Zugriffsmodell für AWS Well-Architected Agent

AWS Well-Architected Agent verwendet kundenverwaltete IAM-Rollen anstelle von serviceverknüpften Rollen. Dieses Design gibt Ihnen die volle Kontrolle über die Berechtigungen, die AWS WA Agent in Ihrer Umgebung hat, und unterstützt die kontoübergreifenden Zugriffsmuster, die für die Infrastrukturanalyse mit mehreren Konten erforderlich sind.

Drei Prinzipale interagieren über IAM mit AWS WA Agent:

• Admin-Benutzer erstellen und verwalten Profile, definieren Umfang und Ziele, konfigurieren kontoübergreifenden Zugriff und stellen zusätzlichen Kundenkontext bereit. Admin-Benutzer benötigen Berechtigungen für Profilverwaltungsaktionen wie wellarchitected:CreateAgentProfile und wellarchitected:DeleteAgentProfile.

• Reguläre Benutzer greifen auf generierte Empfehlungen zu, aktualisieren den Empfehlungslebenszyklus (als abgeschlossen markieren oder unterdrücken) und geben Feedback. Reguläre Benutzer benötigen Berechtigungen für Aktionen wie wellarchitected:ListAgentRecommendations und wellarchitected:GetAgentRecommendation.

• AWS WA Agent greift als AWS-Service auf Ihre AWS-Infrastruktur (wie Konten, Ressourcen und Anwendungen) zu und versteht Kontext (wie Geschäftsziele), um Empfehlungen zu generieren. Dieser Zugriff wird über einen PassRole-Mechanismus implementiert, bei dem Sie Ihre eigenen IAM-Rollen erstellen und verwalten.

Ausführungsrollen

Wenn Sie ein Profil erstellen, übergeben Sie eine Ausführungsrolle an AWS WA Agent. Die Ausführungsrolle ist eine IAM-Rolle in demselben AWS-Konto wie das Profil. AWS WA Agent übernimmt diese Rolle, um die Ressourcenerkennung in Ihren konfigurierten Konten zu orchestrieren. Die Ausführungsrolle erfordert eine Vertrauensrichtlinie, die es dem wellarchitected.amazonaws.com-Service-Prinzipal erlaubt, sie zu übernehmen, sowie eine Berechtigungsrichtlinie, die sts:AssumeRole für die Zugriffsrollen in Ihren Zielkonten gewährt. AWS WA Agent führt während der Profilerstellung eine PassRole-Prüfung durch, um zu validieren, dass der Aufrufer berechtigt ist, die angegebene Rolle an den Service zu übergeben.

Kontoübergreifender Zugriff

AWS WA Agent verwendet IAM-Rollenverkettung, um auf Ressourcen in mehreren Konten zuzugreifen:

1. Administratorkonto (Profilkonto): Enthält das AWS WA Agent-Profil und die Ausführungsrolle. AWS WA Agent übernimmt die Ausführungsrolle in diesem Konto.

2. Zielkonten: Jedes Zielkonto enthält eine Zugriffsrolle, die von der Ausführungsrolle übernommen werden kann. Die Zugriffsrolle gewährt AWS WA Agent Leseberechtigungen zum Erkennen und Analysieren von Ressourcen.

3. Rollenkette: AWS WA Agent übernimmt die Ausführungsrolle, die dann die Zugriffsrolle in jedem Zielkonto übernimmt.

Jede Zugriffsrolle erfordert Folgendes:

• Eine Vertrauensrichtlinie, die es der Ausführungsrolle erlaubt, sie zu übernehmen.

• Die angehängte verwaltete Richtlinie WellArchitectedAgentResourceScanning (empfohlen) oder eine benutzerdefinierte Richtlinie, die nur auf die Aktionen beschränkt ist, die AWS WA Agent ausführen soll.

Verwenden Sie die folgende Vorlage für Vertrauensrichtlinien für Ihre Zugriffsrollen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::ProfileOwningAccountID:role/service-role/ExecutionRoleName"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Ersetzen Sie ProfileOwningAccountID durch die AWS-Konto-ID, unter der Ihr AWS WA Agent-Profil erstellt wird, und ExecutionRoleName durch den Namen der Ausführungsrolle. Wenn die AWS WA Agent-Konsole die Ausführungsrolle erstellt, platziert sie sie unter dem service-role/-Pfad. Bestätigen Sie den genauen ARN auf der Detailseite Ihres Profils. Das Onboarding erfolgt pro Konto per Opt-in. Weitere Informationen zum Einrichten von Rollen finden Sie unter Erste Schritte mit AWS Well-Architected Agent.

Verhinderung des Confused-Deputy-Problems

AWS WA Agent verwendet den Profil-ARN als externe ID in der Rollenübernahmekette und verhindert so, dass die Ausführungsrolle außerhalb des Kontexts ihres konfigurierten Profils verwendet wird. AWS WA Agent führt während der Profilerstellung außerdem eine PassRole-Prüfung durch, um zu validieren, dass der aufrufende Prinzipal berechtigt ist, die Ausführungsrolle an den Service zu übergeben.

Widerrufen des Zugriffs

Sie behalten jederzeit die volle Kontrolle über den Zugriff von AWS WA Agent. Entfernen Sie die Vertrauensrichtlinie aus einer Zugriffsrolle, löschen Sie eine Zugriffsrolle vollständig oder widerrufen Sie aktive Sitzungen, um die laufende Datenerfassung zu beenden. Wenn AWS WA Agent während der Empfehlungsgenerierung auf eine Berechtigungsverweigerung stößt, werden die Details in den Generierungsdatensätzen angezeigt.

Bewährte Methoden

Führen Sie AWS WA Agent-Profile von einer dedizierten AWS-Konto ohne Produktions-Workloads aus. Verwenden Sie den ARN der Ausführungsrolle (nicht den Root-Prinzipal) in Vertrauensrichtlinien für Zugriffsrollen. Überwachen Sie AWS CloudTrail auf AWS WA Agent-API-Aktivität. Überprüfen Sie regelmäßig die Berechtigungen von Zugriffsrollen und entfernen Sie Konten, die keine Analyse mehr benötigen.