brew tap salesforce/policy_sentry https://github.com/salesforce/policy_sentry
brew install policy_sentry

pip3 install --user policy_sentry

eval "$(_POLICY_SENTRY_COMPLETE=bash_source policy_sentry)"

eval "$(_POLICY_SENTRY_COMPLETE=zsh_source policy_sentry)"

policy_sentry create-template --output-file crud.yml --template-type crud

mode: crud
name: ''
# Specify resource ARNs
read:
- ''
write:
- ''
list:
- ''
tagging:
- ''
permissions-management:
- ''
# Actions that do not support resource constraints
wildcard-only:
  single-actions: # standalone actions
  - ''
  # Service-wide - like 's3' or 'ec2'
  service-read:
  - ''
  service-write:
  - ''
  service-list:
  - ''
  service-tagging:
  - ''
  service-permissions-management:
  - ''
# Skip resource constraint requirements by listing actions here.
skip-resource-constraints:
- ''
# Exclude actions from the output by specifying them here. Accepts wildcards, like kms:Delete*
exclude-actions:
- ''
# If this policy needs to include an AssumeRole action
sts:
  assume-role:
    - ''
  assume-role-with-saml:
    - ''
  assume-role-with-web-identity:
    - ''

mode: crud
read:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
write:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
list:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
tagging:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'
permissions-management:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'

policy_sentry write-policy --input-file crud.yml

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SsmReadParameter",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:GetParameterHistory",
                "ssm:GetParameters",
                "ssm:GetParametersByPath",
                "ssm:ListTagsForResource"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
            ]
        },
        {
            "Sid": "SsmWriteParameter",
            "Effect": "Allow",
            "Action": [
                "ssm:DeleteParameter",
                "ssm:DeleteParameters",
                "ssm:LabelParameterVersion",
                "ssm:PutParameter"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
            ]
        },
        {
            "Sid": "SecretsmanagerPermissionsmanagementSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DeleteResourcePolicy",
                "secretsmanager:PutResourcePolicy"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
            ]
        },
        {
            "Sid": "SecretsmanagerTaggingSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:TagResource",
                "secretsmanager:UntagResource"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
            ]
        }
    ]
}

# قم بإنشاء القوالب أولاً!!! بهذه الطريقة يمكنك فقط لصق القيم التي تحتاجها بدلاً من تذكر تنسيق YAML
# وضع CRUD
policy_sentry create-template --output-file tmp.yml --template-type crud
# وضع الإجراءات
policy_sentry create-template --output-file tmp.yml --template-type actions

# كتابة سياسة بناءً على مستويات الوصول الخاصة بالموارد
policy_sentry write-policy --input-file examples/yml/crud.yml

# كتابة سياسة بناءً على قائمة الإجراءات
policy_sentry write-policy --input-file examples/yml/actions.yml

###############
# جدول الإجراءات
###############
# ملاحظة: استخدم --fmt yaml أو --fmt json لتغيير تنسيق الإخراج. الإعداد الافتراضي هو json للاستعلام

# الحصول على قائمة بالإجراءات التي لا تدعم قيود الموارد
policy_sentry query action-table --service s3 --resource-type "*" --fmt yaml

# الحصول على قائمة بالإجراءات على مستوى "Write" في S3 التي لا تدعم قيود الموارد
policy_sentry query action-table --service s3 --access-level write --resource-type "*" --fmt yaml

# الحصول على قائمة بجميع إجراءات IAM عبر جميع الخدمات التي لها وصول "إدارة الصلاحيات"
policy_sentry query action-table --service all --access-level permissions-management

# الحصول على قائمة بجميع إجراءات IAM المتاحة لخدمة RAM
policy_sentry query action-table --service ram

# الحصول على تفاصيل حول إجراء IAM `ram:TagResource`
policy_sentry query action-table --service ram --name tagresource

# الحصول على قائمة بجميع إجراءات IAM ضمن خدمة RAM التي لها مستوى وصول إدارة الصلاحيات.
policy_sentry query action-table --service ram --access-level permissions-management

# الحصول على قائمة بجميع إجراءات IAM ضمن خدمة SES التي تدعم مفتاح الشرط `ses:FeedbackAddress`.
policy_sentry query action-table --service ses --condition ses:FeedbackAddress

###########
# جدول ARN
###########

# الحصول على قائمة بجميع تنسيقات ARN الأولية المتاحة من خلال خدمة SSM.
policy_sentry query arn-table --service ssm

# الحصول على تنسيق ARN الأولي لـ `cloud9` ARN بالاسم المختصر `environment`
policy_sentry query arn-table --service cloud9 --name environment

# الحصول على أزواج المفتاح/القيمة لجميع تنسيقات ARN الأولية بالإضافة إلى أسمائها المختصرة
policy_sentry query arn-table --service cloud9 --list-arn-types

######################
# جدول مفاتيح الشروط
######################

# الحصول على قائمة بجميع مفاتيح الشروط المتاحة لخدمة Cloud9
policy_sentry query condition-table --service cloud9

# الحصول على تفاصيل حول مفتاح الشرط المسمى `cloud9:Permissions`
policy_sentry query condition-table --service cloud9 --name cloud9:Permissions

# تهيئة مجلد تكوين policy_sentry وإنشاء جداول قاعدة بيانات IAM.
policy_sentry initialize

# جلب أحدث إصدار من وثائق AWS لتتمكن من تجربة الخدمات الجديدة.
policy_sentry initialize --fetch

# تجاوز مستويات الوصول عن طريق تحديد مستويات الوصول الخاصة بك (مثال: تصحيح مستويات إدارة الصلاحيات)
policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/overrides-resource-policies.yml

policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/access-level-overrides.yml

from policy_sentry.querying.actions import get_actions_for_service


def example():
    actions = get_actions_for_service('cloud9')  # ثم يمكنك استخدام أي طريقة تتطلب الوصول إلى قاعدة البيانات.
    for action in actions:
        print(action)

if __name__ == '__main__':
    example()

cloud9:CreateEnvironmentEC2
cloud9:CreateEnvironmentMembership
cloud9:DeleteEnvironment
cloud9:DeleteEnvironmentMembership
cloud9:DescribeEnvironmentMemberships
cloud9:DescribeEnvironmentStatus
cloud9:DescribeEnvironments
cloud9:GetUserSettings
cloud9:ListEnvironments
cloud9:ListTagsForResource
cloud9:TagResource
cloud9:UntagResource
cloud9:UpdateEnvironment
cloud9:UpdateEnvironmentMembership
cloud9:UpdateUserSettings

docker build -t kmcquade/policy_sentry .

# أوامر أساسية بدون وسائط
docker run -i --rm kmcquade/policy_sentry:latest "--help"
docker run -i --rm kmcquade/policy_sentry:latest "query"

# استعلام قاعدة البيانات
docker run -i --rm kmcquade/policy_sentry:latest "query action-table --service all --access-level permissions-management"

# كتابة السياسات عن طريق تمرير التكوين عبر STDIN
cat examples/yml/crud.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"

cat examples/yml/actions.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"