موارد AWS القابلة للكشف

الهدف من هذا المستودع هو الحفاظ على قائمة بجميع موارد AWS التي يمكن كشفها للعامة، وفي النهاية، تلك التي يمكن مشاركتها مع حسابات غير موثوقة (هذا القسم لا يزال قيد التطوير وغير مدرج هنا بعد).

تُطبق المفاهيم التالية في هذه القائمة:

• الموارد التي يمكن كشفها بشكل غير مباشر من خلال مورد آخر غير مدرجة. على سبيل المثال، يمكن إرسال سجلات CloudTrail إلى حاوية S3 عامة، لكن الحاوية هي التي تم تكوينها بشكل خاطئ، لذا لا يتم إدراج CloudTrail كمورد يمكن جعله عامًا.
• قد تتطلب بعض الموارد تكوين عدة أشياء بطريقة معينة لاعتبارها عامة. على سبيل المثال، سر من أسرار Secrets Manager مشفر باستخدام KMS، ستحتاج إلى أن يكون كل من السر ومفتاح KMS عامين للوصول إلى السر. لأغراض هذه القائمة، أنا أنظر فقط إلى سياسة مورد السر. وبالمثل، بالنسبة لمجموعات ElasticSearch المُدارة، تحتاج إلى سياسة المورد للسماح بالوصول العام وأن يكون لها عنوان IP غير VPC. أنا أنظر فقط إلى سياسة المورد. بالنسبة لـ EC2، يمكنك إنشاء EC2 بعنوان IP عام، ولكن ربط مجموعة أمان مقيدة به قد تُفتح لاحقًا للسماح بالوصول العام. أرى أن إنشاء EC2 بعنوان IP عام هو الإجراء المهم، وليس تعديل مجموعة الأمان.

خريطة الطريق

أود أن يحتوي هذا المستودع في النهاية على ما يلي:

• أوامر CLI نموذجية لإنشاء مورد خاص وعام
• سجلات CloudTrail المرتبطة بهذين الحدثين حتى تتمكن من بناء واختبار حلول المراقبة. على سبيل المثال، يمكنك رؤية أحداث CloudTrail النموذجية لـ StreamAlert هنا
• استدعاءات Describe المرتبطة بالموارد لإظهار شكل هذه الموارد عندما تكون عامة. على سبيل المثال، يمكنك رؤية ردود JSON النموذجية في بيانات اختبار CloudMapper هنا.

الموارد التي يمكن جعلها عامة من خلال سياسات الموارد

مستودع ECR

الإجراءات:

• ecr set-repository-policy

Lambda

يسمح باستدعاء الوظيفة

الإجراءات:

• lambda add-permission

طبقة Lambda

الإجراءات:

• lambda add-layer-version-permission

مستودع تطبيقات Serverless

الإجراءات:

• serverlessrepo put-application-policy

Backup

الوثائق

الإجراءات:

• backup put-backup-vault-access-policy

EFS

TODO: بحاجة للتأكد من أن هذا يمكن مشاركته مع حسابات أخرى. بعض صياغة الوثائق تجعلني أعتقد أن هذا قد يكون قابلاً للمشاركة فقط مع المبادئ داخل الحساب.

الإجراءات:

• efs put-file-system-policy

Glacier

الإجراءات:

• glacier set-vault-access-policy

S3

يمكن أن تكون حاويات S3 عامة من خلال السياسات و ACL. يمكن أن تكون كائنات S3 عامة من خلال ACL. يمكن تعيين ACL عند إنشاء الحاوية أو الكائن.

الإجراءات:

• s3api create-bucket
• s3api put-bucket-policy
• s3api put-bucket-acl
• s3api put-object
• s3api put-object-acl

دور IAM

الإجراءات:

• iam create-role
• iam update-assume-role-policy

مفاتيح KMS

الإجراءات:

• kms create-key
• kms create-grant
• kms put-key-policy

مدير الأسرار

الإجراءات:

• secretsmanager put-resource-policy

سجلات CloudWatch

الإجراءات:

• logs put-resource-policy
• logs put-destination-policy

EventBridge

يسمح فقط بإرسال البيانات إلى حساب

الإجراءات:

• events put-permission

MediaStore

الوثائق

الإجراءات:

• mediastore put-container-policy

ElasticSearch

الإجراءات:

• es create-elasticsearch-domain
• es update-elasticsearch-domain-config

Glue

الإجراءات:

• glue put-resource-policy

SNS

الإجراءات:

• sns create-topic
• sns add-permission

SQS

الإجراءات:

• sqs create-queue
• sqs add-permission

SES

الوثائق

الإجراءات:

• ses put-identity-policy

الموارد التي يمكن جعلها عامة من خلال واجهات برمجة التطبيقات للمشاركة

AMI

الإجراءات:

• ec2 modify-image-attribute

صورة FPGA

الإجراءات:

• ec2 modify-fpga-image-attribute

لقطة EBS

الإجراءات:

• ec2 modify-snapshot-attribute

لقطة RDS

الإجراءات:

• rds modify-db-snapshot

لقطة مجموعة قواعد بيانات RDS

الإجراءات:

• rds modify-db-cluster-snapshot-attribute

الموارد التي يمكن جعلها عامة من خلال الوصول إلى الشبكة

API Gateway

هناك سياسات موارد مرتبطة (انظر هنا) قد تجعل هذا شيئًا ينبغي أن يكون في فئات متعددة؟

الإجراءات:

• apigateway create-rest-api
• apigateway update-rest-api
• apigateway create-api

CloudFront

الإجراءات:

• cloudfront create-distribution
• cloudfront create-distribution-with-tags

Redshift

الإجراءات:

• redshift create-cluster
• redshift modify-cluster

RDS

الإجراءات:

• rds create-db-instance
• rds modify-db-instance

EC2

الإجراءات:

• ec2 run-instances
• ec2 run-scheduled-instances

عنوان IP المرن

الإجراءات:

• ec2 allocate-address

ECS

الإجراءات:

• ecs create-service
• ecs update-service
• ecs create-task-set
• ecs update-task-set

Global Accelerator

الإجراءات:

• globalaccelerator create-accelerator

ELB

الإجراءات:

• elb create-load-balancer
• elbv2 create-load-balancer

Lightsail

الإجراءات:

• lightsail allocate-static-ip
• lightsail create-distribution
• lightsail create-relational-database
• lightsail update-relational-database
• lightsail create-load-balancer
• lightsail create-instances

Neptune

الإجراءات:

• neptune create-db-instance

ElasticCache

الإجراءات:

• elasticache create-cache-cluster

EMR

الإجراءات:

• emr create-cluster