AWS Config - Conformité IAM

Ce blog fait partie de la série où nous discutons des concepts DevOps de Ground Zero pour un public qui a des connaissances de départ limitées. Cet article fait partie de la série Expert-Level puisqu'il s'agit de comprendre le fonctionnement d' un service WS Config Cloud pour assurer la conformité de la sécurité AWS IAM .

Certains des blogs précédents de la série Cloud sont les suivants.

TweetBot Azure Functions-GitHub Actions Incident Bot

Qu'est-ce qu'AWSIAM ?

IAM signifie Identity and Access Management Service, l'épine dorsale pour accéder aux comptes AWS en utilisant le bon ensemble de rôles, d'identités, de groupes et de politiques . Ces identités sont variées : accès humain pour console/cli, comptes de service utilisés pour l'automatisation via AWS SDK , rôles attachés aux services AWS pour accéder à d'autres services AWS pour des cas d'utilisation professionnels. Compte tenu de la nature du risque d'exposition des mots de passe, l'application d'une politique d'accès fourre-tout — l'automatisation de la sécurité autour d'AWS IAM est très essentielle pour les petites startups ainsi que pour les entreprises multinationales.

Qu'est-ce qu'AWS Config ?

AWS Config est utilisé pour auditer, accéder et configurer les ressources sélectionnées dans le compte AWS donné via des politiques prédéfinies ( fournies par AWS) ou personnalisées ( exécution AWS Lambda ). Outre l'audit, les règles de correction des ressources peuvent être définies à l'aide de pipelines manuels/automatisés. La configuration réduit le besoin de surveillance manuelle du globe oculaire et les mêmes règles peuvent être étendues à plusieurs services/comptes/domaines d'activité AWS.

Cas d'utilisation de la conformité IAM

Certains des cas d'utilisation de conformité IAM les plus courants que nous automatiserons à l'aide de Terraform dans ce blog sont

i) Vérification de la clé de l'utilisateur racine - Cette politique vérifie si une clé d'accès est générée pour l' utilisateur racine. Un utilisateur racine est un super administrateur sur le compte AWS qui a un accès administrateur à tous les services du compte et le risque le plus élevé d'exposition vulnérable.

ii) Comptes activés MFA - Cette stratégie vérifie si tous les utilisateurs du compte AWS disposent d'une authentification multifacteur via un appareil secondaire autre que les mots de passe activés sur leurs comptes.

iii) MFA activé pour la console - Sous-ensemble de la stratégie 3, uniquement pour les utilisateurs qui ont activé un mot de passe de console.

iv) Informations d' identification IAM inutilisées - Cette politique vérifie s'il existe des clés d'accès inutilisées qui n'ont pas été utilisées pendant X jours définis dans la politique (par défaut 90 jours)

Présentation de l'automatisation d'AWS Config

Légende

1–2 Configuration des stratégies AWS Config à l'aide des modules Terraform par aws_providers dans la communauté HashiCorp .
2–3 Déclenchements périodiques toutes les heures pour vérifier les changements de configuration sur les ressources IAM.
3–4 Capturez les journaux, les instantanés de l'historique d'exécution dans le compartiment AWS S3 .
3 à 5 ressources AWS IAM qui respectent les politiques ci-dessus marquées comme conformes.
3 à 6 ressources AWS IAM qui respectent les stratégies ci-dessus marquées comme non conformes.
6–7 Ressources non conformes marquées pour une correction manuelle .
6–8 Ressources non conformes marquées pour la correction automatisée .

Remarque - Nous couvrirons 6 à 8 dans un autre blog en raison de certaines limitations de Terraform à l'aide d'un autre outil d'automatisation

Automatisation AWS Config Terraform

Installer Terraform

Utilisation des étapes dans le blog donné —https://blog.devgenius.io/public-cloud-first-static-website-7d6f7c6f794

Créer des modules

Utilisation de la configuration main.tf suivante

Modules en cours d'exécution

Initialising Modules
terraform init
Planning Modules
terraform plan
Applying Modules
terraform apply

Connectez-vous à la console AWS pour vérifier les éléments suivants

Configuration des règles AWS Config

Configuration du canal de livraison AWS S3

Ressources additionnelles

Pour obtenir des commentaires, veuillez envoyer un message à amit[dot]894[at]gmail[dot]com ou contacter l'un des liens sur https://about.me/amit_raj .