Berechtigungen für die IAM Rolle, der zugewiesen wurde AWS Config

Mit einer IAM Rolle können Sie eine Reihe von Berechtigungen definieren. AWS Config nimmt die Rolle an, die Sie ihr zuweisen, um in Ihren S3-Bucket zu schreiben, zu Ihrem SNS Thema zu veröffentlichen und Anfragen zu stellen Describe oder List API Anfragen zum Abrufen von Konfigurationsdetails für Ihr AWS Ressourcen schätzen. Weitere Informationen zu IAM Rollen finden Sie unter IAMRollen im IAMBenutzerhandbuch.

Wenn Sie das verwenden AWS Config Konsole, um eine IAM Rolle zu erstellen oder zu aktualisieren, AWS Config fügt automatisch die erforderlichen Berechtigungen für Sie hinzu. Weitere Informationen finden Sie unter Einrichten AWS Config mit der Konsole.

Inhalt

• Erstellen von IAM-Rollenrichtlinien
  • Hinzufügen einer IAM Vertrauensrichtlinie zu Ihrer Rolle
  • IAMRollenrichtlinie für Ihren S3-Bucket
  • IAMRollenrichtlinie für KMS Key
  • IAMRollenrichtlinie für Amazon SNS Topic
  • IAMRollenrichtlinie für das Abrufen von Konfigurationsdetails
• Verwaltung von Berechtigungen für die S3-Bucket-Aufzeichnung

Erstellen von IAM-Rollenrichtlinien

Wenn Sie das verwenden AWS Config Konsole, um eine IAM Rolle zu erstellen, AWS Config ordnet der Rolle automatisch die erforderlichen Berechtigungen für Sie zu.

Wenn Sie das verwenden AWS CLI zum Einrichten AWS Config Wenn Sie eine bestehende IAM Rolle aktualisieren, müssen Sie die Richtlinie manuell aktualisieren, um Folgendes zuzulassen AWS Config um auf Ihren S3-Bucket zuzugreifen, in Ihrem SNS Thema zu veröffentlichen und Konfigurationsdetails zu Ihren Ressourcen abzurufen.

Hinzufügen einer IAM Vertrauensrichtlinie zu Ihrer Rolle

Sie können eine IAM Vertrauensrichtlinie erstellen, die Folgendes ermöglicht AWS Config um eine Rolle anzunehmen und sie zur Nachverfolgung Ihrer Ressourcen zu verwenden. Weitere Informationen zu Vertrauensrichtlinien finden Sie im IAMBenutzerhandbuch unter Begriffe und Konzepte für Rollen.

Im Folgenden finden Sie ein Beispiel für eine Vertrauensrichtlinie für AWS Config Rollen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "config.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": { 
        "StringEquals": {
          "AWS:SourceAccount": "sourceAccountID"
        }
      }
    }
  ]
}

Sie können die AWS:SourceAccount Bedingung in der obigen IAM Rollenvertrauensbeziehung verwenden, um den Config-Dienstprinzipal darauf zu beschränken, nur mit dem zu interagieren AWS IAMRolle bei der Ausführung von Vorgängen im Namen bestimmter Konten.

AWS Config unterstützt auch die AWS:SourceArn Bedingung, die den Config-Dienstprinzipal darauf beschränkt, die IAM Rolle nur zu übernehmen, wenn er Operationen im Namen des Eigentümerkontos ausführt. Bei der Verwendung von AWS Config Service Principal: Die AWS:SourceArn Eigenschaft wird immer auf die Region gesetzt, arn:aws:config:sourceRegion:sourceAccountID:* in der sourceRegion sich der Konfigurationsrekorder befindet. Dabei sourceAccountID handelt es sich um die ID des Kontos, das den Konfigurationsrekorder enthält. Weitere Informationen finden Sie unter AWS Config Configuration Recorder finden Sie unter Verwaltung des Configuration Recorders. Fügen Sie beispielsweise die folgende Bedingung hinzu, beschränken Sie den Config-Dienstprinzipal so, dass er die IAM Rolle nur im Namen eines Konfigurationsrekorders in der us-east-1 Region des Kontos übernimmt123456789012:"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}.

IAMRollenrichtlinie für Ihren S3-Bucket

Das folgende Beispiel für Richtlinienzuschüsse AWS Config Erlaubnis, auf Ihren S3-Bucket zuzugreifen:

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource":[
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/AWSLogs/myAccountID/*"
      ],
      "Condition":{
        "StringLike":{
          "s3:x-amz-acl":"bucket-owner-full-control"
        }
      }
    },
    {
      "Effect":"Allow",
      "Action":[
        "s3:GetBucketAcl"
      ],
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    }
  ]
}

IAMRollenrichtlinie für KMS Key

Das folgende Beispiel für Richtlinienzuschüsse AWS Config Erlaubnis zur Verwendung der KMS basierten Verschlüsselung für neue Objekte für die S3-Bucket-Lieferung:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "myKMSKeyARN"
        }
    ]
}

IAMRollenrichtlinie für Amazon SNS Topic

Das folgende Beispiel für eine Richtlinie gewährt AWS Config Erlaubnis, auf Ihr SNS Thema zuzugreifen:

{
  "Version": "2012-10-17",
  "Statement": 
   [
     {
      "Effect":"Allow",
      "Action":"sns:Publish",
      "Resource":"mySNStopicARN"
     }
    ]
}

Wenn Ihr SNS Thema verschlüsselt ist, finden Sie weitere Anweisungen zur Einrichtung unter Konfiguration AWS KMS Berechtigungen im Amazon Simple Notification Service Developer Guide.

IAMRollenrichtlinie für das Abrufen von Konfigurationsdetails

Um deine aufzuzeichnen AWS Ressourcenkonfigurationen, AWS Config benötigt IAM Berechtigungen, um die Konfigurationsdetails zu Ihren Ressourcen abzurufen.

Verwenden Sie die AWS verwaltete Richtlinie AWS_ConfigRoleund fügen Sie sie der IAM Rolle hinzu, der Sie sie zuweisen AWS Config. AWS aktualisiert diese Richtlinie jedes Mal AWS Config fügt Unterstützung für ein hinzu AWS Ressourcentyp, was bedeutet AWS Config verfügt weiterhin über die erforderlichen Berechtigungen zum Abrufen von Konfigurationsdetails, solange der Rolle diese verwaltete Richtlinie zugewiesen ist.

Wenn Sie eine Rolle mit der Konsole erstellen oder aktualisieren, AWS Config hängt das AWS_ConfigRolefür Sie an.

Wenn Sie das AWS CLI, verwenden Sie den attach-role-policy Befehl und geben Sie den Amazon-Ressourcennamen (ARN) an für AWS_ConfigRole:

$ aws iam attach-role-policy --role-name myConfigRole --policy-arn arn:aws:iam::aws:policy/service-role/AWS_ConfigRole

Verwaltung von Berechtigungen für die S3-Bucket-Aufzeichnung

AWS Config zeichnet Benachrichtigungen auf und sendet Benachrichtigungen, wenn ein S3-Bucket erstellt, aktualisiert oder gelöscht wird.

Es wird empfohlen, eine der folgenden Optionen zu verwenden AWSServiceRoleForConfig (siehe Verwenden von dienstverknüpften Rollen für AWS Config) oder eine benutzerdefinierte IAM Rolle, die die AWS_ConfigRole verwaltete Richtlinie verwendet. Weitere Informationen zu bewährten Methoden für die Konfigurationsaufzeichnung finden Sie unter AWS Config Bewährte Methoden.

Wenn Sie Berechtigungen auf Objektebene für Ihre Bucket-Aufzeichnung verwalten müssen, stellen config.amazonaws.com Sie sicher, dass in der S3-Bucket-Richtlinie Folgendes angegeben ist ( AWS Config Zugriff auf alle S3-bezogenen Berechtigungen aus der AWS_ConfigRole verwalteten Richtlinie. Weitere Informationen finden Sie unter Berechtigungen für den Amazon-S3-Bucket.