AWS IAM Access Analyzer

Scopo e intento utente: lo strumento analizza policy IAM e policy basate sulle risorse AWS per rilevare privilegi eccessivi, configurazioni scorrette ed esposizione inter-account. Gli utenti principali sono ingegneri di sicurezza, amministratori IAM, architetti cloud e staff di conformità. Casi d'uso: revisioni delle policy prima dell'assegnazione dell'accesso, audit post-creazione e attestazioni ricorrenti. Esempi di riscontri includono enunciati che concedono tutte le azioni a Principals ampi.
Logica centrale e funzioni: analizza documenti di policy, costruisce una mappa delle autorizzazioni e valuta enunciati secondo le best practice di sicurezza AWS. Funzioni richieste: parsing delle policy, punteggio di rischio per enunciato, rilevamento wildcard, flag esposizione cross-account, esportazione dei risultati. Funzioni opzionali: analisi dell'impatto a livello di risorsa, tracciamento delle modifiche, analisi in batch su più account.
Input e output: ingressi: policy_document (stringa JSON), account_id (stringa di 12 cifre), regione (facoltativa), analyze_resource_types (facoltativo elenco di tipi di risorse come s3, ec2, kms). Uscite: findings (elenco strutturato), risk_score (0–100) e un sommario. I findings contengono: id, severità, principals, actions, resources, conditions.
Algoritmi e calcoli: lo strumento analizza lessicalmente le policy JSON, segnala wildcard-principals e actions e calcola risk_score con pesi (wildcard 40%, azioni ampie 25%, livello risorse 15%, cambiamenti nel tempo 20%). Si basa sulle best practices IAM di AWS e segnala flag urgenti quando esistono rischi elevati o critici.
Errori e casi limite: sintassi policy non valida o account_id mancante producono errori; tipi di risorse non supportati forniscono risultati parziali; policy molto grandi vengono suddivise; mancanza di dati esterni peggiora la precisione; i principals cross-account possono richiedere convalide aggiuntive.
Industry/region & localizzazione: segue il linguaggio delle policy IAM di AWS; regioni AWS globali supportate; nessun dato monetario o localizzato; i nomi delle azioni vengono localizzati se necessario secondo i termini AWS standard.
Assunti ed esclusioni: presuppone accesso ai documenti policy del conto; esclude autorizzazioni di runtime, configurazioni SSO o risorse on-prem; nessun messaggio UI.