Policy Sentry

IAM Least Privilege Policy Generator.

• Tutorial
  • Installation
    • Paketmanager
    • Shell-Vervollständigung
  • Schritt 1: Vorlage erstellen
  • Schritt 2: ARNs kopieren/einfügen
  • Schritt 3: Write-Policy-Befehl
• Cheat Sheets
  • Cheat Sheet zum Schreiben von Policys
  • Cheat Sheet für IAM-Datenbankabfragen
  • Lokale Initialisierung (optional)
• Weitere Verwendung
  • Befehle
  • Python-Bibliotheksnutzung
  • Docker
  • Terraform
• Referenzen

Dokumentation

Für ausführliche Anleitungen und vollständige Dokumentation besuchen Sie bitte das Projekt auf ReadTheDocs.

Lesen Sie den Salesforce Engineering Blog Post über Policy Sentry.

Übersicht

Das manuelle Erstellen sicherheitsbewusster IAM-Richtlinien kann sehr mühsam und ineffizient sein. Viele Infrastructure-as-Code-Entwickler haben so etwas schon erlebt:

• Sie sind entschlossen, Ihr Bestes zu geben, um Benutzern und Rollen die geringstmöglichen Berechtigungen zu gewähren, die sie für ihre Aufgaben benötigen, und verbringen viel zu viel Zeit damit, die AWS-IAM-Dokumentation zu [Aktionen, Ressourcen und Bedingungsschlüsseln für AWS-Services][1] zu durchforsten.
• Ihr Teamleiter ermutigt Sie, Sicherheit in Ihre IAM-Richtlinien für die Produktqualität einzubauen, aber schließlich werden Sie aufgrund von Projektterminen frustriert.
• Sie haben keinen eingebetteten Sicherheitsexperten in Ihrem Team, der diese IAM-Richtlinien für Sie schreiben kann, und es gibt kein automatisiertes Tool, das automatisch die von Ihnen durchgeführten AWS-API-Aufrufe erkennt und sie dann mit Ressourcen-ARN-Einschränkungen für Sie schreibt.
• Nachdem Sie über dieses Maß an Automatisierung fantasiert haben, wird Ihnen klar, dass das Schreiben von Least-Privilege-IAM-Richtlinien, scheinbar aus Nächstenliebe, Ihre Fähigkeit gefährdet, Ihren Code rechtzeitig fertigzustellen, um Projekttermine einzuhalten.
• Sie verwenden verwaltete Richtlinien (denn warum nicht) oder Sie schätzen die Namen der API-Aufrufe ab und verwenden stattdessen Platzhalter, damit Sie Ihr Leben fortsetzen können.

Ein solcher Prozess ist weder für die Sicherheit noch für Infrastructure-as-Code-Entwickler ideal. Wir müssen das sichere Schreiben von IAM-Richtlinien erleichtern und die Komplexität der Erstellung von Least-Privilege-IAM-Richtlinien abstrahieren. Deshalb habe ich dieses Tool entwickelt.

Policy Sentry ermöglicht es Benutzern, in Sekundenschnelle Least-Privilege-IAM-Richtlinien zu erstellen, anstatt IAM-Richtlinien mühsam von Hand zu schreiben. Diese Richtlinien werden je nach Zugriffsebenen und Ressourcen eingeschränkt. Im Falle eines Sicherheitsvorfalls trägt dies dazu bei, den Explosionsradius kompromittierter Anmeldeinformationen zu begrenzen, indem IAM-Prinzipalen nur der Zugriff auf das gewährt wird, was sie benötigen.

Vor diesem Tool konnte es Stunden dauern, eine IAM-Richtlinie mit Ressourcen-ARN-Einschränkungen zu erstellen – aber jetzt kann es Sekunden dauern. Auf diese Weise müssen Entwickler nur die Ressourcen bestimmen, auf die sie zugreifen müssen, und Policy Sentry abstrahiert die Komplexität von IAM-Richtlinien von ihren Entwicklungsprozessen.

Sichere Richtlinien basierend auf Ressourceneinschränkungen und Zugriffsebenen schreiben

Das Flaggschiff-Feature von Policy Sentry ist die Möglichkeit, IAM-Richtlinien basierend auf Ressourcen-ARNs und Zugriffsebenen zu erstellen. Unsere CRUD-Funktionalität verfolgt den meinungsstarken Ansatz, dass IAC-Entwickler die Komplexität von AWS IAM nicht verstehen müssen – wir sollten die Komplexität für sie abstrahieren. Tatsächlich sollten Entwickler nur in der Lage sein, zu sagen...

• "Ich benötige Lese-/Schreib-/Listen-Zugriff auf arn:aws:s3:::example-org-sbx-vmimport"
• "Ich benötige Berechtigungsverwaltungs-Zugriff auf arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
• "Ich benötige Tagging-Zugriff auf arn:aws:ssm:us-east-1:123456789012:parameter/test"

...und unsere Automatisierung sollte Richtlinien erstellen, die diesen Zugriffsebenen entsprechen.

Wie erreichen wir das? Nun, Policy Sentry nutzt die AWS-Dokumentation zu [Aktionen, Ressourcen und Bedingungsschlüsseln][1], um die Aktionen, Zugriffsebenen und Ressourcentypen nachzuschlagen und Richtlinien basierend auf den ARNs und Zugriffsebenen zu generieren. Betrachten Sie die folgende Tabellenübersicht:

Aktionen	Zugriffsebene	Ressourcentypen
ssm:GetParameter	Lesen	parameter
ssm:DescribeParameters	Auflisten	parameter
ssm:PutParameter	Schreiben	parameter
secretsmanager:PutResourcePolicy	Berechtigungsverwaltung	secret
secretsmanager:TagResource	Tagging	secret

Policy Sentry fasst die gesamte Dokumentation in einer einzigen Datenbank zusammen und verwendet diese Datenbank, um Richtlinien entsprechend Aktionen, Ressourcen und Zugriffsebenen zu generieren.

Tutorial

Installation

Paketmanager

• Homebrew

brew tap salesforce/policy_sentry https://github.com/salesforce/policy_sentry
brew install policy_sentry

• Pip

pip3 install --user policy_sentry

Shell-Vervollständigung

Um die Bash-Vervollständigung zu aktivieren, fügen Sie dies in Ihre .bashrc ein:

eval "$(_POLICY_SENTRY_COMPLETE=bash_source policy_sentry)"

Um die ZSH-Vervollständigung zu aktivieren, fügen Sie dies in Ihre .zshrc ein:

eval "$(_POLICY_SENTRY_COMPLETE=zsh_source policy_sentry)"

Schritt 1: Vorlage erstellen