salesforce/policy_sentryGenera policy IAM AWS con privilegi minimi basate su ARN di risorse e livelli di accesso, automatizzando la creazione sicura di policy per l'infrastruttura cloud.
Generatore di Policy IAM con privilegio minimo (Least Privilege).
Per guide e documentazione completa, visita il progetto su ReadTheDocs.
Leggi l'articolo sul blog di Salesforce Engineering su Policy Sentry.
Scrivere manualmente policy IAM attente alla sicurezza può essere molto tedioso e inefficiente. Molti sviluppatori di Infrastructure as Code hanno vissuto situazioni come questa:
Un processo del genere non è ideale né per la sicurezza né per gli sviluppatori di Infrastructure as Code. Dobbiamo rendere più facile scrivere policy IAM in modo sicuro e astrarre la complessità della scrittura di policy IAM con privilegio minimo. Ecco perché ho creato questo strumento.
Policy Sentry consente agli utenti di creare policy IAM con privilegio minimo in pochi secondi, invece di doverle scrivere a mano in modo tedioso. Queste policy sono limitate in base ai livelli di accesso e alle risorse. In caso di violazione, questo aiuta a limitare il raggio d'esplosione delle credenziali compromesse, concedendo solo l'accesso necessario ai principali IAM.
Prima di questo strumento, potevano essere necessarie ore per creare una policy IAM con vincoli di ARN delle risorse — ora può richiedere pochi secondi. In questo modo, gli sviluppatori devono solo determinare le risorse a cui devono accedere, e Policy Sentry astrae la complessità delle policy IAM dai loro processi di sviluppo.
La caratteristica principale di Policy Sentry è che può creare policy IAM basate su ARN di risorse e livelli di accesso. La nostra funzionalità CRUD adotta l'approccio opinionato che gli sviluppatori IaC non dovrebbero dover comprendere le complessità di AWS IAM — dovremmo astrarre la complessità per loro. In effetti, gli sviluppatori dovrebbero solo essere in grado di dire...
arn:aws:s3:::example-org-sbx-vmimport"arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"arn:aws:ssm:us-east-1:123456789012:parameter/test"...e la nostra automazione dovrebbe creare policy che corrispondono a quei livelli di accesso.
Come riusciamo a fare questo? Beh, Policy Sentry sfrutta la documentazione AWS su Azioni, Risorse e Condizioni per cercare le azioni, i livelli di accesso e i tipi di risorsa, e genera policy in base agli ARN e ai livelli di accesso. Considera il frammento di tabella qui sotto:
Policy Sentry aggrega tutta quella documentazione in un unico database e utilizza tale database per generare policy in base ad azioni, risorse e livelli di accesso.
brew tap salesforce/policy_sentry https://github.com/salesforce/policy_sentry
brew install policy_sentry
pip3 install --user policy_sentry
Per abilitare il completamento Bash, inserisci questo nel tuo .bashrc:
eval "$(_POLICY_SENTRY_COMPLETE=bash_source policy_sentry)"
Per abilitare il completamento ZSH, inserisci questo nel tuo .zshrc:
eval "$(_POLICY_SENTRY_COMPLETE=zsh_source policy_sentry)"
policy_sentry create-template --output-file crud.yml --template-type crud
mode: crud
name: ''
# Specify resource ARNs
read:
- ''
write:
- ''
list:
- ''
tagging:
- ''
permissions-management:
- ''
# Actions that do not support resource constraints
wildcard-only:
single-actions: # standalone actions
- ''
# Service-wide - like 's3' or 'ec2'
service-read:
- ''
service-write:
- ''
service-list:
- ''
service-tagging:
- ''
service-permissions-management:
- ''
# Skip resource constraint requirements by listing actions here.
skip-resource-constraints:
- ''
# Exclude actions from the output by specifying them here. Accepts wildcards, like kms:Delete*
exclude-actions:
- ''
# If this policy needs to include an AssumeRole action
sts:
assume-role:
- ''
assume-role-with-saml:
- ''
assume-role-with-web-identity:
- ''
mode: crud
read:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
write:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
list:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
tagging:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'
permissions-management:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'
policy_sentry write-policy --input-file crud.yml
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "SsmReadParameter",
"Effect": "Allow",
"Action": [
"ssm:GetParameter",
"ssm:GetParameterHistory",
"ssm:GetParameters",
"ssm:GetParametersByPath",
"ssm:ListTagsForResource"
],
"Resource": [
"arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
]
},
{
"Sid": "SsmWriteParameter",
"Effect": "Allow",
"Action": [
"ssm:DeleteParameter",
"ssm:DeleteParameters",
"ssm:LabelParameterVersion",
"ssm:PutParameter"
],
"Resource": [
"arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
]
},
{
"Sid": "SecretsmanagerPermissionsmanagementSecret",
"Effect": "Allow",
"Action": [
"secretsmanager:DeleteResourcePolicy",
"secretsmanager:PutResourcePolicy"
],
"Resource": [
"arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
]
},
{
"Sid": "SecretsmanagerTaggingSecret",
"Effect": "Allow",
"Action": [
"secretsmanager:TagResource",
"secretsmanager:UntagResource"
],
"Resource": [
"arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
]
}
]
}
Nota come la policy sopra riconosce gli ARN forniti dall'utente, insieme al livello di accesso richiesto. Ad esempio, il SID SecretsmanagerTaggingSecret contiene azioni di Tagging assegnate solo al tipo di risorsa secret.
Questo accelera notevolmente il tempo per sviluppare policy IAM e garantisce che tutte le policy create limitino l'accesso esattamente a ciò di cui il tuo ruolo ha bisogno. In questo modo, gli sviluppatori devono solo determinare le risorse a cui devono accedere e noi astraiamo la complessità delle policy IAM dai loro processi di sviluppo.
# Create templates first!!! This way you can just paste the values you need rather than remembering the YAML format
# CRUD mode
policy_sentry create-template --output-file tmp.yml --template-type crud
# Actions mode
policy_sentry create-template --output-file tmp.yml --template-type actions
# Write policy based on resource-specific access levels
policy_sentry write-policy --input-file examples/yml/crud.yml
# Write policy based on a list of actions
policy_sentry write-policy --input-file examples/yml/actions.yml
###############
# Actions Table
###############
# NOTE: Use --fmt yaml or --fmt json to change the output format. Defaults to json for querying
# Get a list of actions that do not support resource constraints
policy_sentry query action-table --service s3 --resource-type "*" --fmt yaml
# Get a list of actions at the "Write" level in S3 that do not support resource constraints
policy_sentry query action-table --service s3 --access-level write --resource-type "*" --fmt yaml
# Get a list of all IAM actions across ALL services that have "Permissions management" access
policy_sentry query action-table --service all --access-level permissions-management
# Get a list of all IAM Actions available to the RAM service
policy_sentry query action-table --service ram
# Get details about the `ram:TagResource` IAM Action
policy_sentry query action-table --service ram --name tagresource
# Get a list of all IAM actions under the RAM service that have the Permissions management access level.
policy_sentry query action-table --service ram --access-level permissions-management
# Get a list of all IAM actions under the SES service that support the `ses:FeedbackAddress` condition key.
policy_sentry query action-table --service ses --condition ses:FeedbackAddress
###########
# ARN Table
###########
# Get a list of all RAW ARN formats available through the SSM service.
policy_sentry query arn-table --service ssm
# Get the raw ARN format for the `cloud9` ARN with the short name `environment`
policy_sentry query arn-table --service cloud9 --name environment
# Get key/value pairs of all RAW ARN formats plus their short names
policy_sentry query arn-table --service cloud9 --list-arn-types
######################
# Condition Keys Table
######################
# Get a list of all condition keys available to the Cloud9 service
policy_sentry query condition-table --service cloud9
# Get details on the condition key titled `cloud9:Permissions`
policy_sentry query condition-table --service cloud9 --name cloud9:Permissions
# Initialize the policy_sentry config folder and create the IAM database tables.
policy_sentry initialize
# Fetch the most recent version of the AWS documentation so you can experiment with new services.
policy_sentry initialize --fetch
# Override the Access Levels by specifying your own Access Levels (example:, correcting Permissions management levels)
policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/overrides-resource-policies.yml
policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/access-level-overrides.yml
create-template: Crea i modelli di file YML da utilizzare nei tipi di comando write-policy.
write-policy: Sfrutta un file YAML per scrivere policy per te
query: Interroga le tabelle del database IAM. Può aiutare durante la compilazione dei template di Policy Sentry, o semplicemente per interrogare il database per conoscenza rapida.
action-table)arn-table)condition-table)initialize: (Opzionale). Crea un database SQLite che contiene tutti i servizi disponibili attraverso la documentazione su Azioni, Risorse e Condizioni. Vedi la .
Se stai sviluppando il tuo codice Python e vuoi importare Policy Sentry come pacchetto di terze parti, puoi saltare l'inizializzazione e sfruttare il file di database locale incluso nel pacchetto Python stesso.
Questo è particolarmente utile per gli sviluppatori che desiderano sfruttare le funzionalità di Policy Sentry che richiedono l'uso del database IAM (come interrogare la tabella del database IAM). In questo modo, non devi inizializzare il database e puoi interrogarlo immediatamente.
L'esempio di codice si trova qui. È mostrato anche qui sotto.
from policy_sentry.querying.actions import get_actions_for_service
def example():
actions = get_actions_for_service('cloud9') # Then you can leverage any method that requires access to the database.
for action in actions:
print(action)
if __name__ == '__main__':
example()
I risultati appariranno come:
cloud9:CreateEnvironmentEC2
cloud9:CreateEnvironmentMembership
cloud9:DeleteEnvironment
cloud9:DeleteEnvironmentMembership
cloud9:DescribeEnvironmentMemberships
cloud9:DescribeEnvironmentStatus
cloud9:DescribeEnvironments
cloud9:GetUserSettings
cloud9:ListEnvironments
cloud9:ListTagsForResource
cloud9:TagResource
cloud9:UntagResource
cloud9:UpdateEnvironment
cloud9:UpdateEnvironmentMembership
cloud9:UpdateUserSettings
Se preferisci usare Docker invece di installare lo script con Python, lo supportiamo anche. Dalla radice del repository, usa questo per creare l'immagine docker:
docker build -t kmcquade/policy_sentry .
Usa questo per eseguire alcuni comandi di base:
# Basic commands with no arguments
docker run -i --rm kmcquade/policy_sentry:latest "--help"
docker run -i --rm kmcquade/policy_sentry:latest "query"
# Query the database
docker run -i --rm kmcquade/policy_sentry:latest "query action-table --service all --access-level permissions-management"
Il comando write-policy supporta anche il passaggio della configurazione YML tramite STDIN. Se usi il metodo Docker, provalo qui:
# Write policies by passing in the config via STDIN
cat examples/yml/crud.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"
cat examples/yml/actions.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"
Il modulo Terraform è pubblicato e mantenuto qui.
| Azioni | Livello di Accesso | Tipi di Risorsa |
|---|---|---|
| ssm:GetParameter | Read | parameter |
| ssm:DescribeParameters | List | parameter |
| ssm:PutParameter | Write | parameter |
| secretsmanager:PutResourcePolicy | Permissions management | secret |
| secretsmanager:TagResource | Tagging | secret |