Politiche e autorizzazioni in AWS Identity and Access Management

Gestione dell'accesso in AWS mediante la creazione di policy e il relativo collegamento a IAM identità (utenti, gruppi di utenti o ruoli) o AWS risorse. Una policy è un oggetto in AWS che, se associato a un'identità o risorsa, ne definisce le relative autorizzazioni. AWS valuta queste policy quando un IAM principale (utente o ruolo) effettua una richiesta. Le autorizzazioni nelle policy determinano l'approvazione o il rifiuto della richiesta. La maggior parte delle policy viene archiviata in AWS sotto forma di JSON documenti. AWS supporta sette tipi di policy: le policy basate sulle risorse, i limiti delle autorizzazioni, le policy di Organizations (), le policy di controllo delle risorse di Organizations (), le policy di controllo delle risorse di Organizations ()SCPs, le liste di controllo accessi () e le policy di controllo accessi (RCPs) e le policy di sessione. ACLs

IAMLe policy definiscono le autorizzazioni relative a un'operazione, indipendentemente dal metodo utilizzato per eseguirla. Ad esempio, se un criterio consente l'GetUserazione, un utente con tale criterio può ottenere informazioni sull'utente dal AWS Management Console AWS CLI, dal o dal AWS API. Nella creazione di un IAM utente, è possibile scegliere di consentire l'accesso programmatico o alla console. Se è consentito l'accesso alla console, l'IAMutente può accedere alla console con le proprie credenziali di accesso. Se è consentito l'accesso programmatico, l'utente può utilizzare le chiavi di accesso per utilizzare l'CLI. API

Tipi di policy

I tipi di policy elencati di seguito in ordine da quello utilizzato più frequentemente a quello meno frequentemente sono disponibili per l'uso in AWS. Per ulteriori informazioni, consulta le sezioni seguenti per ogni tipo di policy.

• Criteri basati sull'identità: associa politiche gestite e in linea alle IAM identità (utenti, gruppi a cui appartengono gli utenti o ruoli). Le policy basate su identità concedono le autorizzazioni a un'identità.

• Policy basate sulle risorse: collegano le policy in linea alle risorse. Gli esempi più comuni di policy basate su risorse sono le policy dei bucket Amazon S3 e le policy di attendibilità dei ruoli. IAM Le policy basate su risorse concedono le autorizzazioni a un'identità principale specificata nella policy. Le entità principali possono essere nello stesso account della risorsa o in altri account.

• Limiti delle autorizzazioni: utilizza una policy gestita come limite delle autorizzazioni per un'entità (utente o ruolo). IAM Questa policy definisce il numero massimo di autorizzazioni che la policy basata su identità può concedere a un'entità, ma non concede autorizzazioni. I limiti delle autorizzazioni non definiscono il numero massimo di autorizzazioni che una policy basata su risorse può concedere a un'entità.

• Organizations SCPs: utilizza una policy di controllo dei AWS Organizations servizi (SCP) per definire il numero massimo di autorizzazioni per IAM utenti e IAM ruoli all'interno degli account nella tua organizzazione o unità organizzativa (UO). SCPsLimita le autorizzazioni che le policy basate su identità o le policy basate su risorse concedono agli utenti o ai ruoli all'IAMinterno dell'account. IAM SCPsnon concedere autorizzazioni.

• Organizations RCPs: utilizza una policy di controllo AWS Organizations delle risorse (RCP) per definire il numero massimo di autorizzazioni per le risorse all'interno degli account nella tua organizzazione o unità organizzativa (UO). RCPsLimiti le autorizzazioni che le policy basate su identità e le policy basate su risorse possono concedere alle risorse negli account all'interno dell'organizzazione. RCPsnon concedere autorizzazioni.

• Liste di controllo accessi (ACLs): ACLs consentono di controllare quali entità principali in altri account possono accedere alla risorsa a cui ACL è collegata. ACLssono simili alle policy basate su risorse, anche se sono l'unico tipo di policy che non utilizza la struttura del documento di JSON policy. ACLssono politiche di autorizzazione per più account che concedono autorizzazioni al principale specificato. ACLsnon possono concedere autorizzazioni a entità all'interno dello stesso account.

• Policy di sessione: è possibile passare una policy di sessione avanzata quando si utilizza AWS CLI o AWS API per assumere un ruolo o un utente federato. Le policy di sessione limitano le autorizzazioni che le policy basate su identità dell'utente o del ruolo concedono alla sessione. Le policy di sessione limitano le autorizzazioni per una sessione creata, ma non possono concedere autorizzazioni. Per ulteriori informazioni, consulta la sezione relativa alle policy di sessione.

Policy basate su identità

Le policy basate su identità sono documenti di policy di JSON autorizzazione che controllano quali operazioni un'identità (utenti, gruppi di utenti e ruoli) può eseguire, su quali risorse e in quali condizioni. Le policy basate su identità possono essere ulteriormente suddivise:

• Policy gestite: le policy autonome basate sulle identità che possono essere collegate a più utenti, gruppi o ruoli nel tuo. Account AWS Sono disponibili due tipi di policy gestite.

  • AWS Policy gestite da: le policy gestite che sono create e gestite da AWS.

  • Policy gestite dal cliente: le policy gestite che sono create e gestite nel tuo Account AWS. Le policy gestite dal cliente forniscono un controllo più preciso rispetto AWS a quelle gestite da.

• Policy in linea: le policy che vengono aggiunte direttamente a un singolo utente, gruppo o ruolo. Le policy in linea sono utili per mantenere una stretta one-to-one relazione tra una policy e un'identità. Vengono eliminate quando elimini l'identità.

Per informazioni su come scegliere tra una policy gestita o una policy in linea, consulta Scelta fra policy gestite e policy inline.

Policy basate su risorse

Le policy basate su risorse sono documenti di JSON policy che colleghi a una risorsa come un bucket Amazon S3. Queste policy concedono all'entità principale specificata l'autorizzazione per eseguire operazioni specifiche sulla risorsa e definiscono le condizioni in cui ciò si applica. Le policy basate su risorse sono policy inline. Non esistono policy basate su risorse gestite.

Per consentire l'accesso a più account, è possibile specificare un intero account o IAM entità in un altro account come entità principale in una policy basata su risorse. L'aggiunta di un principale multi-account a una policy basata sulle risorse rappresenta solo una parte della relazione di trust. Quando l'entità principale e la risorsa sono in separati Account AWS, è necessario usare anche una policy basata su identità per concedere all'identità principale l'accesso alla risorsa. Tuttavia, se una policy basata su risorse concede l'accesso a un principale nello stesso account, non sono richieste ulteriori policy basate su identità. Per istruzioni dettagliate sulla concessione dell'accesso tra servizi, consulta IAMtutorial: Delega l'accesso tra AWS account tramite i ruoli IAM.

Il IAM servizio supporta solo un tipo di policy basata su risorse detta policy di attendibilità del ruolo, collegata a un ruolo. IAM Un IAM ruolo è sia un'identità che una risorsa che supporta le policy basate sulle risorse. Per questo motivo, è necessario collegare sia una policy di attendibilità sia una policy basata su identità a un ruolo. IAM Le policy di attendibilità definiscono quali entità principali (account, utenti, ruoli e utenti federati) possono assumere il ruolo. Per capire in che modo IAM i ruoli si differenziano da altre policy basate su risorse, consulta. Accesso alle risorse su più account in IAM

Per scoprire quali altri servizi supportano le policy basate su risorse, consulta AWS servizi che funzionano con IAM. Per ulteriori informazioni sulle policy basate su risorse, consulta la pagina Policy basate sulle identità e policy basate su risorse. Per capire se i principali negli account esterni alla zona di attendibilità (organizzazione o account attendibile) dispongono dell'accesso per assumere i ruoli, consulta Cos'è IAM Access Analyzer? .

IAMLimiti delle autorizzazioni

Un limite delle autorizzazioni è una funzione avanzata nella quale si imposta il numero massimo di autorizzazioni che una policy basata su identità può concedere a un'entità. IAM Quando si imposta un limite delle autorizzazioni per un'entità, l'entità può eseguire solo le operazioni consentite dalle sue policy basate su identità e dai suoi limiti delle autorizzazioni. Se si specifica una sessione di ruolo o un utente nell'elemento principale di una policy basata su risorse, non è necessario un consenso esplicito nel limite delle autorizzazioni. Tuttavia, se si specifica un ruolo ARN nell'elemento principale di una policy basata su risorse, è necessario un consenso esplicito nel limite delle autorizzazioni. In entrambi i casi, è valida una negazione esplicita del limite di autorizzazione. Un rifiuto esplicito in una qualsiasi di queste policy sostituisce l'autorizzazione. Per ulteriori informazioni sui limiti delle autorizzazioni, consultare Limiti delle autorizzazioni per le entità IAM.

Policy di controllo dei servizi SCPs

Se si abilitano tutte le caratteristiche in un'organizzazione, è possibile applicare le policy di controllo dei servizi (SCPs) a uno o tutti i propri account. SCPssono JSON policy che specificano il numero massimo di autorizzazioni per IAM utenti e IAM ruoli all'interno degli account di un'organizzazione o un'unità organizzativa (UO). SCPLimiti le autorizzazioni per i principali negli account membri, compreso ogni. Utente root dell'account AWS Un rifiuto esplicito in una qualsiasi di queste policy sostituisce l'autorizzazione in altre policy.

Per ulteriori informazioni su Organizations andSCPs, vedere Service control policies (SCPs) nella Guida per l'AWS Organizations utente.

Politiche di controllo delle risorse dell'organizzazione (RCPs)

Se si abilitano tutte le caratteristiche in un'organizzazione, è possibile utilizzare le policy di controllo delle risorse (RCPs) per applicare centralmente i controlli accessi alle risorse su più risorse Account AWS. RCPssono JSON policy che consentono di impostare le autorizzazioni massime disponibili per le risorse nei tuoi account senza aggiornare le IAM policy collegate a ciascuna risorsa di tua proprietà. RCPLimita le autorizzazioni per le risorse negli account membri e può influire sulle autorizzazioni valide per le identità, tra cui Utente root dell'account AWS, indipendentemente dal fatto che appartengano o meno alla tua organizzazione. Un rifiuto esplicito in qualsiasi opzione applicabile ha la precedenza su un'RCPautorizzazione contenuta in altre politiche che potrebbero essere associate a singole identità o risorse.

Per ulteriori informazioni su Organizations e per RCPs includere un elenco di Servizi AWS tale supportoRCPs, vedere Resource control policies (RCPs) nella Guida per l'AWS Organizations utente.

Liste di controllo degli accessi (ACLs)

Le liste di controllo degli accessi (ACLs) sono politiche di servizio che consentono di controllare quali responsabili di un altro account possono accedere a una risorsa. ACLsnon possono essere utilizzate per controllare l'accesso di un principale all'interno dello stesso account. ACLssono simili alle policy basate su risorse, anche se sono l'unico tipo di policy che non utilizza il formato del documento di JSON policy. Amazon S3 e Amazon VPC sono esempi di servizi che supportano. AWS WAF ACLs Per ulteriori informazioniACLs, consulta Panoramica della sintassi ACL della/e policy di accesso nella Guida per gli sviluppatori di Amazon Simple Storage Service.

Policy di sessione

Le policy di sessione sono policy avanzate che si passano come parametro quando si crea in modo programmatico una sessione temporanea per un ruolo o un utente federato. Le autorizzazioni per una sessione sono l'intersezione delle policy basate su identità per l'IAMentità (utente o ruolo) utilizzate per creare la sessione e delle policy di sessione. Le autorizzazioni possono anche provenire da una policy basata su risorse. Un rifiuto esplicito in una qualsiasi di queste policy sostituisce l'autorizzazione.

È possibile creare una sessione di ruolo e passare le politiche di sessione a livello di codice utilizzando le operazioni, o. AssumeRole AssumeRoleWithSAML AssumeRoleWithWebIdentity API Puoi passare un singolo documento della policy di sessione in JSON linea utilizzando il Policy parametro. Puoi utilizzare il parametro PolicyArns per specificare fino a 10 policy di sessione gestite. Per ulteriori informazioni sulla creazione di una sessione del ruolo, consulta Autorizzazioni per credenziali di sicurezza temporanee.

Quando crei una sessione per l'utente federato, utilizzi le chiavi di accesso dell'IAMutente per chiamare l'operazione in modo programmatico. GetFederationToken API È inoltre necessario passare policy di sessione. Le autorizzazioni della sessione risultanti sono l'intersezione tra la policy basata su identità e la policy di sessione. Per ulteriori informazioni sulla creazione di una sessione per l'utente federato, consulta Richiesta di credenziali tramite un broker di identità personalizzato.

Una policy basata su risorse è in grado ARN di specificare l'utente o il ruolo principale. In questo caso, le autorizzazioni della policy basata sulle risorse vengono aggiunte alla policy basata su identità dell'utente o del ruolo prima che la sessione venga creata. La policy di sessione limita le autorizzazioni totali concesse dalla policy basata sulle risorse e dalla policy basata su identità. Le autorizzazioni della sessione risultante sono l'intersezione delle policy di sessione e della policy basata sulle risorse più l'intersezione delle policy di sessione e delle policy basate su identità.

Una policy basata su risorse è in grado di specificare l'entità ARN della sessione come principale. In questo caso, le autorizzazioni della policy basata sulle risorse vengono aggiunte dopo che la sessione viene creata. Le autorizzazioni della policy basate sulle risorse non sono limitate dalla policy di sessione. La sessione risultante dispone di tutte le autorizzazioni della policy basata sulle risorse più l'intersezione della policy basata su identità e della policy di sessione.

Un limite delle autorizzazioni è in grado di impostare il numero massimo di autorizzazioni per un utente o un ruolo che viene utilizzato per creare una sessione. In tal caso, le autorizzazioni della sessione risultante sono l'intersezione della policy di sessione, il limite delle autorizzazioni e la policy basata su identità. Tuttavia, un limite delle autorizzazioni non restringe le autorizzazioni concesse da una policy basata su risorse che specifica la sessione risultante. ARN

Policy e utente root

Utente root dell'account AWS È interessato da alcuni tipi di policy ma non da altri. Non è possibile collegare policy basate su identità all'utente root e non è possibile impostare il limite delle autorizzazioni per questo utente. Tuttavia, è possibile specificare l'utente root come principale in una policy basata su risorse o un'. ACL Un utente root è ancora membro di un account. Se l'account è membro di un'organizzazione in AWS Organizations, l'utente root è interessato da SCPs e RCPs per l'account.

Panoramica delle policy JSON

La maggior parte delle policy viene archiviata in AWS sotto forma di JSON documenti. Le politiche basate sull'identità e le politiche utilizzate per impostare i limiti delle autorizzazioni sono documenti di JSON policy allegati a un utente o a un ruolo. Le policy basate su risorse sono documenti di JSON policy che colleghi a una risorsa. SCPse RCPs sono documenti di JSON policy con sintassi limitata collegati alla root dell'organizzazione, all'unità organizzativa (UO) o a un account. AWS Organizations ACLssono anche collegati a una risorsa, ma è necessario utilizzare una sintassi diversa. Le politiche di sessione sono JSON politiche fornite quando si assume un ruolo o una sessione utente federata.

Non è necessario che tu comprenda la JSON sintassi. È possibile utilizzare l'editor visivo in AWS Management Console per creare e modificare le policy gestite dal cliente senza mai utilizzarleJSON. Tuttavia, se utilizzi politiche in linea per gruppi o politiche complesse, devi comunque creare e modificare tali politiche nell'JSONeditor utilizzando la console. Per ulteriori informazioni sull'uso dell'editor grafico, consultare Definisci IAM autorizzazioni personalizzate con policy gestite dal cliente e Modifica IAM le politiche.

Quando crei o si modifichi una JSON policy, IAM può eseguire la convalida della policy per facilitare la creazione di una policy efficace. IAMidentifica gli errori di JSON sintassi, mentre IAM Access Analyzer fornisce ulteriori controlli delle policy con suggerimenti che consentono di perfezionare ulteriormente le policy. Per ulteriori informazioni sulla convalida delle policy, consulta IAMconvalida delle politiche. Per ulteriori informazioni sui controlli di policy di IAM Access Analyzer e sui suggerimenti utili, consulta Convalida delle policy di IAMAccess Analyzer.

JSONstruttura dei documenti politici

Come illustrato nella figura riportata di seguito, un documento di JSON policy include questi elementi:

• Informazioni opzionali sulla policy nella parte superiore del documento

• Una o più istruzioni singole

Ogni istruzione include informazioni su una singola autorizzazione. Se una politica include più dichiarazioni, AWS applica una logica a OR tutte le istruzioni durante la valutazione. Se a una richiesta si applicano più politiche, AWS applica una logica a OR tutte quelle politiche durante la valutazione.

Le informazioni di un'istruzione sono contenute all'interno di una serie di elementi.

• Version: specifica la versione del linguaggio di policy che desideri utilizzare. Consigliamo di utilizzare la versione 2012-10-17 più recente. Per ulteriori informazioni, consulta IAMJSONelementi politici: Version

• Statement: utilizza questo elemento principale della policy come container per i seguenti elementi. Puoi includere più istruzioni in una policy.

• Sid (facoltativo): includi un ID istruzione opzionale per distinguere le varie istruzioni.

• Effect: utilizza Allow o Deny per indicare se la policy consente l'accesso o lo rifiuta.

• Principal(obbligatorio in alcune circostanze): se crei una policy basata sulle risorse, devi indicare l'account, l'utente, il ruolo o l'utente federato a cui desideri consentire o rifiutare l'accesso. Nella creazione di una policy di IAM autorizzazioni da collegare a un utente o un ruolo, non è possibile includere questo elemento. L'entità principale è implicita come l'utente o il ruolo.

• Action: includi un elenco delle operazioni consentite o rifiutate dalla policy.

• Resource(Obbligatorio in alcune circostanze): se crei una policy di IAM autorizzazioni, devi specificare un elenco di risorse a cui si applicano le operazioni. Se crei una politica basata sulle risorse, dipende dalla risorsa che stai utilizzando se questo elemento è obbligatorio o meno.

• Condition (facoltativo): specifica le circostanze in base alle quali la policy concede l'autorizzazione.

Per informazioni su questi e altri elementi di policy più avanzati, consulta IAMJSONriferimento all'elemento della politica.

Istruzioni e policy multiple

Per definire più di un'autorizzazione per un'entità (utente o ruolo), puoi utilizzare più istruzioni in una singola policy. Puoi anche collegare più policy. Se tenti di definire più autorizzazioni in un'unica istruzione, la policy potrebbe non concedere l'accesso come previsto. Ti consigliamo di suddividere le policy in base al tipo di risorsa.

A causa delle dimensioni limitate delle policy, può essere necessario utilizzare più policy per le autorizzazioni più complesse. È inoltre consigliabile creare raggruppamenti funzionali di autorizzazioni in una policy gestita dal cliente separata. Ad esempio, crea una policy per la gestione IAM degli utenti, una per la gestione automatica e un'altra per la gestione dei bucket S3. Indipendentemente dalla combinazione di più dichiarazioni e più politiche, AWS valuta le tue politiche allo stesso modo.

Ad esempio, la policy seguente include tre istruzioni, ciascuna delle quali definisce un set di autorizzazioni separato all'interno di un unico account. Le istruzioni definiscono quanto segue:

• La prima istruzione, con un Sid (ID istruzione) di FirstStatement, consente all'utente con la policy collegata di modificare la propria password. In questa istruzione l'elemento Resource è * (che significa "tutte le risorse"). Ma in pratica, l'ChangePasswordAPIoperazione (o il change-password CLI comando equivalente) influisce solo sulla password dell'utente che effettua la richiesta.

• La seconda istruzione consente all'utente di elencare tutti i bucket Amazon S3 del proprio Account AWS. In questa istruzione l'elemento Resource è "*" (che significa "tutte le risorse"). Tuttavia, poiché le policy non concedono l'accesso alle risorse di altri account, l'utente può elencare solo i bucket del proprio Account AWS.

• La terza istruzione consente all'utente di elencare e recuperare qualsiasi oggetto contenuto in un bucket denominatoamzn-s3-demo-bucket-confidential-data, ma solo quando l'utente è autenticato con l'autenticazione a più fattori (). MFA L'Conditionelemento della policy impone l'autenticazione. MFA

  Quando un'istruzione della policy contiene un elemento Condition, l'istruzione risulta valida solo se per l'elemento Condition viene restituito un valore True. In questo caso, Condition restituisce true quando l'utente è MFA autenticato. Se l'utente non è MFA autenticato, il risultato è falso. Condition In tal caso, la terza istruzione della policy non è applicabile e l'utente non può accedere al bucket amzn-s3-demo-bucket-confidential-data.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FirstStatement",
      "Effect": "Allow",
      "Action": ["iam:ChangePassword"],
      "Resource": "*"
    },
    {
      "Sid": "SecondStatement",
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Sid": "ThirdStatement",
      "Effect": "Allow",
      "Action": [
        "s3:List*",
        "s3:Get*"
      ],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket-confidential-data",
        "arn:aws:s3:::amzn-s3-demo-bucket-confidential-data/*"
      ],
      "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
    }
  ]
}

Esempi di sintassi di JSON policy

La policy basata sulle identità riportata di seguito consente all'entità principale implicita di elencare un singolo bucket Amazon S3 denominato amzn-s3-demo-bucket:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "s3:ListBucket",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket"
  }
}

La policy basata su risorse riportata di seguito può essere collegata a un bucket Amazon S3. La policy consente ai membri di un specifico di Account AWS eseguire qualsiasi operazione Amazon S3 nel bucket denominato. amzn-s3-demo-bucket Consente qualsiasi operazione che possa essere eseguita su un bucket o sugli oggetti in esso contenuti. Poiché la policy concede la fiducia solo agli account, i singoli utenti dell'account dovranno comunque ricevere le autorizzazioni per le operazioni Amazon S3 specificate.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "1",
    "Effect": "Allow",
    "Principal": {"AWS": ["arn:aws:iam::account-id:root"]},
    "Action": "s3:*",
    "Resource": [
      "arn:aws:s3:::amzn-s3-demo-bucket",
      "arn:aws:s3:::amzn-s3-demo-bucket/*"
    ]
  }]
}

Per alcuni esempi di policy per scenari comuni, consulta Esempi di policy basate su identità IAM.

Grant least privilege

Quando crei IAM le policy, segui i consigli di sicurezza standard sulla concessione di privilegi minimi o sulla concessione delle sole autorizzazioni richieste per eseguire un'attività. Determina i compiti di utenti e ruoli, quindi crea policy che consentono loro di eseguire solo tali attività.

Inizia con un set di autorizzazioni minimo e concedi autorizzazioni aggiuntive quando necessario. Questo è più sicuro che iniziare con autorizzazioni che siano troppo permissive e cercare di limitarle in un secondo momento.

In alternativa al minimo privilegio, puoi usare le autorizzazioni di policy gestite da AWS o policy con carattere jolly * per iniziare a utilizzare le policy. Considera il rischio per la sicurezza di concedere ai principali più autorizzazioni di quelle necessarie per svolgere il proprio lavoro. Monitora tali principali per sapere quali autorizzazioni stanno utilizzando. Quindi scrivi le policy con il privilegio minimo.

IAMfornisce diverse opzioni che consentono di perfezionare le autorizzazioni concesse.

• Informazioni sui raggruppamenti a livello di accesso: puoi utilizzare i raggruppamenti a livello di accesso per comprendere il livello di accesso concesso da una policy. Le operazioni delle policy sono classificate come List, Read, Write, Permissions management o Tagging. Ad esempio, è possibile selezionare operazioni dai livelli di accesso List e Read per concedere accesso in sola lettura agli utenti. Per ulteriori informazioni su come utilizzare i riepiloghi delle policy per comprendere le autorizzazioni a livello di accesso, consultare Livelli di accesso nei riepiloghi delle policy.

• Convalida le policy: puoi eseguire la convalida delle policy utilizzando IAM Access Analyzer quando crei e modifichi le policy. JSON Consigliamo di rivedere e convalidare tutte le policy esistenti. IAMAccess Analyzer fornisce oltre 100 controlli delle policy per convalidare le policy. Genera avvisi di sicurezza quando una istruzione nella tua policy consente l'accesso che consideriamo eccessivamente permissivo. È possibile utilizzare i suggerimenti utili forniti tramite gli avvisi di sicurezza mentre si lavora per concedere il minimo privilegio. Per ulteriori informazioni sui controlli delle policy di IAM Access Analyzer, consulta Convalida delle policy di IAM Access Analyzer.

• Genera una policy basata sull'attività di accesso: per ottimizzare le autorizzazioni concesse, puoi generare una IAM policy basata sull'attività di accesso per un'IAMentità (utente o ruolo). IAMAccess Analyzer AWS CloudTrail verifica i log e genera un modello di policy che contiene le autorizzazioni utilizzate dall'entità nell'intervallo di date specificato. È possibile utilizzare il modello per creare una policy gestita con autorizzazioni granulari e quindi collegarla al ruolo. IAM In questo modo, si concedono solo le autorizzazioni necessarie all'utente o al ruolo per interagire con AWS le risorse per il caso d'uso specifico. Per ulteriori informazioni, consulta Generazione di policy di IAM Access Analyzer.

• Utilizza informazioni sull'ultimo accesso: un'altra funzionalità che può aiutarti con il minimo privilegio èInformazioni sull'ultimo accesso. Visualizza queste informazioni nella scheda Consulente accessi nella pagina dei dettagli della IAM console per un IAM utente, un gruppo, un ruolo o una policy. Le informazioni sull'ultimo accesso includono anche informazioni sulle azioni a cui si è effettuato l'ultimo accesso per alcuni servizi, ad esempio Amazon EC2IAM, Lambda e Amazon S3. Se accedi utilizzando le credenziali dell'account di AWS Organizations gestione, puoi visualizzare le informazioni relative all'ultimo accesso al servizio nella AWS Organizationssezione della IAM console. Inoltre, puoi utilizzare AWS CLI o AWS API per recuperare un report per i dati sull'ultimo accesso al servizio per entità o policy in IAM o Organizations. Puoi utilizzare queste informazioni per identificare le autorizzazioni non necessarie, in modo da perfezionare le policy o IAM Organizations per aderire meglio al principio del privilegio minimo. Per ulteriori informazioni, consulta Perfeziona le autorizzazioni AWS utilizzando le informazioni dell'ultimo accesso.

• Revisione degli eventi di account in AWS CloudTrail: per ridurre ulteriormente le autorizzazioni, puoi visualizzare gli eventi dell'account in AWS CloudTrail Event history (Cronologia eventi). CloudTrail I log eventi includono informazioni dettagliate sugli eventi che possono essere utilizzate per ridurre le autorizzazioni della policy. I log includono solo le operazioni e le risorse richieste IAM dalle entità. Per ulteriori informazioni, vedere Visualizzazione CloudTrail degli eventi nella CloudTrail console nella Guida per l'AWS CloudTrail utente.

Per ulteriori informazioni, consulta i seguenti argomenti di policy per singoli servizi, che forniscono esempi di come scrivere policy per le risorse specifiche del servizio.

• Utilizzo di politiche basate sulle risorse per DynamoDB nell'Amazon DynamoDB Developer Guide

• Policy Bucket per Amazon S3 nella Guida per l'utente di Amazon Simple Storage Service

• Panoramica di Access Control List (ACL) nella Guida per l'utente di Amazon Simple Storage Service