Finden Sie ungenutzte AWS Zugangsdaten

Um Ihre Sicherheit zu erhöhen AWS-Konto, entfernen Sie nicht benötigte IAM-Benutzeranmeldedaten (d. h. Passwörter und Zugriffsschlüssel). Wenn Benutzer beispielsweise Ihr Unternehmen verlassen oder keinen AWS Zugriff mehr benötigen, suchen Sie nach den Anmeldeinformationen, die sie verwendet haben, und stellen Sie sicher, dass sie nicht mehr betriebsbereit sind. Im Idealfall löschen Sie die Anmeldeinformationen, wenn sie nicht mehr benötigt werden. Sie können sie immer zu einem späteren Zeitpunkt bei Bedarf neu erstellen. Zumindest sollten Sie das Passwort ändern oder den Zugriffsschlüssel deaktivieren, sodass der ehemalige Benutzer nicht mehr zugreifen kann.

Natürlich ist die Bedeutung von ungenutzt unterschiedlich. Normalerweise ist damit eine Nichtverwendung von Anmeldeinformationen innerhalb eines bestimmten Zeitraums gemeint.

Suchen von ungenutzten Passwörtern

Sie können den verwenden AWS Management Console , um Informationen zur Passwortnutzung für Ihre Benutzer einzusehen. Wenn Sie über eine große Anzahl von Benutzern verfügen, können Sie über die Konsole einen Bericht mit den Anmeldeinformation herunterladen, in dem für jeden Benutzer die Information zur letztmaligen Benutzung des entsprechenden Passworts enthalten ist. Sie können auch über die AWS CLI oder die IAM-API auf die Informationen zugreifen.

So suchen Sie ungenutzte Passwörter (Konsole)

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Users (Benutzer).

3. Fügen Sie, falls erforderlich, die Spalte Console last sign-in (Letzte Anmeldung an der Konsole) zur Benutzertabelle hinzu:

   1. Über der Tabelle auf der rechten Seite wählen Sie das Einstellungssymbol ( ).

   2. Wählen Sie unter Select visible columns (Sichtbare Spalten auswählen) die Option Console last sign-in (Letzte Anmeldung der Konsole) aus.

   3. Klicken Sie auf Confirm (Bestätigen), um zur Liste der Benutzer zurückzukehren.

4. In der Spalte Letzte Anmeldung in der Konsole wird das Datum angezeigt, an dem sich der Benutzer zuletzt AWS über die Konsole angemeldet hat. Anhand dieser Informationen können Sie Passwörter suchen, die innerhalb eines bestimmten Zeitraums nicht verwendet worden sind. In der Spalte wird für Benutzer mit Passwörtern, die sich zu keiner Zeit angemeldet haben, Never (Nie) angegeben. None (Keine) gibt Benutzer ohne Passwörter an. Passwörter, die in der letzten Zeit nicht verwendet wurden, können möglicherweise entfernt werden.

   Wichtig

   Aufgrund eines Serviceproblems werden zwischen dem 3. Mai 2018, 22:50 Uhr PDT, und dem 23. Mai 2018, 14:08 Uhr PDT, verwendete Passwörter nicht als zuletzt verwendetes Passwort gemeldet. Dies wirkt sich auf das Datum der letzten Anmeldung aus, das in der IAM-Konsole angezeigt wird, und auf das Datum, an dem das Passwort zuletzt verwendet wurde, im Bericht über die IAM-Anmeldeinformationen, die vom API-Vorgang zurückgegeben werden. GetUser Wenn Benutzer sich in dieser Zeit angemeldet haben, wird als letztes Verwendungsdatum des Passworts das Datum angegeben, an dem der Benutzer sich das letzte Mal vor dem 3. Mai 2018 angemeldet hat. Für Benutzer, die sich nach dem 23. Mai 2018, 14:08 Uhr PDT, angemeldet haben, wird das richtige letzte Passwortverwendungsdatum zurückgegeben.

   Wenn Sie Informationen zum zuletzt verwendeten Passwort verwenden, um ungenutzte Anmeldeinformationen für das Löschen zu identifizieren, z. B. wenn Sie Benutzer löschen, bei denen Sie sich AWS in den letzten 90 Tagen nicht angemeldet haben, empfehlen wir Ihnen, Ihr Testfenster so anzupassen, dass es auch Daten nach dem 23. Mai 2018 berücksichtigt. Wenn Ihre Benutzer Zugriffstasten für den AWS programmgesteuerten Zugriff verwenden, können Sie alternativ auf die Informationen zum zuletzt verwendeten Zugriffsschlüssel zurückgreifen, da diese für alle Daten korrekt sind.

So finden Sie ungenutzte Passwörter, indem Sie den Bericht mit den Anmeldeinformationen (Konsole) herunterladen

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Credential report (Anmeldeinformationsbericht).

3. Wählen Sie Download Report (Bericht herunterladen) aus, um eine CSV-Datei (Datei mit durch Kommas getrennten Werten) mit dem Namen status_reports_<date>T<time>.csv herunterzuladen. Die fünfte Spalte enthält die Spalte password_last_used mit den nachstehenden Daten:

   • N/A – Benutzer ohne zugewiesenes Passwort.

   • no_information – Benutzer, die Ihr Passwort seit dem 20. Oktober 2014, als IAM begonnen hat, das Alter des Passworts zu registrieren, nicht benutzt haben.

So ermitteln Sie ungenutzte Passwörter (AWS CLI)

Führen Sie den folgenden Befehl aus, um ungenutzte Passwörter zu ermitteln:

• aws iam list-users gibt eine Liste von Benutzern jeweils mit einem PasswordLastUsed-Wert zurück. Wenn der Wert fehlt, hat der Benutzer entweder kein Passwort oder das Passwort ist seit dem 20. Oktober 2014, als IAM begonnen hat, das Alter des Passworts zu registrieren, nicht verwendet worden.

Um unbenutzte Passwörter zu finden (AWS API)

Rufen Sie die folgende Operation auf, um ungenutzte Passwörter zu ermitteln:

• ListUsers gibt eine Sammlung von Benutzern zurück, die jeweils einen <PasswordLastUsed>-Wert haben. Wenn der Wert fehlt, hat der Benutzer entweder kein Passwort oder das Passwort ist seit dem 20. Oktober 2014, als IAM begonnen hat, das Alter des Passworts zu registrieren, nicht verwendet worden.

Weitere Informationen über die Befehle zum Herunterladen des Berichts mit den Anmeldeinformationen finden Sie unter Abrufen von Berichten zu Anmeldeinformationen (AWS CLI).

Suchen von ungenutzten Zugriffsschlüsseln

Sie können den verwenden AWS Management Console , um Informationen zur Verwendung von Zugriffsschlüsseln für Ihre Benutzer einzusehen. Wenn Sie über eine große Anzahl von Benutzern verfügen, können Sie über die Konsole einen Bericht mit den Anmeldeinformation herunterladen, in dem für jeden Benutzer die Information zur letztmaligen Benutzung des entsprechenden Zugriffsschlüssels enthalten ist. Sie können auch über die AWS CLI oder die IAM-API auf die Informationen zugreifen.

So finden Sie ungenutzte Zugriffsschlüssel (Konsole)

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Users (Benutzer).

3. Fügen Sie, falls erforderlich, die Spalte Access key last used (Zuletzt verwendeter Zugriffsschlüssel) der Benutzertabelle hinzu:

   1. Über der Tabelle auf der rechten Seite wählen Sie das Einstellungssymbol ( ).

   2. Wählen Sie unter Select visible columns (Sichtbare Spalten auswählen) die Option Access key last used (Zugriffsschlüssel zuletzt verwendet) aus.

   3. Klicken Sie auf Confirm (Bestätigen), um zur Liste der Benutzer zurückzukehren.

4. In der Spalte Zuletzt verwendeter Zugriffsschlüssel wird die Anzahl der Tage seit dem letzten AWS programmgesteuerten Zugriff durch den Benutzer angezeigt. Anhand dieser Informationen können Sie Zugriffsschlüssel suchen, die innerhalb eines bestimmten Zeitraums nicht verwendet worden sind. Für Benutzer ohne Zugriffsschlüssel wird in der Spalte – angezeigt. Zugriffsschlüssel, die in der letzten Zeit nicht verwendet wurden, können entfernt werden.

So finden Sie ungenutzte Zugriffsschlüssel, indem Sie den Bericht mit den Anmeldeinformationen (Konsole) herunterladen

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Klicken Sie im Navigationsbereich auf Credential Report (Anmeldeinformationsbericht).

3. Wählen Sie Download Report (Bericht herunterladen) aus, um eine CSV-Datei (Datei mit durch Kommas getrennten Werten) mit dem Namen status_reports_<date>T<time>.csv herunterzuladen. Die Spalten 11 bis 13 enthalten das letzte Nutzungsdatum, die Region und die Serviceinformationen für den Zugriffsschlüssel 1. Die Spalten 16 bis 18 enthalten die gleichen Informationen für den Zugriffsschlüssel 2. Der Wert lautet N/A, wenn der Benutzer nicht über einen Zugriffsschlüssel verfügt oder der Zugriffsschlüssel seit dem 22. April 2015, als IAM begonnen hat, das Alter des Zugriffsschlüssels zu registrieren, nicht verwendet worden ist.

So ermitteln Sie ungenutzte Zugriffsschlüssel (AWS CLI)

Führen Sie die folgenden Befehle aus, um ungenutzte Zugriffsschlüssel zu ermitteln:

• aws iam list-access-keys gibt Informationen zu den Zugriffsschlüssel eines Benutzers einschließlich AccessKeyID zurück.

• aws iam get-access-key-last-used nimmt eine Zugriffsschlüssel-ID und gibt eine Ausgabe zurück, die das LastUsedDate, die Region, in der der Zugriffsschlüssel zuletzt verwendet wurde, und den ServiceName des letzten angeforderten Services enthält. Wenn LastUsedDate fehlt, ist der Zugriffsschlüssel seit dem 22. April 2015 – der Termin, ab dem IAM das Alter von Zugriffsschlüsseln registriert – nicht verwendet worden.

Um ungenutzte Zugriffsschlüssel (AWS API) zu finden

Rufen Sie die folgenden Operationen auf, um ungenutzte Zugriffsschlüssel zu ermitteln:

• ListAccessKeys gibt eine Liste der AccessKeyID-Werte für die Zugriffsschlüssel zurück, die dem angegebenen Benutzer zugeordnet sind.

• GetAccessKeyLastUsed nimmt eine Zugriffsschlüssel-ID und gibt eine Zusammenstellung von Werten zurück. Darin sind das LastUsedDate, die Region, in der der Zugriffsschlüssel zuletzt verwendet wurde, und der ServiceName des zuletzt angeforderten Services enthalten. Wenn der Wert fehlt, hat entweder der Benutzer keinen Zugriffsschlüssel oder der Zugriffsschlüssel ist seit dem 22. April 2015 – der Termin, ab dem IAM das Alter von Zugriffsschlüsseln registriert – nicht verwendet worden.

Weitere Informationen über die Befehle zum Herunterladen des Berichts mit den Anmeldeinformationen finden Sie unter Abrufen von Berichten zu Anmeldeinformationen (AWS CLI).