Ejemplos de políticas basadas en identidad para Amazon Macie

De forma predeterminada, los usuarios y roles no tienen permiso para crear o modificar recursos de Macie. Tampoco pueden realizar tareas con las teclas AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS API. Para conceder a los usuarios permiso para realizar acciones en los recursos que necesitan, un IAM administrador puede crear IAM políticas. A continuación, el administrador puede añadir las IAM políticas a las funciones y los usuarios pueden asumir las funciones.

Para obtener información sobre cómo crear una política IAM basada en la identidad mediante estos documentos de JSON política de ejemplo, consulte Creación de IAM políticas en la Guía del IAMusuario.

Para obtener más información sobre las acciones y los tipos de recursos definidos por Macie, incluido el ARNs formato de cada uno de los tipos de recursos, consulte Acciones, recursos y claves de condición de Amazon Macie en la Referencia de autorización de servicio.

Al crear una política, asegúrese de resolver las advertencias de seguridad, los errores, las advertencias generales y las sugerencias de AWS Identity and Access Management Access Analyzer (IAMAccess Analyzer) antes de guardar la política. IAMAccess Analyzer comprueba las políticas para validarlas comparándolas con la gramática de las IAM políticas y las mejores prácticas. Estas verificaciones generan hallazgos y proporcionan recomendaciones procesables para ayudarlo a crear políticas funcionales y que se ajustan a las prácticas recomendadas de seguridad. Para obtener información sobre la validación de políticas mediante IAM Access Analyzer, consulte la validación de políticas de IAM Access Analyzer en la Guía del usuario. IAM Para ver una lista de las advertencias, errores y sugerencias que IAM Access Analyzer puede devolver, consulte la referencia de verificación de políticas de IAM Access Analyzer en la Guía del usuario. IAM

Prácticas recomendadas sobre las políticas

Las políticas basadas en identidades determinan si alguien puede crear, acceder o eliminar los recursos de Macie de la cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

• Comience con las políticas AWS administradas y avance hacia los permisos con privilegios mínimos: para empezar a conceder permisos a sus usuarios y cargas de trabajo, utilice las políticas AWS administradas que otorgan permisos en muchos casos de uso comunes. Están disponibles en su. Cuenta de AWS Le recomendamos que reduzca aún más los permisos definiendo políticas administradas por el AWS cliente que sean específicas para sus casos de uso. Para obtener más información, consulte las políticas AWS gestionadas o las políticas AWS gestionadas para las funciones laborales en la Guía del IAM usuario.

• Aplique permisos con privilegios mínimos: cuando establezca permisos con IAM políticas, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como permisos de privilegios mínimos. Para obtener más información sobre cómo IAM aplicar permisos, consulte Políticas y permisos IAM en la IAM Guía del usuario.

• Utilice las condiciones en IAM las políticas para restringir aún más el acceso: puede añadir una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de política para especificar que todas las solicitudes deben enviarse medianteSSL. También puedes usar condiciones para conceder el acceso a las acciones del servicio si se utilizan a través de una acción específica Servicio de AWS, como AWS CloudFormation. Para obtener más información, consulte los elementos IAM JSON de la política: Condición en la Guía del IAM usuario.

• Utilice IAM Access Analyzer para validar sus IAM políticas y garantizar permisos seguros y funcionales: IAM Access Analyzer valida las políticas nuevas y existentes para que se ajusten al lenguaje de las políticas (JSON) y IAM a las IAM mejores prácticas. IAMAccess Analyzer proporciona más de 100 comprobaciones de políticas y recomendaciones prácticas para ayudarle a crear políticas seguras y funcionales. Para obtener más información, consulte la validación de políticas de IAM Access Analyzer en la Guía del IAM usuario.

• Requerir autenticación multifactorial (MFA): si se encuentra en una situación en la que se requieren IAM usuarios o un usuario raíz Cuenta de AWS, actívela MFA para aumentar la seguridad. Para solicitarlo MFA cuando se convoque a API las operaciones, añada MFA condiciones a sus políticas. Para obtener más información, consulte Configuración del API acceso MFA protegido en la Guía del IAM usuario.

Para obtener más información sobre las prácticas recomendadasIAM, consulte las prácticas recomendadas de seguridad IAM en la Guía del IAM usuario.

Uso de la consola de Amazon Macie

Para acceder a la consola de Amazon Macie, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle enumerar y ver detalles sobre los recursos de Macie que tiene en su Cuenta de AWS cuenta. Si crea una política basada en identidades que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles) que tengan esa política.

No es necesario conceder permisos mínimos de consola a los usuarios que solo realicen llamadas al AWS CLI o al AWS API. En su lugar, permita el acceso únicamente a las acciones que coincidan con la API operación que están intentando realizar.

Para garantizar que los usuarios y los roles puedan usar la consola de Amazon Macie, cree IAM políticas que les proporcionen acceso a la consola. Para obtener más información, consulte Políticas y permisos IAM en la Guía del IAM usuario.

Si crea una política que permite a los usuarios o roles utilizar la consola de Amazon Macie, asegúrese de que la política permita la acción macie2:GetMacieSession. De lo contrario, esos usuarios o roles no podrán acceder a ningún recurso o dato de Macie en la consola.

Asegúrese también de que la política permita tomar las medidas macie2:List adecuadas en relación con los recursos a los que esos usuarios o roles necesitan acceder en la consola. De lo contrario, no podrán acceder a esos recursos ni mostrar detalles sobre ellos en la consola. Por ejemplo, para revisar los detalles de un trabajo de detección de datos confidenciales mediante la consola, el usuario debe poder realizar la acción macie2:DescribeClassificationJob correspondiente al trabajo y la acción macie2:ListClassificationJobs. Si a un usuario no se le permite realizar la acción macie2:ListClassificationJobs, no podrá mostrar una lista de trabajos en la página Trabajos de la consola y, por lo tanto, no podrá elegir el trabajo para mostrar sus detalles. Para que los detalles incluyan información sobre el identificador de datos personalizado que utiliza el trabajo, el usuario también debe poder realizar la acción macie2:BatchGetCustomDataIdentifiers correspondiente al identificador de datos personalizado.

Ejemplo: Permitir que los usuarios vean sus propios permisos

En este ejemplo se muestra cómo se puede crear una política que permita a IAM los usuarios ver las políticas integradas y administradas asociadas a su identidad de usuario. Esta política incluye permisos para completar esta acción en la consola o mediante programación mediante la tecla o. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Ejemplo: permitir a los usuarios crear trabajos de detección de datos confidenciales

En este ejemplo se muestra cómo podría crear una política que permita a un usuario crear trabajos de detección de datos confidenciales.

En el ejemplo, la primera sentencia concede permisos macie2:CreateClassificationJob al usuario. Estos permisos permiten al usuario crear trabajos. La declaración también concede permisos macie2:DescribeClassificationJob. Estos permisos permiten al usuario acceder a los detalles de los trabajos existentes. Si bien estos permisos no son necesarios para crear trabajos, el acceso a estos detalles puede ayudar al usuario a crear trabajos con ajustes de configuración únicos.

La segunda afirmación del ejemplo permite al usuario crear, configurar y revisar trabajos mediante la consola Amazon Macie. Los permisos macie2:ListClassificationJobs permiten al usuario mostrar los trabajos existentes en la página Trabajos de la consola. Todos los demás permisos de la declaración permiten al usuario configurar y crear un trabajo mediante las páginas Crear trabajo de la consola.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAndReviewJobs",
            "Effect": "Allow",
            "Action": [
                "macie2:CreateClassificationJob",
                "macie2:DescribeClassificationJob"
            ],
            "Resource": "arn:aws:macie2:*:*:classification-job/*"
        },
        {
            "Sid": "CreateAndReviewJobsOnConsole",
            "Effect": "Allow",
            "Action": [
                "macie2:ListClassificationJobs",
                "macie2:ListAllowLists",
                "macie2:ListCustomDataIdentifiers",
                "macie2:ListManagedDataIdentifiers",
                "macie2:SearchResources",
                "macie2:DescribeBuckets"
            ],
            "Resource": "*"
        }
    ]
}

Ejemplo: permitir a los usuarios administrar un trabajo de detección de datos confidenciales

En este ejemplo se muestra cómo podría crear una política que permita a un usuario tener acceso a los detalles de un trabajo de detección de información confidencial en particular, el trabajo cuyo identificador es 3ce05dbb7ec5505def334104bexample. El ejemplo también permite al usuario cambiar el estado del trabajo según sea necesario.

En el ejemplo, la primera instrucción concede permisos macie2:DescribeClassificationJob y macie2:UpdateClassificationJob al usuario. Estos permisos permiten al usuario recuperar los detalles del trabajo y cambiar su estado, respectivamente. La segunda instrucción otorga permisos macie2:ListClassificationJobs al usuario, lo que le permite acceder al trabajo mediante la página Trabajos de la consola de Amazon Macie.

{
   "Version": "2012-10-17",
   "Statement": [
	{
         "Sid": "ManageOneJob",
         "Effect": "Allow",
         "Action": [
            "macie2:DescribeClassificationJob",
            "macie2:UpdateClassificationJob"
         ],
         "Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample"
	},
	{
         "Sid": "ListJobsOnConsole",
         "Effect": "Allow",
         "Action": "macie2:ListClassificationJobs",
         "Resource": "*"
	}
   ]
}

También puedes permitir que el usuario acceda a los datos de registro (eventos de registro) que Macie publica en Amazon CloudWatch Logs para el trabajo. Para ello, puede añadir instrucciones que concedan permisos para realizar acciones de CloudWatch Logs (logs) en el grupo de registros y retransmitir el trabajo. Por ejemplo:

"Statement": [
    {
        "Sid": "AccessLogGroupForMacieJobs",
        "Effect": "Allow",
        "Action": [
            "logs:DescribeLogGroups",
            "logs:DescribeLogStreams"
        ],
        "Resource": "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs"
    },
    {
        "Sid": "AccessLogEventsForOneMacieJob",
        "Effect": "Allow",
        "Action": "logs:GetLogEvents",
        "Resource": [
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs/*",
            "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs:log-stream:3ce05dbb7ec5505def334104bexample"
        ]
    }
]

Para obtener información sobre la gestión del acceso a CloudWatch Logs, consulte Información general sobre la gestión de los permisos de acceso a sus recursos de CloudWatch Logs en la Guía del usuario de Amazon CloudWatch Logs.

Ejemplo: permitir a los usuarios revisar los resultados

En este ejemplo se muestra cómo crear una política que permita el acceso de un ususario a los datos de resultados.

En este ejemplo, los macie2:GetFindingStatistics permisos macie2:GetFindings y permiten al usuario recuperar los datos mediante Amazon Macie API o la consola Amazon Macie. Los permisos macie2:ListFindings permiten al usuario recuperar y revisar los datos mediante el panel Resumen y las páginas Resultados de la consola de Amazon Macie.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        }
    ]
}

También puede permitir que el usuario cree y administre reglas de filtrado y reglas de supresión para los resultados. Para ello, puede incluir una instrucción que conceda los siguientes permisos: macie2:CreateFindingsFilter, macie2:GetFindingsFilter, macie2:UpdateFindingsFilter, y macie2:DeleteFindingsFilter. Para permitir que el usuario administre las reglas mediante la consola de Amazon Macie, incluya también los permisos macie2:ListFindingsFilters en la política. Por ejemplo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewFindings",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindings",
                "macie2:GetFindingStatistics",
                "macie2:ListFindings"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ManageRules",
            "Effect": "Allow",
            "Action": [
                "macie2:GetFindingsFilter",
                "macie2:UpdateFindingsFilter",
                "macie2:CreateFindingsFilter",
                "macie2:DeleteFindingsFilter"
            ],
            "Resource": "arn:aws:macie2:*:*:findings-filter/*"
        },
        {
            "Sid": "ListRulesOnConsole",
            "Effect": "Allow",
            "Action": "macie2:ListFindingsFilters",
            "Resource": "*"
        }
    ]
}

Ejemplo: permitir a los usuarios revisar los identificadores de datos personalizados en función de las etiquetas

En la política basada en la identidad, puede utilizar condiciones para controlar el acceso a los recursos de Amazon Macie basados en etiquetas. En este ejemplo se muestra cómo puede crear una política que permita a un usuario revisar los identificadores de datos personalizados mediante la consola Amazon Macie o Amazon Macie. API Sin embargo, los permisos solo se conceden si la etiqueta Owner tiene el valor del nombre de usuario.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReviewCustomDataIdentifiersIfOwner",
            "Effect": "Allow",
            "Action": "macie2:GetCustomDataIdentifier",
            "Resource": "arn:aws:macie2:*:*:custom-data-identifier/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        },
        {
            "Sid": "ListCustomDataIdentifiersOnConsoleIfOwner",
            "Effect": "Allow",
            "Action": "macie2:ListCustomDataIdentifiers",
            "Resource": "*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

En este ejemplo, si un usuario que tiene el nombre de usuario richard-roe intenta revisar los detalles de un identificador de datos personalizado, el identificador de datos personalizado debe estar etiquetado Owner=richard-roe o owner=richard-roe. De lo contrario, se deniega el acceso al usuario. La clave de la etiqueta de condición Owner coincide con Owner y owner porque los nombres de clave de condición no distinguen entre mayúsculas y minúsculas. Para obtener más información, consulte los elementos IAM JSON de la política: Condición en la Guía del IAM usuario.