Las identidades de RAM suelen acumular más permisos de los necesarios. La auditoría de acceso muestra los permisos que tiene cada identidad y la fecha de su último uso, lo que permite identificar y eliminar de forma segura los permisos no utilizados para aplicar el principio de privilegio mínimo.
Notas de uso
Revise las siguientes consideraciones antes de utilizar la auditoría de acceso para modificar los permisos de las identidades de RAM.
Periodo de seguimiento
El seguimiento de acceso comenzó el 1 de febrero de 2024. Los accesos anteriores a esta fecha no se registran. Los datos de último acceso pueden tener un retraso de hasta 24 horas.
Intentos de acceso
Los datos de último acceso incluyen todos los intentos de acceso a la API, no solo los exitosos, ya sea que se realicen a través de la consola, la CLI, los SDK o llamadas directas a la API. Un intento de acceso inesperado no indica necesariamente una vulneración de seguridad, ya que la solicitud podría haber sido denegada. Consulte los registros de ActionTrail para obtener detalles sobre solicitudes específicas.
Propietario del informe
Solo la entidad que genera un informe puede consultar sus registros detallados. En la consola, espere a que finalice la generación del informe. Al utilizar una API, un SDK o la CLI, sus credenciales deben coincidir con las del propietario del informe. Si genera un informe con un token STS desde un rol de RAM, debe usar un token STS del mismo rol para poder consultarlo.
Tipos de directivas compatibles
La auditoría de acceso analiza únicamente las directivas basadas en identidad vinculadas a usuarios de RAM, grupos de usuarios y roles. No analiza directivas basadas en recursos (como OSS Bucket Policy), directivas de control de Resource Directory ni directivas de sesión.
Niveles de granularidad de auditoría compatibles
-
Nivel de servicio
Analiza los permisos a nivel de servicio en la nube. Permite consultar a qué servicios puede acceder una identidad de RAM, a cuáles ha accedido y cuándo. Utilice esta opción para revocar directivas del sistema no utilizadas o ajustar los permisos a nivel de servicio.
Los servicios compatibles se enumeran en Services that support access audit.
-
Nivel de operación
Extiende el análisis a nivel de servicio hacia operaciones individuales de la API. Permite consultar qué operaciones puede realizar una identidad de RAM, cuáles ha realizado y cuándo. Utilice esta opción para un control de permisos detallado o para restringir operaciones de alto riesgo.
Los servicios compatibles están marcados como Operation level en la columna Audit granularity de Services that support access audit.
ImportanteLa auditoría de acceso cubre únicamente las operaciones del plano de control integradas con ActionTrail. Las operaciones del plano de datos (como OSS GetObject) no son compatibles.
La auditoría de acceso no admite permisos que no están asociados a una operación específica de la API, como
ram:PassRole.
Escenarios no compatibles
Algunos servicios realizan comprobaciones de permisos en su nombre al llamar a APIs de otros servicios. Por ejemplo, Resource Center comprueba si usted puede consultar recursos en un servicio destino y devuelve solo los resultados autorizados. Estas comprobaciones indirectas no se registran en los datos de la auditoría de acceso.
Las siguientes APIs implican este tipo de comprobaciones de permisos indirectas.
|
Servicio en la nube |
Código de servicio |
API |
|
Resource Center |
resourcecenter |
SearchResources |
|
GetResourceCounts |
||
|
GetResourceConfiguration |
||
|
ListResourceTypes |
||
|
ExecuteSQLQuery |
||
|
Resource Management |
resourcemanager |
ListResources |
|
Tag |
tag |
ListTagResources |
|
ListTagKeys |
||
|
ListTagValues |
Consulta de registros de auditoría de un usuario de RAM
Inicie sesión en la RAM console como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
En la página Users, haga clic en el usuario de RAM que desea auditar.
-
En la página de detalles del usuario, haga clic en la pestaña Policy Access Beta.
El sistema genera un informe de auditoría de acceso para el usuario de RAM. Este proceso puede tardar unos momentos.
-
Consulte los registros de auditoría de acceso.
Revise los servicios en la nube disponibles para el usuario de RAM, las directivas vinculadas y la fecha de último acceso a cada servicio.
Para los servicios que admiten auditoría a nivel de operación, haga clic en View Actions en la columna Actions para consultar las operaciones permitidas y su hora de último acceso.
Consulta de registros de auditoría de un rol de RAM
Inicie sesión en la RAM console como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
En la página Roles, haga clic en el rol de RAM que desea auditar.
-
En la página de detalles del rol, haga clic en la pestaña Policy Access Beta.
El sistema genera un informe de auditoría de acceso para el rol de RAM. Este proceso puede tardar unos momentos.
NotaLos roles vinculados a servicios no admiten la auditoría de acceso. La pestaña Policy Access Beta no se muestra para estos roles.
-
Consulte los registros de auditoría de acceso.
Revise los servicios en la nube disponibles para el rol de RAM, las directivas vinculadas y la fecha de último acceso a cada servicio.
Para los servicios que admiten auditoría a nivel de operación, haga clic en View Actions en la columna Actions para consultar las operaciones permitidas y su hora de último acceso.
Preguntas frecuentes sobre la auditoría de acceso
¿Por qué mi informe de auditoría de acceso está vacío?
Un informe de auditoría de acceso puede estar vacío. Compruebe lo siguiente:
Verifique que exista como mínimo una directiva basada en identidad vinculada a la identidad de RAM, ya sea directamente o heredada de un grupo de usuarios en el caso de usuarios de RAM.
Verifique que las directivas vinculadas otorguen permisos. El sistema analiza todas las directivas vinculadas para determinar los servicios y operaciones accesibles.
Verifique que los servicios u operaciones otorgados aparezcan en list of services that support access audit.
Error "InvalidParameter.Policy.Statement"
Este error ocurre cuando una directiva de permisos tiene un formato no válido. El mensaje de error indica el nombre de la directiva con formato incorrecto y el motivo. Corrija el formato de la directiva y regenere el informe.
Error "InvalidParameter.Policy.NotAction"
Este error ocurre porque un elemento NotAction en una directiva tiene un valor no válido. El mensaje de error indica el nombre de la directiva afectada. Corrija el elemento NotAction y regenere el informe.
Error "LengthExceedLimit.Policy"
Este error ocurre porque una directiva vinculada es demasiado grande para ser analizada. El mensaje de error indica el nombre de la directiva. Divida la directiva en declaraciones más pequeñas y regenere el informe.
Referencias
Services that support access audit enumera los servicios en la nube compatibles y sus niveles de granularidad de auditoría.
Utilice el analizador de privilegios excesivos para detectar de forma continua identidades de RAM con privilegios excesivos en su Resource Directory o cuenta actual. Detect over-privileged identities.