Les identités RAM accumulent souvent plus d'autorisations que nécessaire. L'audit des accès indique les autorisations dont dispose chaque identité et la date de leur dernière utilisation, ce qui vous permet d'identifier et de supprimer en toute sécurité les autorisations inutilisées afin d'appliquer le principe du moindre privilège.
Remarques sur l'utilisation
Prenez connaissance des points suivants avant d'utiliser l'audit des accès pour modifier les autorisations des identités RAM.
Période de suivi
Le suivi des accès a débuté le 1er février 2024. Les accès antérieurs ne sont pas enregistrés. Les données relatives à la dernière utilisation peuvent présenter un retard allant jusqu'à 24 heures.
Tentatives d'accès
Les données de dernière utilisation incluent toutes les tentatives d'accès aux API, qu'elles soient réussies ou non, et qu'elles proviennent de la console, de la CLI, des SDK ou d'appels API directs. Une tentative d'accès inattendue n'indique pas nécessairement une compromission : la requête peut avoir été refusée. Consultez les journaux ActionTrail pour obtenir des détails sur des requêtes spécifiques.
Propriétaire du rapport
Seule l'entité qui génère un rapport peut consulter ses enregistrements détaillés. Dans la console, attendez la fin de la génération du rapport. Lorsque vous utilisez une API, un SDK ou la CLI, vos identifiants doivent correspondre à ceux du propriétaire du rapport. Si vous générez un rapport avec un jeton STS issu d'un rôle RAM, vous devez utiliser un jeton STS provenant du même rôle pour le consulter.
Types de politique pris en charge
L'audit des accès analyse uniquement les politiques basées sur l'identité jointes aux utilisateurs RAM, aux groupes d'utilisateurs et aux rôles. Il n'analyse pas les politiques basées sur les ressources (telles que la politique de compartiment OSS), les politiques de contrôle Resource Directory ni les politiques de session.
Granularités d'audit prises en charge
-
Niveau du service
Analyse les autorisations au niveau du service cloud. Consultez les services auxquels une identité RAM peut accéder, ceux auxquels elle a accédé et la date correspondante. Utilisez cette fonctionnalité pour révoquer les politiques système inutilisées ou affiner les autorisations au niveau du service.
La liste des services pris en charge figure dans la rubrique Services compatibles avec l'audit des accès.
-
Niveau de l'opération
Étend l'analyse au niveau du service à des opérations API individuelles. Consultez les opérations qu'une identité RAM peut effectuer, celles qu'elle a effectuées et la date correspondante. Cette fonctionnalité permet un contrôle granulaire des autorisations ou la restriction des opérations à haut risque.
Les services pris en charge sont indiqués par la mention Operation level dans la colonne Audit granularity de la rubrique Services compatibles avec l'audit des accès.
ImportantL'audit des accès couvre uniquement les opérations du plan de contrôle intégrées à ActionTrail. Les opérations du plan de données (telles que OSS GetObject) ne sont pas prises en charge.
L'audit des accès ne prend pas en charge les autorisations non associées à une opération API spécifique, telles que
ram:PassRole.
Scénarios non pris en charge
Certains services effectuent des vérifications d'autorisations pour votre compte lors de l'appel aux API d'autres services. Par exemple, Resource Center vérifie si vous êtes autorisé à afficher les ressources d'un service cible et renvoie uniquement les résultats autorisés. Ces vérifications indirectes ne sont pas enregistrées dans les données d'audit des accès.
Les API suivantes impliquent ce type de vérifications indirectes des autorisations.
|
Service cloud |
Code de service |
API |
|
Resource Center |
resourcecenter |
SearchResources |
|
GetResourceCounts |
||
|
GetResourceConfiguration |
||
|
ListResourceTypes |
||
|
ExecuteSQLQuery |
||
|
Resource Management |
resourcemanager |
ListResources |
|
Tag |
tag |
ListTagResources |
|
ListTagKeys |
||
|
ListTagValues |
Afficher les enregistrements d'audit d'un utilisateur RAM
Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
Sur la page Users, cliquez sur l'utilisateur RAM que vous souhaitez auditer.
-
Sur la page des détails de l'utilisateur, cliquez sur l'onglet Policy Access Beta.
Le système génère un rapport d'audit des accès pour l'utilisateur RAM. Cette opération peut prendre quelques instants.
-
Consultez les enregistrements d'audit des accès.
Visualisez les services cloud disponibles pour l'utilisateur RAM, les politiques jointes et la date de dernier accès à chaque service.
Pour les services compatibles avec l'audit au niveau des opérations, cliquez sur View Actions dans la colonne Actions pour afficher les opérations autorisées et leur date de dernier accès.
Afficher les enregistrements d'audit d'un rôle RAM
Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
Sur la page Roles, cliquez sur le rôle RAM que vous souhaitez auditer.
-
Sur la page des détails du rôle, cliquez sur l'onglet Policy Access Beta.
Le système génère un rapport d'audit des accès pour le rôle RAM. Cette opération peut prendre quelques instants.
RemarqueLes rôles liés aux services ne sont pas compatibles avec l'audit des accès. L'onglet Policy Access Beta n'est pas affiché pour ces rôles.
-
Consultez les enregistrements d'audit des accès.
Visualisez les services cloud disponibles pour le rôle RAM, les politiques jointes et la date de dernier accès à chaque service.
Pour les services compatibles avec l'audit au niveau des opérations, cliquez sur View Actions dans la colonne Actions pour afficher les opérations autorisées et leur date de dernier accès.
FAQ sur l'audit des accès
Pourquoi mon rapport d'audit des accès est-il vide ?
Un rapport d'audit des accès peut être vide. Vérifiez les points suivants :
Vérifiez qu'au moins une politique basée sur l'identité est jointe à l'identité RAM, soit directement, soit héritée d'un groupe d'utilisateurs pour les utilisateurs RAM.
Vérifiez que les politiques jointes accordent des autorisations. Le système analyse toutes les politiques jointes pour déterminer les services et les opérations accessibles.
Vérifiez que les services ou opérations accordés figurent dans la liste des services compatibles avec l'audit des accès.
Erreur « InvalidParameter.Policy.Statement »
Cette erreur se produit lorsqu'une politique d'autorisation présente un format incorrect. Le message d'erreur indique la politique mal formée et la raison du problème. Corrigez le format de la politique et régénérez le rapport.
Erreur « InvalidParameter.Policy.NotAction »
Cette erreur survient car un élément NotAction d'une politique contient une valeur incorrecte. Le message d'erreur identifie la politique concernée. Corrigez l'élément NotAction et régénérez le rapport.
Erreur « LengthExceedLimit.Policy »
Cette erreur se produit car une politique jointe est trop volumineuse pour être analysée. Le message d'erreur identifie la politique. Divisez la politique en instructions plus petites et régénérez le rapport.
Références
La rubrique Services compatibles avec l'audit des accès répertorie les services cloud pris en charge et leurs granularités d'audit.
Utilisez l'analyseur de privilèges excessifs pour détecter en continu les identités RAM disposant de privilèges excessifs dans votre Resource Directory ou votre compte actuel. Consultez la rubrique Détecter les identités disposant de privilèges excessifs.