Accesso temporaneo elevato

Ogni accesso al tuo Account AWS implica un certo livello di privilegio. Le operazioni sensibili, come la modifica della configurazione per una risorsa di alto valore, ad esempio un ambiente di produzione, richiedono un trattamento speciale a causa della portata e del potenziale impatto. L'accesso temporaneo elevato (noto anche come just-in-time accesso) è un modo per richiedere, approvare e tenere traccia dell'uso di un'autorizzazione per eseguire un'attività specifica in un periodo di tempo specificato. L'accesso temporaneo con privilegi elevati integra altre forme di controllo degli accessi, come i set di autorizzazioni e l'autenticazione a più fattori.

AWS IAM Identity Center offre le seguenti opzioni per la gestione temporanea degli accessi elevati in diversi ambienti aziendali e tecnici:

• Soluzioni gestite e supportate dai fornitori: AWS ha convalidato le integrazioni IAM Identity Center di offerte di partner selezionati e ne ha valutato le funzionalità rispetto a una serie comune di requisiti dei clienti. Scegli la soluzione più adatta al tuo scenario e segui le indicazioni del provider per abilitare la funzionalità con IAM Identity Center.

• Gestione e supporto automatici: questa opzione fornisce un punto di partenza se sei interessato a un accesso temporaneo elevato AWS solo a un utente e puoi implementare, personalizzare e mantenere la funzionalità da solo. Per ulteriori informazioni, consulta Temporary Elevated Access Management (TEAM).

Partner di AWS sicurezza convalidati per un accesso temporaneo elevato

AWS I partner di sicurezza utilizzano approcci diversi per soddisfare una serie comune di requisiti di accesso temporanei elevati. Ti consigliamo di esaminare attentamente ogni soluzione partner, in modo da poter scegliere quella più adatta alle tue esigenze e preferenze, tra cui la tua attività, l'architettura del tuo ambiente cloud e il tuo budget.

Nota

Per il disaster recovery, ti consigliamo di configurare l'accesso di emergenza a AWS Management Console prima che si verifichi un'interruzione.

AWS Identity ha convalidato le funzionalità e l'integrazione con IAM Identity Center per le seguenti just-in-time offerte dei partner di AWS sicurezza:

• CyberArk Secure Cloud Access— Parte delCyberArk Identity Security Platform, questa offerta fornisce un accesso elevato on-demand ad AWS ambienti multi-cloud. Le approvazioni vengono gestite tramite l'integrazione con ITSM o con strumenti. ChatOps Tutte le sessioni possono essere registrate per l'audit e la conformità.

• Tenable (previously Ermetic)— La Tenable piattaforma include la fornitura di just-in-time accessi privilegiati per le operazioni amministrative in ambienti AWS multi-cloud. I log delle sessioni di tutti gli ambienti cloud, inclusi i registri di AWS CloudTrail accesso, sono disponibili in un'unica interfaccia per l'analisi e l'audit. La funzionalità si integra con strumenti aziendali e di sviluppo come Slack e Microsoft Teams.

• OktaRichieste di accesso: parte di Okta Identity Governance, consente di configurare un flusso di lavoro di richiesta di just-in-time accesso utilizzando Okta un provider di identità (IdP) esterno di IAM Identity Center e i set di autorizzazioni IAM Identity Center.

Questo elenco verrà aggiornato per AWS convalidare le funzionalità di soluzioni partner aggiuntive e l'integrazione di tali soluzioni con IAM Identity Center.

Nota

Se utilizzi politiche basate sulle risorse, Amazon Elastic Kubernetes Service (Amazon EKS) o ( AWS Key Management Service Riferimento ai set di autorizzazioni nelle politiche delle risorse, Amazon EKS e AWS KMS)AWS KMS, consulta prima di scegliere la soluzione. just-in-time

Capacità di accesso temporaneo elevato valutate per la convalida dei partner AWS

AWS Identity ha verificato che le funzionalità di accesso temporaneo elevato offerte da e Access CyberArk Secure Cloud AccessRequests Tenablesoddisfano i Okta seguenti requisiti comuni dei clienti:

• Gli utenti possono richiedere l'accesso a un set di autorizzazioni per un periodo di tempo specificato dall'utente, specificando l' AWS account, il set di autorizzazioni, il periodo di tempo e il motivo.

• Gli utenti possono ricevere lo stato di approvazione per la loro richiesta.

• Gli utenti non possono richiamare una sessione con un determinato ambito, a meno che non esista una richiesta approvata con lo stesso ambito e non richiamino la sessione durante il periodo di tempo approvato.

• Esiste un modo per specificare chi può approvare le richieste.

• Gli approvatori non possono approvare le proprie richieste.

• Gli approvatori dispongono di un elenco di richieste in sospeso, approvate e rifiutate e possono esportarlo per i revisori.

• Gli approvatori possono approvare e rifiutare le richieste in sospeso.

• Gli approvatori possono aggiungere una nota che spiega la loro decisione.

• Gli approvatori possono revocare una richiesta approvata, impedendo l'uso futuro dell'accesso elevato.

  Nota

  Se un utente ha effettuato l'accesso con accesso elevato quando una richiesta approvata viene revocata, la sua sessione rimane attiva fino a un'ora dopo la revoca dell'approvazione. Per informazioni sulle sessioni di autenticazione, consulta. Autenticazione

• Le azioni e le approvazioni degli utenti sono disponibili per la verifica.