AWS IAM Access Analyzer

But et intention des utilisateurs: l'outil analyse les politiques IAM et les politiques basées sur les ressources AWS afin d'identifier les privilèges excessifs, les erreurs de configuration et les expositions inter-comptes. Les principaux utilisateurs sont les ingénieurs sécurité, les administrateurs IAM, les architectes cloud et le personnel conformité. Cas d'usage: révisions de politiques avant l'octroi d'accès, audits post-création et attestations récurrentes. Exemples de résultats: déclarations accordant toutes les actions à des Principals étendus.
Logique cœur & fonctionnalités: il analyse les documents de politique, construit une cartographie des permissions et évalue les déclarations selon les bonnes pratiques de sécurité AWS. Fonctions requises: analyse des politiques, scoring par énoncé, détection d'astérisques, indicateurs d'exposition inter-comptes et export des résultats. Fonctions optionnelles: analyse d'impact au niveau des ressources, suivi des changements, analyse groupée sur plusieurs comptes.
Entrées & sorties: entrées: policy_document (chaîne, JSON), account_id (chaîne de 12 chiffres), région (facultative, code AWS), analyze_resource_types (facultatif, liste de types de ressources comme S3, EC2, KMS). Sorties: findings (liste structurée), risk_score (0–100), résumé. Les entrées Findings incluent: id, severity, principals, actions, resources, conditions.
Algorithmes & calculs: l'outil analyse lexiquement les politiques JSON, marque les Principals et actions avec des jokers, et calcule le risk_score avec des poids (joker 40%, actions larges 25%, impact au niveau ressource 15%, évolutions au fil du temps 20%). S'appuie sur les meilleures pratiques IAM d'AWS et émet des alertes urgentes en cas de risque élevé ou critique.
Erreurs & cas limites: syntaxe invalide ou account_id manquant produit des erreurs; types de ressources non pris en charge donnent des résultats partiels; très grandes politiques sont découpées; manque de données externes dégrade les résultats; les Principals inter-comptes peuvent nécessiter une validation supplémentaire.
Industrie/région & localisation: Conforme au langage de politique IAM d'AWS; régions AWS globales supportées; pas de données monétaires ou localisées; noms d'actions localisés si nécessaire en termes AWS standard.
Hypothèses & exclusions: suppose l'accès aux documents de politique du compte; exclut les droits d'exécution, les configurations SSO ou les ressources sur site; pas de messages UI.