brew tap salesforce/policy_sentry https://github.com/salesforce/policy_sentry
brew install policy_sentry

pip3 install --user policy_sentry

eval "$(_POLICY_SENTRY_COMPLETE=bash_source policy_sentry)"

eval "$(_POLICY_SENTRY_COMPLETE=zsh_source policy_sentry)"

policy_sentry create-template --output-file crud.yml --template-type crud

mode: crud
name: ''
# Укажите ARN ресурсов
read:
- ''
write:
- ''
list:
- ''
tagging:
- ''
permissions-management:
- ''
# Действия, которые не поддерживают ограничения по ресурсам
wildcard-only:
  single-actions: # отдельные действия
  - ''
  # По сервисам — например, 's3' или 'ec2'
  service-read:
  - ''
  service-write:
  - ''
  service-list:
  - ''
  service-tagging:
  - ''
  service-permissions-management:
  - ''
# Пропустите требования к ограничению ресурсов, перечислив действия здесь.
skip-resource-constraints:
- ''
# Исключите действия из вывода, указав их здесь. Принимаются подстановочные знаки, например kms:Delete*
exclude-actions:
- ''
# Если этой политике нужно включить действие AssumeRole
sts:
  assume-role:
    - ''
  assume-role-with-saml:
    - ''
  assume-role-with-web-identity:
    - ''

mode: crud
read:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
write:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
list:
- 'arn:aws:ssm:us-east-1:123456789012:parameter/myparameter'
tagging:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'
permissions-management:
- 'arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret'

policy_sentry write-policy --input-file crud.yml

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SsmReadParameter",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:GetParameterHistory",
                "ssm:GetParameters",
                "ssm:GetParametersByPath",
                "ssm:ListTagsForResource"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
            ]
        },
        {
            "Sid": "SsmWriteParameter",
            "Effect": "Allow",
            "Action": [
                "ssm:DeleteParameter",
                "ssm:DeleteParameters",
                "ssm:LabelParameterVersion",
                "ssm:PutParameter"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:123456789012:parameter/myparameter"
            ]
        },
        {
            "Sid": "SecretsmanagerPermissionsmanagementSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DeleteResourcePolicy",
                "secretsmanager:PutResourcePolicy"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
            ]
        },
        {
            "Sid": "SecretsmanagerTaggingSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:TagResource",
                "secretsmanager:UntagResource"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
            ]
        }
    ]
}

# Сначала создавайте шаблоны!!! Так вы сможете просто вставить нужные значения, не запоминая формат YAML
# Режим CRUD
policy_sentry create-template --output-file tmp.yml --template-type crud
# Режим Actions
policy_sentry create-template --output-file tmp.yml --template-type actions

# Написать политику на основе уровней доступа к конкретным ресурсам
policy_sentry write-policy --input-file examples/yml/crud.yml

# Написать политику на основе списка действий
policy_sentry write-policy --input-file examples/yml/actions.yml

###############
# Таблица действий
###############
# ПРИМЕЧАНИЕ: Используйте --fmt yaml или --fmt json для изменения формата вывода. По умолчанию json для запросов

# Получить список действий, которые не поддерживают ограничения по ресурсам
policy_sentry query action-table --service s3 --resource-type "*" --fmt yaml

# Получить список действий уровня "Write" в сервисе S3, которые не поддерживают ограничения по ресурсам
policy_sentry query action-table --service s3 --access-level write --resource-type "*" --fmt yaml

# Получить список всех IAM-действий во всех сервисах, имеющих уровень доступа "Permissions management"
policy_sentry query action-table --service all --access-level permissions-management

# Получить список всех IAM-действий, доступных для сервиса RAM
policy_sentry query action-table --service ram

# Получить подробности об IAM-действии `ram:TagResource`
policy_sentry query action-table --service ram --name tagresource

# Получить список всех IAM-действий в сервисе RAM с уровнем доступа Permissions management
policy_sentry query action-table --service ram --access-level permissions-management

# Получить список всех IAM-действий в сервисе SES, поддерживающих ключ условия `ses:FeedbackAddress`.
policy_sentry query action-table --service ses --condition ses:FeedbackAddress

###########
# Таблица ARN
###########

# Получить список всех сырых форматов ARN, доступных через сервис SSM.
policy_sentry query arn-table --service ssm

# Получить сырой формат ARN для ARN `cloud9` с коротким именем `environment`
policy_sentry query arn-table --service cloud9 --name environment

# Получить пары ключ/значение всех сырых форматов ARN и их коротких имён
policy_sentry query arn-table --service cloud9 --list-arn-types

######################
# Таблица ключей условий
######################

# Получить список всех ключей условий, доступных для сервиса Cloud9
policy_sentry query condition-table --service cloud9

# Получить подробности о ключе условия с именем `cloud9:Permissions`
policy_sentry query condition-table --service cloud9 --name cloud9:Permissions

# Инициализация папки конфигурации policy_sentry и создание таблиц базы данных IAM.
policy_sentry initialize

# Загрузить последнюю версию документации AWS, чтобы можно было экспериментировать с новыми сервисами.
policy_sentry initialize --fetch

# Переопределить уровни доступа, указав собственные уровни доступа (например, исправить уровни Permissions management)
policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/overrides-resource-policies.yml

policy_sentry initialize --access-level-overrides-file ~/.policy_sentry/access-level-overrides.yml

from policy_sentry.querying.actions import get_actions_for_service


def example():
    actions = get_actions_for_service('cloud9')  # Затем вы можете использовать любой метод, требующий доступа к базе данных.
    for action in actions:
        print(action)

if __name__ == '__main__':
    example()

cloud9:CreateEnvironmentEC2
cloud9:CreateEnvironmentMembership
cloud9:DeleteEnvironment
cloud9:DeleteEnvironmentMembership
cloud9:DescribeEnvironmentMemberships
cloud9:DescribeEnvironmentStatus
cloud9:DescribeEnvironments
cloud9:GetUserSettings
cloud9:ListEnvironments
cloud9:ListTagsForResource
cloud9:TagResource
cloud9:UntagResource
cloud9:UpdateEnvironment
cloud9:UpdateEnvironmentMembership
cloud9:UpdateUserSettings

docker build -t kmcquade/policy_sentry .

# Базовые команды без аргументов
docker run -i --rm kmcquade/policy_sentry:latest "--help"
docker run -i --rm kmcquade/policy_sentry:latest "query"

# Запрос к базе данных
docker run -i --rm kmcquade/policy_sentry:latest "query action-table --service all --access-level permissions-management"

# Написание политик путём передачи конфигурации через STDIN
cat examples/yml/crud.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"

cat examples/yml/actions.yml | docker run -i --rm kmcquade/policy_sentry:latest "write-policy"