salesforce/policy_sentryErstellt AWS-IAM-Richtlinien mit minimalen Berechtigungen basierend auf Ressourcen-ARNs und Zugriffsebenen und automatisiert so die sichere Richtlinienerstellung für die Cloud-Infrastruktur.
IAM Least Privilege Policy Generator.
Für ausführliche Anleitungen und vollständige Dokumentation besuchen Sie bitte das Projekt auf ReadTheDocs.
Lesen Sie den Salesforce Engineering Blog Post über Policy Sentry.
Das manuelle Erstellen sicherheitsbewusster IAM-Richtlinien kann sehr mühsam und ineffizient sein. Viele Infrastructure-as-Code-Entwickler haben so etwas schon erlebt:
Ein solcher Prozess ist weder für die Sicherheit noch für Infrastructure-as-Code-Entwickler ideal. Wir müssen das sichere Schreiben von IAM-Richtlinien erleichtern und die Komplexität der Erstellung von Least-Privilege-IAM-Richtlinien abstrahieren. Deshalb habe ich dieses Tool entwickelt.
Policy Sentry ermöglicht es Benutzern, in Sekundenschnelle Least-Privilege-IAM-Richtlinien zu erstellen, anstatt IAM-Richtlinien mühsam von Hand zu schreiben. Diese Richtlinien werden je nach Zugriffsebenen und Ressourcen eingeschränkt. Im Falle eines Sicherheitsvorfalls trägt dies dazu bei, den Explosionsradius kompromittierter Anmeldeinformationen zu begrenzen, indem IAM-Prinzipalen nur der Zugriff auf das gewährt wird, was sie benötigen.
Vor diesem Tool konnte es Stunden dauern, eine IAM-Richtlinie mit Ressourcen-ARN-Einschränkungen zu erstellen – aber jetzt kann es Sekunden dauern. Auf diese Weise müssen Entwickler nur die Ressourcen bestimmen, auf die sie zugreifen müssen, und Policy Sentry abstrahiert die Komplexität von IAM-Richtlinien von ihren Entwicklungsprozessen.
Das Flaggschiff-Feature von Policy Sentry ist die Möglichkeit, IAM-Richtlinien basierend auf Ressourcen-ARNs und Zugriffsebenen zu erstellen. Unsere CRUD-Funktionalität verfolgt den meinungsstarken Ansatz, dass IAC-Entwickler die Komplexität von AWS IAM nicht verstehen müssen – wir sollten die Komplexität für sie abstrahieren. Tatsächlich sollten Entwickler nur in der Lage sein, zu sagen...
arn:aws:s3:::example-org-sbx-vmimport"arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"arn:aws:ssm:us-east-1:123456789012:parameter/test"...und unsere Automatisierung sollte Richtlinien erstellen, die diesen Zugriffsebenen entsprechen.
Wie erreichen wir das? Nun, Policy Sentry nutzt die AWS-Dokumentation zu Aktionen, Ressourcen und Bedingungsschlüsseln, um die Aktionen, Zugriffsebenen und Ressourcentypen nachzuschlagen und Richtlinien basierend auf den ARNs und Zugriffsebenen zu generieren. Betrachten Sie die folgende Tabellenübersicht:
Policy Sentry fasst die gesamte Dokumentation in einer einzigen Datenbank zusammen und verwendet diese Datenbank, um Richtlinien entsprechend Aktionen, Ressourcen und Zugriffsebenen zu generieren.
brew tap salesforce/policy_sentry https://github.com/salesforce/policy_sentry
brew install policy_sentry
pip3 install --user policy_sentry
Um die Bash-Vervollständigung zu aktivieren, fügen Sie dies in Ihre .bashrc ein:
eval "$(_POLICY_SENTRY_COMPLETE=bash_source policy_sentry)"
Um die ZSH-Vervollständigung zu aktivieren, fügen Sie dies in Ihre .zshrc ein:
eval "$(_POLICY_SENTRY_COMPLETE=zsh_source policy_sentry)"
policy_sentry create-template --output-file crud.yml --template-type crud
mode: crud
name: ''
# Specify resource ARNs
read:
- ''
write:
- ''
list:
- ''
tagging:
- ''
permissions-management:
- ''
# Actions that do not support resource constraints
wildcard-only:
single-actions: # standalone actions
- ''
# Service-wide - like 's3' or 'ec2'
service-read:
- ''
service-write:
- ''
service-list:
- ''
service-tagging:
- ''
service-permissions-management:
- ''
# Skip resource constraint requirements by listing actions here.
skip-resource-constraints:
- ''
# Exclude actions from the output by specifying them here. Accepts wildcards, like kms:Delete*
exclude-actions:
- ''
# If this policy needs to include an AssumeRole action
sts:
assume-role:
- ''
assume-role-with-saml:
- ''
assume-role-with-web-identity:
- ''
mode: crud
read:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
write:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
list:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
tagging:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'
permissions-management:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'
policy_sentry write-policy --input-file crud.yml
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "SsmReadParameter",
"Effect": "Allow",
"Action": [
"ssm:GetParameter",
"ssm:GetParameterHistory",
"ssm:GetParameters",
"ssm:GetParametersByPath",
"ssm:ListTagsForResource"
],
"Resource": [
"arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
]
},
{
"Sid": "SsmWriteParameter",
"Effect": "Allow",
"Action": [
"ssm:DeleteParameter",
"ssm:DeleteParameters",
"ssm:LabelParameterVersion",
"ssm:PutParameter"
],
"Resource": [
"arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
]
},
{
"Sid": "SecretsmanagerPermissionsmanagementSecret",
"Effect": "Allow",
"Action": [
"secretsmanager:DeleteResourcePolicy",
"secretsmanager:PutResourcePolicy"
],
"Resource": [
"arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
]
},
{
"Sid": "SecretsmanagerTaggingSecret",
"Effect": "Allow",
"Action": [
"secretsmanager:TagResource",
"secretsmanager:UntagResource"
],
"Resource": [
"arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
]
}
]
}
Beachten Sie, wie die obige Richtlinie die vom Benutzer bereitgestellten ARNs zusammen mit der angeforderten Zugriffsebene erkennt. Beispielsweise enthält die SID SecretsmanagerTaggingSecret nur Tagging-Aktionen, die dem Ressourcentyp secret zugeordnet sind.
Dies beschleunigt die Zeit für die Entwicklung von IAM-Richtlinien erheblich und stellt sicher, dass alle erstellten Richtlinien den Zugriff genau auf das beschränken, was Ihre Rolle benötigt. Auf diese Weise müssen Entwickler nur die Ressourcen bestimmen, auf die sie zugreifen müssen, und wir abstrahieren die Komplexität von IAM-Richtlinien von ihren Entwicklungsprozessen.
# Create templates first!!! This way you can just paste the values you need rather than remembering the YAML format
# CRUD mode
policy_sentry create-template --output-file tmp.yml --template-type crud
# Actions mode
policy_sentry create-template --output-file tmp.yml --template-type actions
# Write policy based on resource-specific access levels
policy_sentry write-policy --input-file examples/yml/crud.yml
# Write policy based on a list of actions
policy_sentry write-policy --input-file examples/yml/actions.yml
###############
# Actions Table
###############
# NOTE: Use --fmt yaml or --fmt json to change the output format. Defaults to json for querying
# Get a list of actions that do not support resource constraints
policy_sentry query action-table --service s3 --resource-type "*" --fmt yaml
# Get a list of actions at the "Write" level in S3 that do not support resource constraints
policy_sentry query action-table --service s3 --access-level write --resource-type "*" --fmt yaml
# Get a list of all IAM actions across ALL services that have "Permissions management" access
policy_sentry query action-table --service all --access-level permissions-management
# Get a list of all IAM Actions available to the RAM service
policy_sentry query action-table --service ram
# Get details about the `ram:TagResource` IAM Action
policy_sentry query action-table --service ram --name tagresource
# Get a list of all IAM actions under the RAM service that have the Permissions management access level.
policy_sentry query action-table --service ram --access-level permissions-management
# Get a list of all IAM actions under the SES service that support the `ses:FeedbackAddress` condition key.
policy_sentry query action-table --service ses --condition ses:FeedbackAddress
###########
# ARN Table
###########
# Get a list of all RAW ARN formats available through the SSM service.
policy_sentry query arn-table --service ssm
# Get the raw ARN format for the `cloud9` ARN with the short name `environment`
policy_sentry query arn-table --service cloud9 --name environment
# Get key/value pairs of all RAW ARN formats plus their short names
policy_sentry query arn-table --service cloud9 --list-arn-types
######################
# Condition Keys Table
######################
# Get a list of all condition keys available to the Cloud9 service
policy_sentry query condition-table --service cloud9
# Get details on the condition key titled `cloud9:Permissions`
policy_sentry query condition-table --service cloud9 --name cloud9:Permissions
# Initialize the policy_sentry config folder and create the IAM database tables.
policy_sentry initialize
# Fetch the most recent version of the AWS documentation so you can experiment with new services.
policy_sentry initialize --fetch
# Override the Access Levels by specifying your own Access Levels (example:, correcting Permissions management levels)
policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/overrides-resource-policies.yml
policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/access-level-overrides.yml
create-template: Erstellt die YML-Dateivorlagen zur Verwendung in den Befehlstypen write-policy.
write-policy: Nutzt eine YAML-Datei, um Richtlinien für Sie zu schreiben
query: Abfragen der IAM-Datenbanktabellen. Dies kann beim Ausfüllen der Policy-Sentry-Vorlagen helfen oder einfach beim Abfragen der Datenbank für schnelles Wissen.
action-table)arn-table)condition-table)initialize: (Optional). Eine SQLite-Datenbank erstellen, die alle Services enthält, die über die Aktionen-, Ressourcen- und Bedingungsschlüssel-Dokumentation verfügbar sind. Siehe die .
Wenn Sie Ihren eigenen Python-Code entwickeln und Policy Sentry als Drittanbieterpaket importieren möchten, können Sie die Initialisierung überspringen und die lokale Datenbankdatei nutzen, die mit dem Python-Paket selbst gebündelt ist.
Dies ist besonders nützlich für Entwickler, die die Funktionen von Policy Sentry nutzen möchten, die die Verwendung der IAM-Datenbank erfordern (z. B. Abfragen der IAM-Datenbanktabelle). Auf diese Weise müssen Sie die Datenbank nicht initialisieren und können sie sofort abfragen.
Das Codebeispiel befindet sich hier. Es ist auch unten gezeigt.
from policy_sentry.querying.actions import get_actions_for_service
def example():
actions = get_actions_for_service('cloud9') # Then you can leverage any method that requires access to the database.
for action in actions:
print(action)
if __name__ == '__main__':
example()
Die Ergebnisse sehen so aus:
cloud9:CreateEnvironmentEC2
cloud9:CreateEnvironmentMembership
cloud9:DeleteEnvironment
cloud9:DeleteEnvironmentMembership
cloud9:DescribeEnvironmentMemberships
cloud9:DescribeEnvironmentStatus
cloud9:DescribeEnvironments
cloud9:GetUserSettings
cloud9:ListEnvironments
cloud9:ListTagsForResource
cloud9:TagResource
cloud9:UntagResource
cloud9:UpdateEnvironment
cloud9:UpdateEnvironmentMembership
cloud9:UpdateUserSettings
Wenn Sie Docker anstelle der Installation des Skripts mit Python bevorzugen, unterstützen wir das ebenfalls. Verwenden Sie dies aus dem Stammverzeichnis des Repositorys, um das Docker-Image zu erstellen:
docker build -t kmcquade/policy_sentry .
Verwenden Sie dies, um einige grundlegende Befehle auszuführen:
# Basic commands with no arguments
docker run -i --rm kmcquade/policy_sentry:latest "--help"
docker run -i --rm kmcquade/policy_sentry:latest "query"
# Query the database
docker run -i --rm kmcquade/policy_sentry:latest "query action-table --service all --access-level permissions-management"
Der write-policy-Befehl unterstützt auch die Übergabe der YML-Konfiguration über STDIN. Wenn Sie die Docker-Methode verwenden, probieren Sie es hier aus:
# Write policies by passing in the config via STDIN
cat examples/yml/crud.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"
cat examples/yml/actions.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"
Das Terraform-Modul wird hier veröffentlicht und gewartet.
| Aktionen | Zugriffsebene | Ressourcentypen |
|---|---|---|
| ssm:GetParameter | Lesen | parameter |
| ssm:DescribeParameters | Auflisten | parameter |
| ssm:PutParameter | Schreiben | parameter |
| secretsmanager:PutResourcePolicy | Berechtigungsverwaltung | secret |
| secretsmanager:TagResource | Tagging | secret |