AWS 可公开暴露的资源

本仓库的目标是维护一份所有可以公开暴露的 AWS 资源列表，并最终收录那些可以与不受信任的账户共享的资源（该部分仍在开发中，尚未包含在此处）。

以下概念适用于本列表：

• 通过其他资源间接暴露的资源不在收录范围内。例如，CloudTrail 日志可以被发送到一个公开的 S3 存储桶，但这是 S3 存储桶配置错误导致的，因此 CloudTrail 不会被视为可公开的资源。
• 某些资源可能需要同时配置多个条件才能被视为公开。例如，一个用 KMS 加密的 Secrets Manager 密钥，需要同时公开密钥策略和 KMS 密钥策略才能访问该密钥。在此列表中，我只考虑密钥资源策略。类似地，对于托管型 ElasticSearch 集群，需要资源策略允许公开访问，并且具有非 VPC IP。我只考虑资源策略。对于 EC2，你可以创建一个带有公有 IP 的 EC2 实例，但为其关联一个受限的安全组，而该安全组稍后可能被打开以允许公开访问。我将创建带有公有 IP 的 EC2 实例视为关键操作，而不是修改安全组。

路线图

我希望这个仓库最终包含以下内容：

• 创建私有和公有资源的示例 CLI 命令
• 这两个事件对应的 CloudTrail 日志样本，以便你构建和测试监控方案。例如，你可以在此处查看 StreamAlert 的示例 CloudTrail 事件
• 对这些资源的相关 Describe 调用，展示资源公开时的表现形式。例如，你可以在 CloudMapper 的测试数据此处查看示例 JSON 响应。

可通过资源策略公开的资源

ECR 仓库

操作:

• ecr set-repository-policy

Lambda

允许调用函数

操作:

• lambda add-permission

Lambda 层

操作:

• lambda add-layer-version-permission

Serverless Application Repository

操作:

• serverlessrepo put-application-policy

Backup

文档

操作:

• backup put-backup-vault-access-policy

EFS

TODO: 需要确认是否真的可以与其他账户共享。某些文档的措辞让我认为这可能只能与账户内的主体共享。

操作:

• efs put-file-system-policy

Glacier

操作:

• glacier set-vault-access-policy

S3

S3 存储桶可以通过策略和 ACL 公开。S3 对象可以通过 ACL 公开。ACL 可以在创建存储桶或对象时设置。

操作:

• s3api create-bucket
• s3api put-bucket-policy
• s3api put-bucket-acl
• s3api put-object
• s3api put-object-acl

IAM 角色

操作:

• iam create-role
• iam update-assume-role-policy

KMS 密钥

操作:

• kms create-key
• kms create-grant
• kms put-key-policy

Secrets Manager

操作:

• secretsmanager put-resource-policy

CloudWatch Logs

操作:

• logs put-resource-policy
• logs put-destination-policy

EventBridge

仅允许向账户内发送数据

操作:

• events put-permission

MediaStore

文档

操作:

• mediastore put-container-policy

ElasticSearch

操作:

• es create-elasticsearch-domain
• es update-elasticsearch-domain-config

Glue

操作:

• glue put-resource-policy

SNS

操作:

• sns create-topic
• sns add-permission

SQS

操作:

• sqs create-queue
• sqs add-permission

SES

文档

操作:

• ses put-identity-policy

可通过共享 API 公开的资源

AMI

操作:

• ec2 modify-image-attribute

FPGA 映像

操作:

• ec2 modify-fpga-image-attribute

EBS 快照

操作:

• ec2 modify-snapshot-attribute

RDS 快照

操作:

• rds modify-db-snapshot

RDS 数据库集群快照

操作:

• rds modify-db-cluster-snapshot-attribute

可通过网络访问公开的资源

API Gateway

存在关联的资源策略（参见此处），这可能使得该资源属于多个类别？

操作:

• apigateway create-rest-api
• apigateway update-rest-api
• apigateway create-api

CloudFront

操作:

• cloudfront create-distribution
• cloudfront create-distribution-with-tags

Redshift

操作:

• redshift create-cluster
• redshift modify-cluster

RDS

操作:

• rds create-db-instance
• rds modify-db-instance

EC2

操作:

• ec2 run-instances
• ec2 run-scheduled-instances

弹性 IP

操作:

• ec2 allocate-address

ECS

操作:

• ecs create-service
• ecs update-service
• ecs create-task-set
• ecs update-task-set

Global Accelerator

操作:

• globalaccelerator create-accelerator

ELB

操作:

• elb create-load-balancer
• elbv2 create-load-balancer

Lightsail

操作:

• lightsail allocate-static-ip
• lightsail create-distribution
• lightsail create-relational-database
• lightsail update-relational-database
• lightsail create-load-balancer
• lightsail create-instances

Neptune

操作:

• neptune create-db-instance

ElastiCache

操作:

• elasticache create-cache-cluster

EMR

操作:

• emr create-cluster