AWS IAM Access Analyzer

Formål og brugervillighed: Værktøjet analyserer AWS IAM-politikker og ressourcestyringspolitikker for at opdage overtilladelser, fejlkonfigurationer og krydskontoeksponering. Primære brugere er sikkerhedsingeniører, IAM-administratorer, cloud-arkitekter og compliance-personale. Anvendelsesområder inkluderer policygennemgang før tildeling af adgang, efteroprettelsesrevisioner og tilbagevendende attesteringer. Eksempler på fund omfatter erklæringer, der giver alle handlinger til brede principals.
Kernelogik & funktioner: Det parses politikdokumenter, opbygger et tilladelseskort og evaluerer erklæringer efter AWS sikkerhedsbester. Nødvendige funktioner: politik-parser, risikoscore pr. erklæring, wildcard-detektion, cross-account-eksponering, eksportable findings. Valgfri: ressource-niveau konsekvensanalyse, ændringssporing, batchanalyse over flere konti.
Inddata & uddata: Inddata: policy_document (tekst, JSON), account_id (12-cifret streng), region (valgfri), analyze_resource_types (valgfri liste som s3, ec2, kms). Uddata: findings (struktureret liste), risk_score (0–100) og et sammendrag. Findings inkluderer: id, alvorlighed, principals, handlinger, ressourcer, betingelser.
Algoritmer & beregninger: Værktøjet analyserer policy-JSON lexikalt, markerer wildcard-principals og handlinger og beregner risk_score med vægte (wildcards 40%, brede handlinger 25%, ressource-niveau 15%, ændringer over tid 20%). Basalt på AWS IAM-praksis og markerer hastende problemer ved høj eller kritisk risiko.
Fejl & kanttilfælde: Ugyldig policy-syntax eller manglende account_id giver fejl; ikke-støttede ressource-typer giver delvise resultater; meget store policies deles op; mangel på eksterne data forringer nøjagtighed; cross-account principals kræver yderligere validering.
Industri/region & lokalisering: Følger AWS IAM policy-sprog; globale AWS-regioner understøttes; ingen valuta- eller lokaliseret data; handlingsnavne lokaliseres efter behov ifølge standard AWS-termer.
Antagelser & udeladelser: Antager adgang til kontos politikdokumenter; udelukker kørselsflow-behörigheder, SSO-konfigurationer eller on-prem ressourcer; ingen UI-meddelelser.