AWSSupport-ContainIAMPrincipal

Description

如果發生安全事件或疑似入侵 AWS Identity and Access Management (IAM) 使用者/角色或 AWS 身分中心 (IDC) 使用者，快速隔離受影響的身分至關重要，同時保留其組態以進行調查。AWSSupport-ContainIAMPrincipal Runbook 提供結構化、可復原的方法，以包含遭入侵的 IAM 或 IDC 身分，有效地封鎖其對 AWS 資源的存取，並防止入侵的潛在傳播。

此自動化程序可在不永久變更身分組態的情況下進行調查，並在認為適當時還原正常存取。遏制程序會維護 IAM 內的使用者或角色，或 IDC 內的使用者，同時有效地將其與所有網路活動隔離。此隔離可防止包含的身分資源與 Amazon Virtual Private Cloud 內的資源通訊，或存取網際網路資源。遏制的設計是可逆的，允許在認為適當時還原正常存取。

如何運作？

AWSSupport-ContainIAMPrincipal Runbook 會為 IAM 使用者、角色和 Identity Center 使用者實作完整的遏制程序。在Contain模式下執行時，它會先驗證所有輸入參數，並對指定的 Amazon S3 儲存貯體執行安全檢查。然後，它會收集目標 IAM 委託人的詳細資訊，並根據委託人類型套用適當的遏制措施。對於 IAM 使用者，它會停用存取金鑰、移除主控台存取，以及連接拒絕政策。對於 IAM 角色，它會附加拒絕政策，以撤銷在遏制之前建立之工作階段的許可。對於 Identity Center 使用者，它會移除許可集、群組成員資格，並套用拒絕政策。在整個過程中， Runbook 會將原始組態備份到 Amazon S3 儲存貯體，以便進行可能的還原。在 Restore 模式下執行時，它會嘗試使用備份組態將主體還原至其遏制前狀態。Runbook 包含預覽變更而不套用變更DryRun的選項，並提供成功操作和失敗案例的完整報告。

執行此自動化 （主控台）

文件類型

 自動化

擁有者

Amazon

平台

/

必要的 IAM 許可

AutomationAssumeRole 參數需要下列許可，才能成功使用 Runbook：

以下是授予 必要許可的 IAM 政策範例AutomationAssumeRole：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetBucket",
                "s3:ListBucket",
                "s3:GetBucketPublicAccessBlocks",
                "s3:GetAccountPublicAccessBlocks",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketAcl",
                "s3:GetObject",
                "s3:CreateBucket",
                "s3:PutObject"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMPermissions",
            "Effect": "Allow",
            "Action": [
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:GetRole",
                "iam:ListUserPolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListAccessKeys",
                "iam:ListMfaDevices",
                "iam:ListVirtualMFADevices",
                "iam:GetLoginProfile",
                "iam:GetPolicy",
                "iam:GetRolePolicy",
                "iam:ListPolicies",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:UpdateAccessKey",
                "iam:CreateAccessKey",
                "iam:DeleteLoginProfile",
                "iam:DeleteAccessKey",
                "iam:PutUserPolicy",
                "iam:DeleteUserPolicy",
                "iam:DeactivateMFADevice",
                "iam:AttachRolePolicy",
                "iam:AttachUserPolicy",
                "iam:DeleteRolePolicy",
                "iam:TagMFADevice",
                "iam:PutRolePolicy",
                "iam:TagPolicy",
                "iam:TagRole",
                "iam:TagUser",
                "iam:UntagUser",
                "iam:UntagRole"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OrganizationsPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccounts"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSOPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:ListPermissionSetsProvisionedToAccount",
                "sso:GetInlinePolicyForPermissionSet",
                "sso:ListInstances",
                "sso-directory:SearchUsers",
                "sso:ListPermissionSets",
                "sso:ListAccountAssignments",
                "sso-directory:DescribeUser",
                "sso:DeleteAccountAssignment",
                "sso:PutInlinePolicyToPermissionSet",
                "sso:CreateAccountAssignment",
                "sso:DeleteInlinePolicyFromPermissionSet",
                "sso:TagResource",
                "sso:UntagResource"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IdentityStorePermissions",
            "Effect": "Allow",
            "Action": [
                "identitystore:ListUsers",
                "identitystore:ListGroups",
                "identitystore:IsMemberInGroups",
                "identitystore:ListGroupMemberships",
                "identitystore:DeleteGroupMembership",
                "identitystore:CreateGroupMembership"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecretsManagerPermissions",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret",
                "secretsmanager:DeleteSecret"
            ],
            "Resource": "*"
        }
    ]
}

指示

請依照下列步驟設定自動化：

輸出

執行完成後，請檢閱輸出區段以取得詳細結果：

參考

Systems Manager Automation