AWS IAM Access Analyzer

Syfte och användarintent: Verktyget analyserar IAM-policyer och resursbaserade policys i AWS för att upptäcka överbehörigheter, konfigurationsfel och kontobaserad exponering över flera konton. Huvudbrukare är säkerhetsingenjörer, IAM-administratörer, mol-arkitekter och efterlevnadsansvariga. Användningsfall inkluderar policygranskningar före tilldelning av åtkomst, eftergranskningar och återkommande attesteringar. Exempel på fynd är påståenden som ger breda Principals fullständiga åtgärder.
Kärnliga och funktioner: Parsar policydokument, bygger en behörighetskarta och utvärderar påståenden enligt AWS-säkerhetspraxis. Nödvändiga funktioner: policyparsing, riskpoäng per uttalande, wildcard-detektion, cross-account-exposure-flaggor, exporterbara fynd. Valfria funktioner: resursnivå-påverkan, ändringsspårning, batch-analys över flera konton.
Indata & utdata: Indata: policy_document (sträng, JSON), account_id (sträng med 12 siffror), region (valfri, AWS-region), analyze_resource_types (valfri lista över resurstyper som s3, ec2, kms). Utdata: fynd (strukturerad lista), risk_score (0–100) och en sammanfattning. Fyndposter innehåller: id, allvarlighet, principals, actions, resources, conditions.
Algoritmer & beräkningar: Verktyget tolkar policy-JSON lexikiskt, markerar wildcard-principals och actions och beräknar risk_score med vikter (wildcards 40%, breda åtgärder 25%, resursnivå 15%, förändringar över tid 20%). Baserat på AWS IAM-bästa praxis och markerar brådskande problem vid höga eller kritiska risker.
Fel & kantfall: Ogiltig policysyntax eller saknad account_id ger fel; icke-stödda resurstyp ger partiella resultat; mycket stora policys delas upp i block; brist på externa data försämrar noggrannhet; cross-account-principals kan kräva extra validering.
Bransch/Region & lokalisering: Följer AWS IAM policy-språk; globala AWS-regioner stöds; inga valuta- eller lokala data; åtgärdsnamn lokaliseras vid behov enligt standard AWS-termer.
Antaganden & exkluderingar: Förutsätter åtkomst till kontots policydokument; utesluter körningstidsbehörigheter, SSO-konfigurationer eller on-prem-resurser; inga UI-meddelanden.