Trova credenziali inutilizzate AWS

Per aumentare la sicurezza del tuo account Account AWS, rimuovi le credenziali utente IAM (ovvero password e chiavi di accesso) che non sono necessarie. Ad esempio, quando gli utenti lasciano l'organizzazione o non hanno più bisogno di AWS accedervi, trovate le credenziali che stavano utilizzando e assicuratevi che non siano più operative. La soluzione ideale consiste nell'eliminare tutte le credenziali inutilizzate. Se l'utente dovesse averne bisogno in un secondo momento, potrai sempre ricrearle. Come minimo, dovresti modificare la password o disattivare le chiavi di accesso, per impedire l'accesso agli ex utenti.

Ovviamente, la definizione di inutilizzata è abbastanza ambigua, ma in genere si intende che una credenziale non è stata utilizzata per un determinato periodo di tempo.

Ricerca di password inutilizzate

Puoi utilizzarli AWS Management Console per visualizzare le informazioni sull'utilizzo delle password per i tuoi utenti. Se il numero di utenti è elevato, puoi utilizzare la console per scaricare un report delle credenziali, con informazioni sui tempi di utilizzo delle password della console. Puoi anche accedere alle informazioni dall'API AWS CLI o dall'API IAM.

Per individuare le password inutilizzate (console)

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione, seleziona Utenti.

3. Se necessario, aggiungere la colonna Console last sign-in (Ultimo accesso alla console) nella tabella degli utenti:

   1. Sopra la tabella all'estrema destra, selezionare l'icona delle impostazioni ( ).

   2. In Select visible columns (Seleziona colonne visibili), seleziona Console last sign-in (Ultimo accesso alla console).

   3. Seleziona Confirm (Conferma) per tornare all'elenco degli utenti.

4. La colonna dell'ultimo accesso alla console mostra la data dell'ultimo accesso dell'utente AWS tramite la console. Mediante queste informazioni puoi trovare gli utenti le cui password non sono state utilizzate per un determinato periodo di tempo. La colonna mostra Never (Mai) per gli utenti che non hanno mai usato le password per accedere. None (Nessuna) indica gli utenti senza password. Le password non utilizzate di recente potrebbero essere candidate ideali per la rimozione.

   Importante

   A causa di un problema di servizio, i dati sull'ultimo utilizzo della password non includono il periodo compreso fra le 22.50 (PDT) del 3 maggio 2018 e le 14.08 (PDT) del 23 maggio 2018. Ciò influisce sulle date dell'ultimo accesso mostrate nella console IAM e sulle date dell'ultimo utilizzo della password nel rapporto sulle credenziali IAM e restituite dall'GetUser operazione API. Se un utente ha effettuato l'accesso durante il periodo interessato, l'ultima data di utilizzo di password visualizzata sarà quella relativa all'ultimo utilizzo prima del 3 maggio 2018. Per gli utenti che hanno effettuato l'accesso dopo le 14.08 PDT del 23 maggio 2018, la data indicata sarà accurata.

   Se utilizzi le informazioni relative all'ultima password utilizzata per identificare le credenziali non utilizzate da eliminare, ad esempio per eliminare gli utenti che non hanno effettuato l'accesso AWS negli ultimi 90 giorni, ti consigliamo di modificare la finestra di valutazione per includere date successive al 23 maggio 2018. In alternativa, se gli utenti utilizzano le chiavi di accesso per accedere a AWS livello di codice, è possibile fare riferimento alle ultime informazioni utilizzate sulla chiave di accesso, poiché sono accurate per tutte le date.

Per trovare le password inutilizzate scaricando il report delle credenziali (console)

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione, selezionare Credential report (Rapporto credenziali).

3. Selezionare Download Report (Scarica report) per scaricare un file CSV denominato status_reports_<date>T<time>.csv. La quinta colonna contiene la colonna password_last_used con le date o uno dei seguenti messaggi:

   • N/D: utenti a cui non è stata assegnata una password.

   • no_information: gli utenti che non hanno utilizzato la propria password da quando IAM ha iniziato a monitorarne l'utilizzo (20 ottobre 2014).

Per trovare le password inutilizzate (AWS CLI)

Per individuare le password non utilizzate, seguire il comando seguente:

• aws iam list-users restituisce un elenco di utenti, ciascuno con un valore PasswordLastUsed. Se il valore è mancante, l'utente non ha una password oppure la password non è stata utilizzata da quando IAM ha iniziato a monitorarne l'utilizzo (20 ottobre 2014).

Per trovare le password (AWS API) non utilizzate

Per individuare le password non utilizzate, richiamare la seguente operazione:

• ListUsers restituisce una raccolta di utenti, ciascuno delle quali ha un valore <PasswordLastUsed>. Se il valore è mancante, l'utente non ha una password oppure la password non è stata utilizzata da quando IAM ha iniziato a monitorarne l'utilizzo (20 ottobre 2014).

Per informazioni sui comandi per scaricare il report delle credenziali, consultare Recupero dei report delle credenziali (AWS CLI).

Ricerca di chiavi di accesso inutilizzate

Puoi utilizzare il AWS Management Console per visualizzare le informazioni sull'utilizzo delle chiavi di accesso per i tuoi utenti. Se il numero di utenti è elevato, puoi utilizzare la console per scaricare un report delle credenziali per sapere quando gli utenti hanno utilizzato le loro chiavi di accesso. Puoi anche accedere alle informazioni dall'API AWS CLI o dall'API IAM.

Per trovare le chiavi di accesso inutilizzate (console)

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione, seleziona Utenti.

3. Se necessario, aggiungere la colonna Access key last used (Ultimo utilizzo chiave di accesso) nella tabella degli utenti:

   1. Sopra la tabella all'estrema destra, selezionare l'icona delle impostazioni ( ).

   2. In Select visible columns (Seleziona colonne visibili), seleziona Access key last used (Ultima chiave d'accesso utilizzata).

   3. Seleziona Confirm (Conferma) per tornare all'elenco degli utenti.

4. La colonna Ultima chiave di accesso utilizzata mostra il numero di giorni trascorsi dall'ultimo accesso dell'utente a livello di AWS programmazione. Mediante queste informazioni puoi trovare le chiavi di accesso che non sono state utilizzate per un determinato periodo di tempo. Per gli utenti senza chiavi di accesso nella colonna è riportato –. Le chiavi di accesso non utilizzate di recente potrebbero essere candidate ideali per la rimozione.

Per trovare le chiavi di accesso inutilizzate scaricando il report delle credenziali (console)

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione, selezionare Credential Report (Rapporto credenziali).

3. Selezionare Download Report (Scarica report) per scaricare un file CSV denominato status_reports_<date>T<time>.csv. Le colonne da 11 a 13 contengono la data di ultimo utilizzo, la regione e le informazioni di servizio per la chiave di accesso 1. Le colonne da 16 a 18 contengono le stesse informazioni per la chiave di accesso 2. Il valore è N/D se l'utente non dispone di una chiave di accesso o se non l'ha utilizzata da quando IAM ha iniziato a monitorarne l'utilizzo (22 aprile 2015).

Per trovare le chiavi di accesso inutilizzate (AWS CLI)

Per individuare le chiavi di accesso non utilizzate, eseguire i comandi seguenti:

• aws iam list-access-keys restituisce informazioni sulle chiavi di accesso di un utente, tra cui AccessKeyID.

• aws iam get-access-key-last-used prende un ID chiave di accesso e restituisce informazioni, tra cui LastUsedDate, Region in cui la chiave di accesso è stata utilizzata e il ServiceName dell'ultimo servizio richiesto. Se LastUsedDate è mancante, la chiave di accesso non è stata utilizzata da quando IAM ha iniziato a monitorarne l'utilizzo (22 aprile 2015).

Per trovare chiavi di accesso (AWS API) non utilizzate

Per individuare le chiavi di accesso non utilizzate, richiamare le seguenti operazioni:

• ListAccessKeys restituisce un elenco di AccessKeyID valori per le chiavi di accesso associati all'utente specificato.

• GetAccessKeyLastUsed prende un ID chiave di accesso e restituisce una raccolta di valori. Sono incluse LastUsedDate, Region in cui la chiave di accesso è stato utilizzato e ServiceName dell'ultimo servizio richiesto. Se il valore è mancante, l'utente non dispone di una chiave di accesso oppure non l'ha utilizzata da quando IAM ha iniziato a monitorarne l'utilizzo (22 aprile 2015).

Per informazioni sui comandi per scaricare il report delle credenziali, consultare Recupero dei report delle credenziali (AWS CLI).