Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Analisi delle policy IAM
Oltre alla policy delle chiavi e alle concessioni, puoi anche utilizzare le policy IAM per consentire l'accesso a una chiave KMS. Per ulteriori informazioni sull'utilizzo congiunto delle policy IAM e delle policy chiave, consulta Risoluzione dei problemi di accesso alla chiave.
Per determinare quali principali hanno attualmente accesso a una chiave KMS tramite le policy IAM, puoi utilizzare lo strumento Simulatore di policy IAM
Modi per esaminare le policy IAM
Analisi delle policy IAM con il simulatore di policy IAM
Il simulatore di policy IAM può aiutarti a scoprire i principali che possono accedere a una chiave KMS tramite una policy IAM.
Per utilizzare il simulatore di policy IAM per determinare l'accesso a una chiave KMS
-
Accedere alla AWS Management Console, quindi aprire il simulatore di policy IAM all'indirizzo https://policysim.aws.amazon.com/
. -
Nel riquadro Users, Groups, and Roles (Utenti, gruppi e ruoli), scegliere l'utente, il gruppo o il ruolo del quale si intende simulare le policy.
-
(Opzionale) Deseleziona la casella di controllo accanto a qualsiasi policy che desideri omettere dalla simulazione. Per simulare tutte le policy, lascia tutte le policy selezionate.
-
Nel riquadro Policy Simulator (Simulatore di policy), seguire la procedura riportata di seguito:
-
Per Select service (Seleziona servizio), scegliere Key Management Service.
-
Per simulare delle specifiche operazioni AWS KMS per Select actions (Seleziona operazioni), scegliere le operazioni da simulare. Per simulare tutte le operazioni AWS KMS, scegliere Select All (Seleziona tutto).
-
-
(Opzionale) Il simulatore di policy simula l'accesso a tutte le chiavi KMS per impostazione predefinita. Per simulare l'accesso a una determinata chiave KMS, scegli Impostazioni di simulazione, quindi digita l'Amazon Resource Name (ARN) della chiave KMS da simulare.
-
Scegliere Run Simulation (Esegui simulazione).
È possibile visualizzare i risultati della simulazione nella sezione Results (Risultati). Ripeti le fasi da 2 a 6 per ogni utente, gruppo e ruolo nell'Account AWS.
Analisi delle policy IAM con l'API IAM
È possibile utilizzare l'API IAM per esaminare le policy IAM a livello di codice. Le seguenti fasi forniscono una panoramica generale su come eseguire questa operazione:
-
Per ogni account Account AWS elencato come principale nella policy chiave (ovvero, ogni AWSaccount principal specificato in questo formato:
"Principal": {"AWS": "arn:aws:iam::111122223333:root"}
), utilizza ListRolesle operazioni ListUsersand nell'API IAM per inserire tutti gli utenti e i ruoli nell'account. -
Per ogni utente e ruolo nell'elenco, utilizza l'SimulatePrincipalPolicyoperazione nell'API IAM, passando i seguenti parametri:
-
Per
PolicySourceArn
specificare il nome ARN (Amazon Resource Name) di un utente o un ruolo dal tuo elenco. Puoi specificare un soloPolicySourceArn
per ogni richiestaSimulatePrincipalPolicy
, pertanto è necessario chiamare questa operazione più volte, una volta per ogni utente e ruolo nell'elenco. -
Per l'elenco
ActionNames
, specificare ogni operazione API AWS KMS da simulare. Per simulare tutte le operazioni API AWS KMS utilizzarekms:*
. Per testare singole operazioni API AWS KMS, precedere ciascuna operazione API da "kms:
", ad esempio, "kms:ListKeys
". Per un elenco completo delle operazioni API AWS KMS, consulta Azioni nella Documentazione di riferimento dell'API AWS Key Management Service. -
(Opzionale) Per determinare se gli utenti o i ruoli possono accedere a KMS specifiche, utilizza il parametro
ResourceArns
per specificare un elenco di nomi delle risorse Amazon (ARN) delle chiavi KMS. Per determinare se gli utenti o i ruoli possono accedere a una chiave KMS, ometti il parametroResourceArns
.
-
IAM risponde a ogni richiesta SimulatePrincipalPolicy
con una valutazione: allowed
, explicitDeny
o implicitDeny
. Per ogni tipo di risposta che contiene una valutazione allowed
, la risposta include il nome dell'operazione API AWS KMS specifica consentita Eventualmente, include l'ARN della chiave KMS usata nella valutazione.