Lire les reçus AWS

Sécurité AWS pour les développeurs

Rahul Singh

Technical Product Manager

Ce que contient un enregistrement

CloudTrail : un appel API, un enregistrement

  1. Ce qui a été appelé : eventName
  2. Quand, en UTC : eventTime
  3. Qui l'a appelé : userIdentity
  4. Sur quelle ressource : requestParameters

Une fiche d'enregistrement listant cinq champs numérotés, chacun avec une valeur d'exemple : eventName, eventTime, userIdentity, requestParameters et errorCode. Le cinquième repère est orange et sa valeur est AccessDenied.

Sécurité AWS pour les développeurs

Ce que contient un enregistrement

CloudTrail : un appel API, un enregistrement

  1. Ce qui a été appelé : eventName
  2. Quand, en UTC : eventTime
  3. Qui l'a appelé : userIdentity
  4. Sur quelle ressource : requestParameters
  5. Refusé, et pourquoi : errorCode

Une fiche d'enregistrement listant cinq champs numérotés, chacun avec une valeur d'exemple : eventName, eventTime, userIdentity, requestParameters et errorCode. Le cinquième repère est orange et sa valeur est AccessDenied.

Sécurité AWS pour les développeurs

Le journal nomme le principal

Deux champs, une identité

  • Session : l'appelant, dans arn, commence par arn:aws:sts:
  • Rôle : son autorité, dans sessionIssuer, commence par arn:aws:iam:

Deux zones empilées. La zone supérieure, intitulée Principal, montre l'ARN de session assumed-role/ReportsRole/deploy-42 avec une flèche vers le bas vers l'ARN de rôle role/ReportsRole qui l'a émise, tous deux en trait plein. La zone inférieure, intitulée Acteur, montre trois cases en pointillé pour session name, sourceIPAddress et userAgent, pointant toutes vers une case en pointillé indiquant Inferred.

Sécurité AWS pour les développeurs

Le journal nomme le principal

Deux champs, une identité

  • Session : l'appelant, dans arn, commence par arn:aws:sts:
  • Rôle : son autorité, dans sessionIssuer, commence par arn:aws:iam:

L'acteur n'est pas un champ

  • Déduit : nom de session, sourceIPAddress

Deux zones empilées. La zone supérieure, intitulée Principal, montre l'ARN de session assumed-role/ReportsRole/deploy-42 avec une flèche vers le bas vers l'ARN de rôle role/ReportsRole qui l'a émise, tous deux en trait plein. La zone inférieure, intitulée Acteur, montre trois cases en pointillé pour session name, sourceIPAddress et userAgent, pointant toutes vers une case en pointillé indiquant Inferred.

Sécurité AWS pour les développeurs

Garder quatre champs, pas quarante

Quarante champs, quatre essentiels

  • Acteur : qui a déclenché l'action
  • Principal : l'identité vérifiée par AWS
  • Action : ce qui a été appelé
  • Ressource : ce qui a été touché

Un enregistrement d'événement dense avec de nombreuses barres grises, quatre mises en évidence en bleu, et une flèche vers une carte compacte contenant quatre lignes numérotées : acteur, principal, action et ressource.

Sécurité AWS pour les développeurs

Garder quatre champs, pas quarante

Quarante champs, quatre essentiels

  • Acteur : qui a déclenché l'action
  • Principal : l'identité vérifiée par AWS
  • Action : ce qui a été appelé
  • Ressource : ce qui a été touché

Leur provenance

  • Action depuis eventName, ressource depuis requestParameters
  • Principal depuis userIdentity, acteur déduit

Un enregistrement d'événement dense avec de nombreuses barres grises, quatre mises en évidence en bleu, et une flèche vers une carte compacte contenant quatre lignes numérotées : acteur, principal, action et ressource.

Sécurité AWS pour les développeurs

Activé par défaut, ou désactivé par défaut

Événements de gestion

  • Appels du plan de contrôle
  • Inclut tous les appels KMS, donc Decrypt est ici
  • Historique des événements : vue console gratuite 90 jours

 

Trois noms d'appels du plan de contrôle dans un encadré, avec une flèche pleine vers un encadré indiquant Enregistré par défaut.

 

Sécurité AWS pour les développeurs

Activé par défaut, ou désactivé par défaut

Événements de gestion

  • Appels du plan de contrôle
  • Inclut tous les appels KMS, donc Decrypt est ici
  • Historique des événements : vue console gratuite 90 jours

Événements de données

  • Lectures d'objets, invocations de fonctions, écritures d'éléments
  • Piste : livraison continue, facturée séparément
  • Un sélecteur indique le type de ressource, et lectures, écritures ou les deux

Trois noms d'appels du plan de contrôle dans un encadré, avec une flèche pleine vers un encadré indiquant Enregistré par défaut.

Trois noms d'appels du plan de données dans un encadré, avec une flèche en pointillé vers un encadré en pointillé indiquant Non enregistré tant que vous ne le demandez pas.

Sécurité AWS pour les développeurs

Personne n'enregistrait cela

Une frise chronologique avec trois points : vous choisissez quoi enregistrer, un fichier est téléchargé, puis vous ouvrez CloudTrail. Une ligne en pointillé prolonge le premier point jusqu'au dernier, où elle se scinde vers une case événement trouvé et une case rien à afficher.

Décidé avant, lu après

Sécurité AWS pour les développeurs

Personne n'enregistrait cela

Une frise chronologique avec trois points : vous choisissez quoi enregistrer, un fichier est téléchargé, puis vous ouvrez CloudTrail. Une ligne en pointillé prolonge le premier point jusqu'au dernier, où elle se scinde vers une case événement trouvé et une case rien à afficher.

Décidé avant, lu après

  • Événements de données activés pour les données client
  • Désactivés pour le reste
Sécurité AWS pour les développeurs

Des preuves orientées vers l'avenir

IAM Access Analyzer

  • Validation des stratégies : vérifie une stratégie que vous avez écrite

Trois étapes empilées. Une boîte d'événements nomme le rôle utilisé, GetObject, ListBucket et Decrypt, qui alimente IAM Access Analyzer, produisant une stratégie générée avec les actions IAM qualifiées s3:GetObject, s3:ListBucket et kms:Decrypt.

Sécurité AWS pour les développeurs

Des preuves orientées vers l'avenir

IAM Access Analyzer

  • Validation des stratégies : vérifie une stratégie que vous avez écrite
  • Génération de stratégies : jusqu'à 90 jours de votre piste
  • Nécessite une piste, pas l'Historique des événements

Trois étapes empilées. Une boîte d'événements nomme le rôle utilisé, GetObject, ListBucket et Decrypt, qui alimente IAM Access Analyzer, produisant une stratégie générée avec les actions IAM qualifiées s3:GetObject, s3:ListBucket et kms:Decrypt.

Sécurité AWS pour les développeurs

Accordés, mais jamais utilisés

Deux barres. La barre supérieure montre quarante-deux actions accordées. La barre inférieure se divise en un fin segment vert de trois actions et un large segment en pointillé de trente-neuf non utilisées.

Constats d'accès non utilisés

  • Rôles, clés et actions que personne n'a appelés
Sécurité AWS pour les développeurs

Accordés, mais jamais utilisés

Deux barres. La barre supérieure montre quarante-deux actions accordées. La barre inférieure se divise en un fin segment vert de trois actions et un large segment en pointillé de trente-neuf non utilisées.

Constats d'accès non utilisés

  • Rôles, clés et actions que personne n'a appelés

Utilisé ne signifie pas requis

Sécurité AWS pour les développeurs

Accordés, mais jamais utilisés

Deux barres. La barre supérieure montre quarante-deux actions accordées. La barre inférieure se divise en un fin segment vert de trois actions et un large segment en pointillé de trente-neuf non utilisées.

Constats d'accès non utilisés

  • Rôles, clés et actions que personne n'a appelés

Utilisé ne signifie pas requis

Moindre privilège, mesuré

  • Des preuves en entrée, une stratégie plus stricte en sortie
Sécurité AWS pour les développeurs

Passons à la pratique !

Sécurité AWS pour les développeurs

Preparing Video For Download...