Suchen ungenutzter AWS Anmeldeinformationen

Um die Sicherheit Ihres zu erhöhen AWS-Konto, entfernen Sie IAM-Benutzeranmeldeinformationen (d. h. Passwörter und Zugriffsschlüssel), die nicht benötigt werden. Wenn Benutzer beispielsweise Ihre Organisation verlassen oder keinen AWS Zugriff mehr benötigen, suchen Sie die von ihnen verwendeten Anmeldeinformationen und stellen Sie sicher, dass sie nicht mehr betriebsbereit sind. Im Idealfall löschen Sie die Anmeldeinformationen, wenn sie nicht mehr benötigt werden. Sie können sie immer zu einem späteren Zeitpunkt bei Bedarf neu erstellen. Zumindest sollten Sie das Passwort ändern oder den Zugriffsschlüssel deaktivieren, sodass der ehemalige Benutzer nicht mehr zugreifen kann.

Natürlich ist die Bedeutung von ungenutzt unterschiedlich. Normalerweise ist damit eine Nichtverwendung von Anmeldeinformationen innerhalb eines bestimmten Zeitraums gemeint.

Suchen von ungenutzten Passwörtern

Sie können die verwenden AWS Management Console , um Informationen zur Passwortnutzung für Ihre Benutzer anzuzeigen. Wenn Sie über eine große Anzahl von Benutzern verfügen, können Sie über die Konsole einen Bericht mit den Anmeldeinformation herunterladen, in dem für jeden Benutzer die Information zur letztmaligen Benutzung des entsprechenden Passworts enthalten ist. Sie können auf die Informationen auch über die AWS CLI oder die IAM-API zugreifen.

So suchen Sie ungenutzte Passwörter (Konsole)

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Users (Benutzer).

3. Fügen Sie, falls erforderlich, die Spalte Console last sign-in (Letzte Anmeldung an der Konsole) zur Benutzertabelle hinzu:

   1. Über der Tabelle auf der rechten Seite wählen Sie das Einstellungssymbol ( ).

   2. Wählen Sie unter Select visible columns (Sichtbare Spalten auswählen) die Option Console last sign-in (Letzte Anmeldung der Konsole) aus.

   3. Klicken Sie auf Confirm (Bestätigen), um zur Liste der Benutzer zurückzukehren.

4. In der Spalte Letzte Anmeldung der Konsole wird das Datum angezeigt, an dem sich der Benutzer zuletzt AWS über die Konsole bei angemeldet hat. Anhand dieser Informationen können Sie Passwörter suchen, die innerhalb eines bestimmten Zeitraums nicht verwendet worden sind. In der Spalte wird für Benutzer mit Passwörtern, die sich zu keiner Zeit angemeldet haben, Never (Nie) angegeben. None (Keine) gibt Benutzer ohne Passwörter an. Passwörter, die in der letzten Zeit nicht verwendet wurden, können möglicherweise entfernt werden.

   Wichtig

   Aufgrund eines Serviceproblems werden zwischen dem 3. Mai 2018, 22:50 Uhr PDT, und dem 23. Mai 2018, 14:08 Uhr PDT, verwendete Passwörter nicht als zuletzt verwendetes Passwort gemeldet. Dies wirkt sich auf das Datum der letzten Anmeldung aus, das in der IAM-Konsole angezeigt wird, und das Datum der letzten Verwendung des Passworts im Bericht zu IAM-Anmeldeinformationen, das von der GetUser API-Operation zurückgegeben wird. Wenn Benutzer sich in dieser Zeit angemeldet haben, wird als letztes Verwendungsdatum des Passworts das Datum angegeben, an dem der Benutzer sich das letzte Mal vor dem 3. Mai 2018 angemeldet hat. Für Benutzer, die sich nach dem 23. Mai 2018, 14:08 Uhr PDT, angemeldet haben, wird das richtige letzte Passwortverwendungsdatum zurückgegeben.

   Wenn Sie die zuletzt verwendeten Passwortinformationen verwenden, um ungenutzte Anmeldeinformationen zum Löschen zu identifizieren, z. B. um Benutzer zu löschen, die sich AWS in den letzten 90 Tagen nicht bei angemeldet haben, empfehlen wir Ihnen, Ihr Bewertungsfenster so anzupassen, dass es Daten nach dem 23. Mai 2018 enthält. Wenn Ihre Benutzer Zugriffsschlüssel verwenden, um AWS programmgesteuert auf zuzugreifen, können Sie alternativ auf die zuletzt verwendeten Informationen zum Zugriffsschlüssel verweisen, da sie für alle Daten korrekt sind.

So finden Sie ungenutzte Passwörter, indem Sie den Bericht mit den Anmeldeinformationen (Konsole) herunterladen

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Credential report (Anmeldeinformationsbericht).

3. Wählen Sie Download Report (Bericht herunterladen) aus, um eine CSV-Datei (Datei mit durch Kommas getrennten Werten) mit dem Namen status_reports_<date>T<time>.csv herunterzuladen. Die fünfte Spalte enthält die Spalte password_last_used mit den nachstehenden Daten:

   • N/A – Benutzer ohne zugewiesenes Passwort.

   • no_information – Benutzer, die Ihr Passwort seit dem 20. Oktober 2014, als IAM begonnen hat, das Alter des Passworts zu registrieren, nicht benutzt haben.

So ermitteln Sie ungenutzte Passwörter (AWS CLI)

Führen Sie den folgenden Befehl aus, um ungenutzte Passwörter zu ermitteln:

• aws iam list-users gibt eine Liste von Benutzern jeweils mit einem PasswordLastUsed-Wert zurück. Wenn der Wert fehlt, hat der Benutzer entweder kein Passwort oder das Passwort ist seit dem 20. Oktober 2014, als IAM begonnen hat, das Alter des Passworts zu registrieren, nicht verwendet worden.

So finden Sie ungenutzte Passwörter (AWS API)

Rufen Sie die folgende Operation auf, um ungenutzte Passwörter zu ermitteln:

• ListUsers gibt eine Sammlung von Benutzern zurück, die jeweils einen <PasswordLastUsed>-Wert haben. Wenn der Wert fehlt, hat der Benutzer entweder kein Passwort oder das Passwort ist seit dem 20. Oktober 2014, als IAM begonnen hat, das Alter des Passworts zu registrieren, nicht verwendet worden.

Weitere Informationen über die Befehle zum Herunterladen des Berichts mit den Anmeldeinformationen finden Sie unter Abrufen von Berichten zu Anmeldeinformationen (AWS CLI).

Suchen von ungenutzten Zugriffsschlüsseln

Sie können die verwenden AWS Management Console , um Informationen zur Nutzung von Zugriffsschlüsseln für Ihre Benutzer anzuzeigen. Wenn Sie über eine große Anzahl von Benutzern verfügen, können Sie über die Konsole einen Bericht mit den Anmeldeinformation herunterladen, in dem für jeden Benutzer die Information zur letztmaligen Benutzung des entsprechenden Zugriffsschlüssels enthalten ist. Sie können auf die Informationen auch über die AWS CLI oder die IAM-API zugreifen.

So finden Sie ungenutzte Zugriffsschlüssel (Konsole)

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Users (Benutzer).

3. Fügen Sie, falls erforderlich, die Spalte Access key last used (Zuletzt verwendeter Zugriffsschlüssel) der Benutzertabelle hinzu:

   1. Über der Tabelle auf der rechten Seite wählen Sie das Einstellungssymbol ( ).

   2. Wählen Sie unter Select visible columns (Sichtbare Spalten auswählen) die Option Access key last used (Zugriffsschlüssel zuletzt verwendet) aus.

   3. Klicken Sie auf Confirm (Bestätigen), um zur Liste der Benutzer zurückzukehren.

4. Die Spalte Zugriffsschlüssel zuletzt verwendet zeigt die Anzahl der Tage seit dem letzten AWS programmgesteuerten Zugriff des Benutzers an. Anhand dieser Informationen können Sie Zugriffsschlüssel suchen, die innerhalb eines bestimmten Zeitraums nicht verwendet worden sind. Für Benutzer ohne Zugriffsschlüssel wird in der Spalte – angezeigt. Zugriffsschlüssel, die in der letzten Zeit nicht verwendet wurden, können entfernt werden.

So finden Sie ungenutzte Zugriffsschlüssel, indem Sie den Bericht mit den Anmeldeinformationen (Konsole) herunterladen

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Credential Report (Anmeldeinformationsbericht).

3. Wählen Sie Download Report (Bericht herunterladen) aus, um eine CSV-Datei (Datei mit durch Kommas getrennten Werten) mit dem Namen status_reports_<date>T<time>.csv herunterzuladen. Die Spalten 11 bis 13 enthalten das letzte Nutzungsdatum, die Region und die Serviceinformationen für den Zugriffsschlüssel 1. Die Spalten 16 bis 18 enthalten die gleichen Informationen für den Zugriffsschlüssel 2. Der Wert lautet N/A, wenn der Benutzer nicht über einen Zugriffsschlüssel verfügt oder der Zugriffsschlüssel seit dem 22. April 2015, als IAM begonnen hat, das Alter des Zugriffsschlüssels zu registrieren, nicht verwendet worden ist.

So ermitteln Sie ungenutzte Zugriffsschlüssel (AWS CLI)

Führen Sie die folgenden Befehle aus, um ungenutzte Zugriffsschlüssel zu ermitteln:

• aws iam list-access-keys gibt Informationen zu den Zugriffsschlüssel eines Benutzers einschließlich AccessKeyID zurück.

• aws iam get-access-key-last-used nimmt eine Zugriffsschlüssel-ID und gibt eine Ausgabe zurück, die das LastUsedDate, die Region, in der der Zugriffsschlüssel zuletzt verwendet wurde, und den ServiceName des letzten angeforderten Services enthält. Wenn LastUsedDate fehlt, ist der Zugriffsschlüssel seit dem 22. April 2015 – der Termin, ab dem IAM das Alter von Zugriffsschlüsseln registriert – nicht verwendet worden.

So finden Sie ungenutzte Zugriffsschlüssel (AWS API)

Rufen Sie die folgenden Operationen auf, um ungenutzte Zugriffsschlüssel zu ermitteln:

• ListAccessKeys gibt eine Liste der AccessKeyID-Werte für die Zugriffsschlüssel zurück, die dem angegebenen Benutzer zugeordnet sind.

• GetAccessKeyLastUsed nimmt eine Zugriffsschlüssel-ID und gibt eine Zusammenstellung von Werten zurück. Darin sind das LastUsedDate, die Region, in der der Zugriffsschlüssel zuletzt verwendet wurde, und der ServiceName des zuletzt angeforderten Services enthalten. Wenn der Wert fehlt, hat entweder der Benutzer keinen Zugriffsschlüssel oder der Zugriffsschlüssel ist seit dem 22. April 2015 – der Termin, ab dem IAM das Alter von Zugriffsschlüsseln registriert – nicht verwendet worden.

Weitere Informationen über die Befehle zum Herunterladen des Berichts mit den Anmeldeinformationen finden Sie unter Abrufen von Berichten zu Anmeldeinformationen (AWS CLI).