iam-policy-no-statements-with-admin-access

Memeriksa jika AWS Kebijakan Identity and Access Management (IAM) yang Anda buat memiliki pernyataan Izinkan yang memberikan izin untuk semua tindakan di semua sumber daya. Aturannya adalah NON _ COMPLIANT jika ada pernyataan IAM kebijakan yang dikelola pelanggan yang menyertakan “Effect”: “Allow” with “Action”: “*” over “Resource”: “*”.

catatan

Aturan ini hanya mengevaluasi kebijakan yang dikelola pelanggan. Aturan ini NOT mengevaluasi kebijakan sebaris atau AWS kebijakan terkelola. Untuk informasi selengkapnya tentang perbedaannya, lihat Kebijakan terkelola dan kebijakan sebaris di Panduan IAM Pengguna.

Kebijakan berikut adalah NON _COMPLIANT:

"Statement": [
{
"Sid": "VisualEditor",
"Effect": "Allow",
"Action": "*",
"Resource": "*"
}

Kebijakan berikut adalahCOMPLIANT:

"Statement": [
{
"Sid": "VisualEditor",
"Effect": "Allow",
"Action": "service:*",
"Resource": "*"
}

Pengidentifikasi: IAM _ POLICY _TIDAK_ _ _ STATEMENTS WITH ADMIN ACCESS

Jenis Sumber Daya: AWS::IAM::Policy

Jenis pemicu: Perubahan konfigurasi

Wilayah AWS: Semua didukung AWS daerah

Parameter:

excludePermissionBoundaryKebijakan (Opsional)

Jenis: boolean

Boolean flag untuk mengecualikan evaluasi IAM kebijakan yang digunakan sebagai batas izin. Jika disetel ke 'true', aturan tidak akan menyertakan batas izin dalam evaluasi. Jika tidak, semua IAM kebijakan dalam lingkup dievaluasi ketika nilai disetel ke 'false.' Nilai default adalah 'salah'.

AWS CloudFormation templat

Untuk membuat AWS Config aturan terkelola dengan AWS CloudFormation template, lihatMembuat AturanAWS Config Terkelola DenganAWS CloudFormation Template.