Configuración del Wiz complemento Amazon Q Developer

Wizes una plataforma de seguridad en la nube que proporciona gestión del estado de seguridad, evaluación y priorización de riesgos y gestión de vulnerabilidades. Si lo utiliza Wiz para evaluar y supervisar sus AWS aplicaciones, puede utilizar el complemento del chat de Amazon Q para acceder a la información Wiz sin salir del AWS Management Console.

Puede usar el complemento para identificar y recuperar Wiz problemas, evaluar sus activos más riesgosos y comprender las vulnerabilidades o exposiciones. Tras recibir una respuesta, puedes hacer preguntas de seguimiento, incluida la forma de solucionar un problema.

Para configurar el complemento, debe proporcionar las credenciales de autenticación de su Wiz cuenta para permitir una conexión entre Amazon Q yWiz. Después de configurar el complemento, puedes acceder a Wiz las métricas añadiéndolas @wiz al principio de la pregunta en el chat de Amazon Q.

aviso

WizEl Wiz complemento de Amazon Q. No detecta los permisos de usuario. Cuando un administrador configura el Wiz complemento en una AWS cuenta, los usuarios con permisos de complemento en esa cuenta tienen acceso a todos los recursos de la Wiz cuenta que pueda recuperar el complemento.

Puede configurar las políticas de IAM para restringir los complementos a los que tienen acceso los usuarios. Para obtener más información, consulte Configure los permisos de usuario.

Requisitos previos

Agregar permisos

Para configurar los complementos, se requieren los siguientes permisos de nivel de administrador:

• Permisos para acceder a la consola Amazon Q Developer. Para ver un ejemplo de política de IAM que concede los permisos necesarios, consultePermitir a los administradores utilizar la consola Amazon Q Developer.

• Permisos para configurar complementos. Para ver un ejemplo de política de IAM que concede los permisos necesarios, consultePermita que los administradores configuren los complementos.

Adquiera credenciales

Antes de empezar, anota la siguiente información de tu Wiz cuenta. Estas credenciales de autenticación se almacenarán en AWS Secrets Manager secreto al configurar el complemento.

• URL del punto final de la API: la URL a la que accedesWiz. Por ejemplo, https://api.us1.app.Wiz.io/graphql. Para obtener más información, consulta la URL del punto de conexión de la API en la Wiz documentación.

• ID de cliente y secreto de cliente: credenciales que permiten a Amazon Q llamar Wiz APIs para acceder a tu aplicación. Para obtener más información, consulte el identificador de cliente y el secreto del cliente en la Wiz documentación.

Secretos y funciones de servicio

AWS Secrets Manager secreto

Al configurar el complemento, Amazon Q crea un nuevo AWS Secrets Manager secreto para almacenar las credenciales de Wiz autenticación. Como alternativa, puede usar un secreto existente que haya creado usted mismo.

Si crea un secreto usted mismo, asegúrese de que incluya las siguientes credenciales y utilice el siguiente formato JSON:

{ 
   "ClientId": "<your-client-id>", 
   "ClientSecret": "<your-client-secret>"  
}

Para obtener más información sobre la creación de secretos, consulte Crear un secreto en la Guía del AWS Secrets Manager usuario.

Roles de servicio

Para configurar el Wiz complemento en Amazon Q Developer, debes crear un rol de servicio que dé permiso a Amazon Q para acceder a tu secreto de Secrets Manager. Amazon Q asume esta función para acceder al secreto en el que se almacenan sus Wiz credenciales.

Al configurar el complemento en la AWS consola, tiene la opción de crear un nuevo secreto o utilizar uno existente. Si creas un secreto nuevo, el rol de servicio asociado se crea automáticamente. Si utilizas un secreto existente y un rol de servicio existente, asegúrate de que tu rol de servicio contenga estos permisos y tenga adjunta la siguiente política de confianza. El rol de servicio necesario depende del método de cifrado secreto.

Si el secreto está cifrado con una clave de KMS AWS administrada, se requiere la siguiente función de servicio de IAM:

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:{{your-account-id}}:secret:[[secret-id]]"
            ]
        }
    ]
}

Mostrar másMostrar menos

Si el secreto está cifrado con una AWS KMS clave gestionada por el cliente, se requiere el siguiente rol de servicio de IAM:

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:{{accountId}}:secret:{{secretId}}"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:{{accountId}}:key/{{keyId}}",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "secretsmanager.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

Mostrar másMostrar menos

Para permitir que Amazon Q asuma la función de servicio, la función de servicio necesita la siguiente política de confianza:

nota

El prefijo codewhisperer es un nombre heredado de un servicio que se fusionó con Amazon Q Developer. Para obtener más información, consulte Cambio de nombres de Amazon Q Developer: resumen de cambios.

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "q.amazonaws.com"
      },
      "Action": ["sts:AssumeRole", "sts:SetContext"],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "{{accountId}}",
          "aws:SourceArn": "arn:aws:codewhisperer:{{region}}:{{accountId}}:profile/{{profileId}}"
        }
      }
    }
  ]
}

Mostrar másMostrar menos

Para obtener más información sobre las funciones de servicio, consulte Crear una función para delegar permisos a un AWS servicio en la Guía del AWS Identity and Access Management usuario.

Configura el Wiz complemento

Los complementos se configuran en la consola de Amazon Q Developer. Amazon Q utiliza las credenciales almacenadas en AWS Secrets Manager para permitir las interacciones conWiz.

Para configurar el Wiz complemento, complete el siguiente procedimiento:

1. Abre la consola Amazon Q Developer en https://console.aws.amazon.com/amazonq/developer/home

2. En la página de inicio de la consola Amazon Q Developer, selecciona Configuración.

3. En la barra de navegación, selecciona Plugins.

4. En la página de complementos, selecciona el signo más en el Wizpanel. Se abre la página de configuración del plugin.

5. En el caso de la URL del punto final de la API, introduzca la URL del punto final de la API al que accedeWiz.

6. AWS Secrets Manager En Configurar, selecciona Crear un secreto nuevo o Usar un secreto existente. El secreto de Secrets Manager es donde se guardarán tus credenciales de Wiz autenticación.

   Si crea un secreto nuevo, introduzca la siguiente información:

   1. En el campo ID de cliente, introduce el ID de cliente de tu Wiz cuenta.

   2. En Client Secret, introduce el Client Secret de tu Wiz cuenta.

   3. Se creará un rol de servicio que Amazon Q utilizará para acceder al secreto en el que están almacenadas tus Wiz credenciales. No edite el rol de servicio que se ha creado para usted.

   Si utilizas un secreto existente, elige uno en el menú desplegable de AWS Secrets Manager secretos. El secreto debe incluir las credenciales de Wiz autenticación especificadas en el paso anterior.

   Para obtener más información sobre las credenciales necesarias, consulte Adquiera credenciales .

7. En Configurar el rol de servicio de AWS IAM, elija Crear un nuevo rol de servicio o Usar el rol de servicio existente.

   nota

   Si ha elegido Crear un secreto nuevo en el paso 6, no podrá utilizar un rol de servicio existente. Se creará un nuevo rol para ti.

   Si crea una nueva función de servicio, se creará una función de servicio que Amazon Q utilizará para acceder al secreto en el que están almacenadas sus Wiz credenciales. No edite el rol de servicio que se ha creado para usted.

   Si usa un rol de servicio existente, elija un rol en el menú desplegable que aparece. Asegúrese de que su función de servicio tenga los permisos y la política de confianza definidos enRoles de servicio.

8. Seleccione Guardar configuración.

9. Cuando el panel de Wiz complementos aparezca en la sección de complementos configurados de la página de complementos, los usuarios tendrán acceso al complemento.

Si quieres actualizar las credenciales de un complemento, debes eliminar el complemento actual y configurar uno nuevo. Al eliminar un complemento, se eliminan todas las especificaciones anteriores. Cada vez que configura un nuevo complemento, se genera un nuevo ARN de complemento.

Configure los permisos de usuario

Para usar los complementos, se requieren los siguientes permisos:

• Permisos para chatear con Amazon Q en la consola. Para ver un ejemplo de política de IAM que concede los permisos necesarios para chatear, consultePermiso a los usuarios para chatear con Amazon Q.

• El permiso q:UsePlugin.

Cuando concedes acceso a una identidad de IAM a un Wiz complemento configurado, la identidad obtiene acceso a todos los recursos de la Wiz cuenta que pueda recuperar el complemento. WizEl complemento no detecta los permisos de usuario. Si desea controlar el acceso a un complemento, puede hacerlo especificando el ARN del complemento en una política de IAM.

Cada vez que se crea o se elimina y se vuelve a configurar un complemento, se le asigna un nuevo ARN. Si utilizas un ARN de complemento en una política, tendrás que actualizarlo si quieres conceder acceso al complemento recién configurado.

Para localizar el ARN del Wiz complemento, vaya a la página de complementos de la consola de desarrolladores de Amazon Q y elija el complemento configuradoWiz. En la página de detalles del plugin, copia el ARN del plugin. Puede añadir este ARN a una política para permitir o denegar el acceso al Wiz complemento.

Si crea una política para controlar el acceso a los Wiz complementos, especifique Wiz el proveedor del complemento en la política.

Para ver ejemplos de políticas de IAM que controlan el acceso a los complementos, consultePermite a los usuarios chatear con complementos de un proveedor.

Chatea con el complemento Wiz

Para usar el Wiz plugin Amazon Q, introduce @Wiz al principio una pregunta sobre tus Wiz problemas. También se deben incluir las preguntas de seguimiento o las respuestas a las preguntas de Amazon @Wiz Q.

A continuación, se muestran algunos ejemplos de casos de uso y preguntas asociadas que puedes hacer para aprovechar al máximo el Wiz complemento Amazon Q:

• Ver los problemas de gravedad crítica: solicite al Wiz complemento Amazon Q que enumere los problemas de gravedad grave o alta. El complemento puede devolver hasta 10 problemas. También puedes solicitar una lista de los 10 problemas más graves.

  • @wiz what are my critical severity issues?

  • @wiz can you specify the top 5?

• Enumere los problemas según la fecha o el estado: solicite enumerar los problemas según la fecha de creación, la fecha de vencimiento o la fecha de resolución. También puedes especificar los problemas en función de propiedades como el estado, la gravedad y el tipo.

  • @wiz which issues are due before <date>?

  • @wiz what are my issues that have been resolved since <date>?

• Evalúe los problemas relacionados con las vulnerabilidades de seguridad: pregunte acerca de las vulnerabilidades o exposiciones que representan una amenaza para la seguridad en sus problemas.

  • @wiz which issues are associated with vulnerabilities or external exposures?