AWS IAM Access Analyzer

الغرض ونية المستخدم: تحلل الأداة سياسات IAM وسياسات الموارد في AWS لاكتشاف الامتيازات الزائدة والأخطاء في التكوين والتعرض بين الحسابات. المستخدمون الرئيسيون هم مهندسو الأمن ومديرو IAM ومهندسو السحابة وموظفو الامتثال. أمثلة الاستخدام تشمل مراجعة السياسات قبل منح الوصول والتدقيق بعد الإنشاء والت attestations دورية. أمثلة النتائج تشمل عبارات تمنح جميع الإجراءات لمبادئ أو ممددين.
المنطق الأساسي والميزات: تقوم بتحليل مستندات السياسة وبناء خريطة صلاحيات وتقييم العبارات وفقًا لأفضل الممارسات الأمنية لـ AWS. الوظائف الأساسية: تحليل السياسات، تسجيل المخاطر حسب العبارة، كشف Wildcard، علم التعرض عبر الحسابات، وتصدير النتائج. الوظائف الاختيارية: تحليل التأثير على مستوى المورد، تتبّع التغييرات، تحليل دفعات عبر عدة حسابات.
المدخلات والمخرجات: مدخلات: policy_document (نص JSON)، account_id (سلسلة من 12 رقمًا)، region (اختياري)، analyze_resource_types (قائمة أنواع الموارد مثل s3، ec2، kms). مخرجات: النتائج، risk_score (0–100)، وملخص. يحتوي كل إدخال من نتائج على: id، severity، principals، actions، resources، conditions.
الخوارزميات والحسابات: يحلل الأداة سياسات JSON لغويًا، يعلّم principals و actions باستخدام wildcards، ويحسب risk_score بوزن: wildcards 40%، إجراءات واسعة 25%، مستوى الموارد 15%، التغييرات عبر الزمن 20%. يعتمد على أفضل ممارسات IAM من AWS ويصدر إشعارات عاجلة عند وجود مخاطر عالية أو حرجة.
الأخطاء والحالات الطرفية: بنية السياسة غير الصحيحة أو افتقار account_id ينتج عنه خطأ؛ أنواع الموارد غير المدعومة تعطي نتائج جزئية؛ السياسات الكبيرة تقطع إلى أجزاء؛ نقص البيانات الخارجية يقلل الدقة؛ قد تتطلب principals بين الحسابات تحققًا إضافيًا.
الصناعة/المنطقة والتوطين: يتبع لغة سياسة IAM الخاصة بـ AWS؛ المناطق العالمية من AWS مدعومة؛ لا توجد بيانات عملة أو محلية؛ أسماء الإجراءات قد تُترجم حسب المصطلحات القياسية لـ AWS عند الحاجة.
الافتراضات والاستثناءات: يفترض الوصول إلى وثائق سياسة الحساب؛ يستثني الأذونات وقت التشغيل وتكوين SSO أو الموارد في مكان العمل؛ لا رسائل UI.