportRestore

      Menghasilkan detail dry run untuk tindakan pemulihan.

    • ReportRestoreFailure

      Memberikan petunjuk untuk mengembalikan konfigurasi asli bucket Amazon S3 selama skenario kegagalan alur kerja pemulihan.

    • ReportContainmentFailure

      Memberikan instruksi untuk memulihkan konfigurasi asli bucket Amazon S3 selama skenario kegagalan alur kerja penahanan.

    • FinalOutput

      Menghasilkan detail tindakan penahanan.

  7. Setelah eksekusi selesai, tinjau bagian Output untuk hasil terperinci dari eksekusi:

    • ContainFinalOutput.Output

      Menghasilkan detail tindakan penahanan yang dilakukan oleh runbook ini ketika disetel ke DryRun False.

    • RestoreFinalOutput.Output

      Menghasilkan detail tindakan pemulihan yang dilakukan oleh runbook ini ketika disetel ke Fal DryRun se.

    • ContainS3ResourceDryRun.Output

      Menghasilkan detail tindakan penahanan yang dilakukan oleh runbook ini ketika disetel DryRun ke True.

    • RestoreS3ResourceDryRun.Output

      Menghasilkan detail tindakan pemulihan yang dilakukan oleh runbook ini ketika DryRun disetel ke True.

    • ReportContainmentFailure.Output

      Memberikan instruksi untuk memulihkan konfigurasi asli sumber daya Amazon S3 target selama skenario kegagalan alur kerja penahanan.

    • ReportRestoreFailure.Output

      Memberikan instruksi untuk memulihkan konfigurasi asli sumber daya Amazon S3 target selama skenario kegagalan alur kerja pemulihan.

Referensi

Otomatisasi Systems Manager