이것은 좋지 않습니다. 이상적으로는, 액세스가 리소스 ARN에 따라 제한되어야 합니다. 다음과 같이:```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

#### Pip3```bash
pip3 install --user cloudsplaining

ZSH 완성을 활성화하려면, .zshrc에 다음을 추가하세요:```bash
eval "$(_CLOUDSPLAINING_COMPLETE=zsh_source cloudsplaining)"

출력에는 조사 설명과 리소스 제약 조건을 활용하지 않는 IAM 작업 목록이 포함됩니다.

출력은 다음과 유사합니다:```console
Issue found: Data Exfiltration
Actions: s3:GetObject

Issue found: Resource Exposure
Actions: ecr:DeleteRepositoryPolicy, ecr:SetRepositoryPolicy, s3:BypassGovernanceRetention, s3:DeleteAccessPointPolicy, s3:DeleteBucketPolicy, s3:ObjectOwnerOverrideToBucketOwner, s3:PutAccessPointPolicy, s3:PutAccountPublicAccessBlock, s3:PutBucketAcl, s3:PutBucketPolicy, s3:PutBucketPublicAccessBlock, s3:PutObjectAcl, s3:PutObjectVersionAcl

Issue found: Unrestricted Infrastructure Modification
Actions: ecr:BatchDeleteImage, ecr:CompleteLayerUpload, ecr:CreateRepository, ecr:DeleteLifecyclePolicy, ecr:DeleteRepository, ecr:DeleteRepositoryPolicy, ecr:InitiateLayerUpload, ecr:PutImage, ecr:PutImageScanningConfiguration, ecr:PutImageTagMutability, ecr:PutLifecyclePolicy, ecr:SetRepositoryPolicy, ecr:StartImageScan, ecr:StartLifecyclePolicyPreview, ecr:TagResource, ecr:UntagResource, ecr:UploadLayerPart, s3:AbortMultipartUpload, s3:BypassGovernanceRetention, s3:CreateAccessPoint, s3:CreateBucket, s3:DeleteAccessPoint, s3:DeleteAccessPointPolicy, s3:DeleteBucket, s3:DeleteBucketPolicy, s3:DeleteBucketWebsite, s3:DeleteObject, s3:DeleteObjectTagging, s3:DeleteObjectVersion, s3:DeleteObjectVersionTagging, s3:GetObject, s3:ObjectOwnerOverrideToBucketOwner, s3:PutAccelerateConfiguration, s3:PutAccessPointPolicy, s3:PutAnalyticsConfiguration, s3:PutBucketAcl, s3:PutBucketCORS, s3:PutBucketLogging, s3:PutBucketNotification, s3:PutBucketObjectLockConfiguration, s3:PutBucketPolicy, s3:PutBucketPublicAccessBlock, s3:PutBucketRequestPayment, s3:PutBucketTagging, s3:PutBucketVersioning, s3:PutBucketWebsite, s3:PutEncryptionConfiguration, s3:PutInventoryConfiguration, s3:PutLifecycleConfiguration, s3:PutMetricsConfiguration, s3:PutObject, s3:PutObjectAcl, s3:PutObjectLegalHold, s3:PutObjectRetention, s3:PutObjectTagging, s3:PutObjectVersionAcl, s3:PutObjectVersionTagging, s3:PutReplicationConfiguration, s3:ReplicateDelete, s3:ReplicateObject, s3:ReplicateTags, s3:RestoreObject, s3:UpdateJobPriority, s3:UpdateJobStatus

* 환경 변수 대신 `~/.aws/credentials` 파일을 사용하려면 프로필 이름을 지정할 수 있습니다:```bash
cloudsplaining download --profile myprofile

이렇게 하면 현재 디렉토리에 `exclusions.yml` 파일이 생성됩니다.

이제 `scan` 명령을 실행할 때, 다음과 같이 제외 파일을 사용할 수 있습니다:```bash
cloudsplaining scan --exclusions-file exclusions.yml --input-file examples/files/example.json --output examples/files/

다음과 같은 HTML 보고서를 생성합니다: [this](https://opensource.salesforce.com/cloudsplaining/)

> ![](https://raw.githubusercontent.com/salesforce/cloudsplaining/HEAD/docs/_images/cloudsplaining-report.gif)


또한 원시 JSON 데이터 파일을 생성합니다:

* `default-iam-results.json`: 이 파일은 보고서의 원시 JSON 출력을 포함합니다. 이 데이터 파일을 사용하여 다양한 목적으로 스캔 결과를 처리할 수 있습니다. 예를 들어, 이 데이터를 파싱하여 자동화된 JIRA 이슈나 Salesforce Work Items를 생성하는 Python 스크립트를 작성할 수 있습니다. 예시 항목은 아래에 표시됩니다. 전체 예시는 [examples/files/iam-results-example.json](https://github.com/salesforce/cloudsplaining/blob/master/examples/files/iam-results-example.json)에서 확인할 수 있습니다.```json
{
    "example-authz-details": [
        {
            "AccountID": "012345678901",
            "ManagedBy": "Customer",
            "PolicyName": "InsecureUserPolicy",
            "Arn": "arn:aws:iam::012345678901:user/userwithlotsofpermissions",
            "ActionsCount": 2,
            "ServicesCount": 1,
            "Actions": [
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Services": [
                "s3"
            ]
        }
    ]
}

이 명령은 현재 디렉토리에 `exclusions.yml`이라는 파일을 생성합니다.

기본 제외 파일은 다음과 같습니다:```yaml
# Policy names to exclude from evaluation
# Suggestion: Add policies here that are known to be overly permissive by design, after you run the initial report.
policies:
  - "AWSServiceRoleFor*"
  - "*ServiceRolePolicy"
  - "*ServiceLinkedRolePolicy"
  - "AdministratorAccess" # Otherwise, this will take a long time
  - "service-role*"
  - "aws-service-role*"
# Don't evaluate these roles, users, or groups as part of the evaluation
roles:
  - "service-role*"
  - "aws-service-role*"
users:
  - ""
groups:
  - ""
# Read-only actions to include in the results, such as s3:GetObject
# By default, it includes Actions that could lead to Data Exfiltration
include-actions:
  - "s3:GetObject"
  - "ssm:GetParameter"
  - "ssm:GetParameters"
  - "ssm:GetParametersByPath"
  - "secretsmanager:GetSecretValue"
# Write actions to include from the results, such as kms:Decrypt
exclude-actions:
  - ""

### 여러 AWS 계정 스캔

IAM 사용자 또는 IAM 역할이 여러 AWS 계정에 걸쳐 공통 IAM 역할에 대해 `sts:AssumeRole` 권한을 가지고 있다면, `scan-multi-account` 명령을 사용할 수 있습니다.

다음 다이어그램은 프로세스의 작동 방식을 보여줍니다:

![Cloudsplaining을 사용한 여러 AWS 계정 스캔 다이어그램](https://assets.kitploit.com/production/public/readmes/3625/a58d8b2e6a0986fdd6adf5c583f34c8efe82a084ad41b8fa00d1e1ef29a0e4fe.png)


> 참고: 계정 간 액세스 설정이 처음이라면 [IAM 역할을 사용한 AWS 계정 간 액세스 위임에 관한 공식 AWS 튜토리얼](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_cross-account-with-roles.html)을 확인하세요. 위 아키텍처를 설정하는 데 도움이 됩니다.


* 먼저, 다중 계정 구성 파일을 생성해야 합니다. 다음 명령을 실행하세요:```bash
cloudsplaining create-multi-account-config-file \ 
    -o multi-account-config.yml

> 참고: 위 파일의 형식에 `account_name: accountID`가 포함되어 있는 것을 확인하세요. 원하는 계정 이름과 계정 ID에 맞게 파일 내용을 편집하세요. 원하는 만큼 많은 계정 ID를 포함시킬 수 있습니다.


다음 단계를 위해 다음과 같이 가정해 보겠습니다.
 * 대상 계정에 `CommonSecurityRole`이라는 역할이 있다고 가정합니다.
* IAM 사용자의 자격 증명은 `scanning-user`라는 AWS 자격 증명 프로필 아래에 있습니다.
* 해당 사용자는 이전에 생성한 YAML 파일에 지정된 모든 대상 계정에서 `CommonSecurityRole`을 수임할 수 있는 `sts:AssumeRole` 권한을 가지고 있습니다.
* 출력을 `my-results-bucket`이라는 S3 버킷에 저장하려고 합니다.

위 데이터를 사용하여 다음 명령을 실행할 수 있습니다:```bash
cloudsplaining scan-multi-account \
    -c multi-account-config.yml \
    --profile scanning-user \
    --role-name CommonSecurityRole \ 
    --output-bucket my-results-bucket

## FAQ

**기본적으로 모든 정책을 스캔하나요?**

아니요, IAM 보안 주체에 연결된 정책만 스캔합니다.

**다운로드 명령어는 모든 정책 버전을 다운로드하나요?**

기본적으로는 그렇지 않습니다. 이 기능을 사용하려면 `--include-non-default-policy-versions` 플래그를 지정하세요. 참고로 `scan` 도구는 현재 기본이 아닌 버전에서는 작동하지 않습니다.

**설치 지침을 따랐지만 명령줄에서 프로그램을 전혀 실행할 수 없습니다. 어떻게 해야 하나요?**

이는 PATH 문제일 가능성이 높습니다. PATH 환경 변수가 `pip3`로 설치된 바이너리 패키지를 고려하지 않고 있습니다. Mac의 경우, 설치된 버전에 따라 아래 명령어를 입력하여 문제를 해결할 수 있습니다. 결과는 다를 수 있습니다.```bash
export PATH=$HOME/Library/Python/3.7/bin/:$PATH