AWSSupport-TroubleshootIAMAccessDeniedEvents

説明

AWSSupport-TroubleshootIAMAccessDeniedEvents オートメーションランブックは、 AWS Identity and Access Management (IAM) アクセス拒否問題のトラブルシューティングに役立ちます。ランブックは、指定された IAM エンティティと AWS サービスイベントソースに関連する最近のアクセス拒否イベントを CloudTrail にクエリします。最大 24 時間の設定可能な時間枠内でイベントを分析し、実行ごとに最大 10 個のイベントを処理します。識別された各アクセス拒否イベントは、拒否のコンテキストと試行されたアクションを理解するのに役立ちます。自動化は、アイデンティティベースの IAM ポリシーとリソースベースの IAM ポリシーの両方を分析します。ID ベースのポリシーでは、IAM エンティティにアタッチされたインラインポリシーとマネージドポリシーを調べます。リソースベースのポリシーでは、Amazon Simple Storage Service (Amazon S3)、 AWS Key Management Service （AWS KMS）、Amazon Simple Notification Service (Amazon SNS) AWS Lambda、Amazon Elastic Container Registry (Amazon ECR)、Amazon API Gateway、CodeArtifact、Amazon Elastic File System (Amazon EFS)、Amazon Simple Queue Service (Amazon SQS) AWS Cloud9、Amazon OpenSearch Service、 AWS Signer AWS Serverless Application Repository、および AWS を含む複数のサービスにわたってポリシーを評価します AWS Secrets Manager。

ランブックは IAM ポリシーシミュレーション機能を使用して、CloudTrail イベントで見つかった拒否されたアクションに対してこれらのポリシーを評価します。ランブックは、IAM ユーザー向けの SimulatePrincipalPolicy と IAM ロール向けの SimulateCustomPolicy の両方を通じて IAM のポリシーシミュレーション機能を活用して、CloudTrail イベントで見つかった拒否されたアクションに対してこれらのポリシーを評価します。自動化は、拒否された特定のアクションを識別し、暗黙的な拒否と明示的な拒否を区別し、アクセス拒否を担当するポリシーを一覧表示し、各拒否の説明を提供するのに役立つレポートを出力します。このレポートは、欠落している許可ステートメントや競合する拒否ステートメントの特定など、潜在的な解決策も提案します。

動作の仕組み

ランブックは次のステップを実行します。

このオートメーションを実行する (コンソール)

ドキュメントタイプ

Automation

[所有者]

Amazon

[Platforms] (プラットフォーム)

/

必要な IAM アクセス許可

AutomationAssumeRole パラメータでは、ランブックを正常に使用するために、次のアクションが必要です。

ポリシーの例：

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Action": [
                        "iam:GetUser",
                        "iam:GetRole",
                        "iam:SimulatePrincipalPolicy",
                        "iam:ListUserPolicies",
                        "iam:ListRolePolicies",
                        "iam:GetRolePolicy",
                        "iam:ListAttachedRolePolicies",
                        "iam:GetPolicy",
                        "iam:GetUserPolicy",
                        "iam:GetPolicyVersion",
                        "iam:ListAttachedUserPolicies",
                        "ssm:StartAutomationExecution",
                        "ssm:StopAutomationExecution",
                        "cloudtrail:LookupEvents",
                        "iam:SimulateCustomPolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                },
                {
                    "Action": [
                        "s3:GetBucketPolicy",
                        "kms:GetKeyPolicy",
                        "lambda:GetPolicy",
                        "sns:GetTopicAttributes",
                        "ecr:GetRepositoryPolicy",
                        "apigateway:GET",
                        "codeartifact:GetRepositoryPermissionsPolicy",
                        "elasticfilesystem:GetFileSystemPolicy",
                        "sqs:GetQueueAttributes",
                        "cloud9:GetEnvironment",
                        "es:DescribeDomain",
                        "signer:GetSigningProfile",
                        "serverlessrepo:GetApplication",
                        "secretsmanager:GetResourcePolicy"
                    ],
                    "Resource": "*",
                    "Effect": "Allow"
                }
            ]
        }
    

指示

次の手順に従って自動化を設定します。

リファレンス

Systems Manager Automation