Refinar permissões na AWS usando as informações do último acesso

Período de rastreamento: a atividade recente geralmente aparece no console do IAM em até quatro horas. O período de rastreamento para as informações de serviço é de, no mínimo, 400 dias, dependendo do momento em que o serviço começou a rastrear as informações das ações. O período de rastreamento das informações de ações do Amazon S3 começou em 12 de abril de 2020. O período de rastreamento das ações do Amazon EC2, do IAM e do Lambda começou em 7 de abril de 2021. O período de rastreamento para todos os outros serviços começou em 23 de maio de 2023. Para obter uma lista de serviços para os quais informações acessadas pela última vez pela ação estão disponíveis, consulte Serviços e ações para os quais a ação do IAM acessou informações pela última vez. Para obter mais informações sobre em quais regiões informações acessadas pela última vez pela ação estão disponíveis, consulte Onde a AWS rastreia informações acessadas por último.

Tentativas relatadas: os dados do último acesso ao serviço incluem todas as tentativas de acesso a uma API da AWS, não somente as tentativas bem-sucedidas. Isso inclui todas as tentativas de acesso que foram feitas usando o AWS Management Console, a API da AWS por meio de qualquer um dos SDKs ou qualquer uma das ferramentas da linha de comando. Uma entrada inesperada nos dados de últimos serviços acessados não significa que sua conta foi comprometida, pois a solicitação pode ter sido negada. Consulte os logs do CloudTrail como a fonte segura para obter informações sobre todas as chamadas de API e se elas foram bem-sucedidas ou tiveram acesso negado.

PassRole: a ação iam:PassRole não é rastreada e não está incluída nas informações acessadas pela última vez pela ação do IAM.

Informações acessadas pela última vez pela ação: as informações acessadas pela última vez pela ação estão disponíveis para ações de gerenciamento acessadas por identidades do IAM. Veja a lista de serviços e suas ações para as quais a ação acessou informações de relatório pela última vez.

Eventos de gerenciamento: o IAM fornece informações de ação para eventos de gerenciamento de serviço que são registrados em log pelo CloudTrail. Às vezes, eventos de gerenciamento do CloudTrail também são chamados de operações do ambiente de gerenciamento ou eventos do ambiente de gerenciamento. Eventos de gerenciamento fornecem visibilidade nas operações de gerenciamento executadas em recursos na sua Conta da AWS. Para saber mais sobre eventos de gerenciamento no CloudTrail, consulte Registro em log de eventos de gerenciamento no Guia do usuário do AWS CloudTrail.

Report owner (Proprietário do relatório): somente a entidade de segurança que gera um relatório pode visualizar os detalhes do relatório. Isso significa que, quando você visualizar as informações no AWS Management Console, talvez precisará esperar que elas sejam geradas e carregadas. Se você usar a AWS CLI ou a API da AWS para obter detalhes do relatório, suas credenciais deverão corresponder às credenciais do principal que gerou o relatório. Se você usar credenciais temporárias para uma função ou um usuário federado, será necessário gerar e recuperar o relatório durante a mesma sessão. Para obter mais informações sobre as entidades principais de sessão de função assumida, consulte Elementos da política JSON da AWS:Principal.

Recursos do IAM: as informações de acesso mais recente do IAM incluem recursos do IAM (perfis, usuários, grupos de usuários e políticas) em sua conta. As informações de acesso mais recente do Organizations incluem entidades principais (usuários do IAM, perfis do IAM ou o Usuário raiz da conta da AWS) na entidade especificada do Organizations. As informações de acesso mais recente não incluem tentativas não autenticadas.

Tipos de política do IAM: as informações de acesso mais recente do IAM incluem serviços permitidos por políticas de uma identidade do IAM. Essas são as políticas anexadas a uma função ou a um usuário diretamente ou por meio de um grupo. O acesso permitido por outros tipos de política não está incluído no relatório. Os tipos de política excluídos incluem políticas baseadas em recurso, listas de controle de acesso, SCPs do AWS Organizations, limites de permissões do IAM e políticas de sessão. As permissões fornecidas por funções vinculadas ao serviço são definidas pelo serviço ao qual estão vinculadas e não podem ser modificadas no IAM. Para saber mais sobre funções vinculadas ao serviço, consulte Usar funções vinculadas ao serviço Para saber como os diferentes tipos de política são avaliados para permitir ou negar acesso, consulte Lógica da avaliação de política.

Organizations policy types (Tipos de política do Organizations): as informações do AWS Organizations incluem somente os serviços permitidos pelas políticas de controle de serviço (SCPs) herdadas de uma entidade do Organizations. SCPs são políticas anexadas a uma raiz, UO ou conta. O acesso permitido por outros tipos de política não está incluído no relatório. Os tipos de política excluídos incluem políticas baseadas em identidade, políticas baseadas em recurso, listas de controle de acesso, limites de permissões do IAM e políticas de sessão. Para saber como os tipos de política diferentes são avaliados para permitir ou negar acesso, consulte Lógica da avaliação de política.

Specifying a policy ID (Especificar um ID de política): ao usar a AWS CLI ou a API da AWS para gerar um relatório das informações do último acesso do Organizations, você também pode especificar um ID de política. O relatório resultante inclui informações dos serviços permitidos somente por essa política. As informações incluem as atividades de conta mais recentes na entidade do Organizations especificada ou nos filhos da entidade. Para obter mais informações, consulte aws iam generate-organizations-access-report ou GenerateOrganizationsAccessReport.

Organizations management account (Conta de gerenciamento do Organizations): você deve fazer login na conta de gerenciamento da sua organização para visualizar as informações do último acesso ao serviço. Você pode escolher visualizar informações da conta de gerenciamento usando o console do IAM, a AWS CLI, ou a API da AWS. O relatório resultante lista todos os produtos da AWS, porque a conta de gerenciamento não é limitada pelas SCPs. Se você especificar um ID de política na CLI ou API, a política será ignorada. Para cada serviço, o relatório inclui informações somente da conta de gerenciamento. No entanto, os relatórios e outras entidades do Organizations não retornam informações de atividades na conta de gerenciamento.

Organizations settings (Configurações do Organizations): um administrador deve habilitar as SCPs na raiz de sua organização para que você possa gerar dados do Organizations.

iam:GenerateServiceLastAccessedDetails

iam:Get*

iam:List*

Quais usuários, grupos ou funções são anexados a uma política gerenciada

Quais serviços um usuário ou uma função pode acessar

A última vez em que acessaram o serviço

A última vez que tentaram usar uma ação específica do Amazon EC2, IAM, Lambda ou Amazon S3

iam:GenerateServiceLastAccessedDetails

iam:GetServiceLastAccessedDetails

iam:GetServiceLastAccessedDetailsWithEntities

iam:ListPoliciesGrantingServiceAccess

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribeAccount

organizations:DescribeOrganization

organizations:DescribeOrganizationalUnit

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

Para informações acessadas pela última vez pela ação, uma ação que você está esperando ver pode não ser retornada na lista. Isso pode acontecer porque a identidade do IAM não tem permissões para a ação ou a AWS ainda não rastreia a ação quanto a informações do acesso mais recente.

Para um usuário do IAM, verifique se o usuário tem pelo menos uma política gerenciada ou em linha anexada, diretamente ou por meio de associações de grupo.

Para um grupo do IAM, verifique se o grupo tem pelo menos uma política em linha ou gerenciada anexada.

Para um grupo do IAM, o relatório só retorna as informações do último acesso ao serviço de membros que usaram as políticas do grupo para acessar um serviço. Para saber se um membro usou outras políticas, revise as informações acessadas por último desse usuário.

Para uma função do IAM, verifique se a função tem pelo menos uma política em linha ou gerenciada anexada.

Para uma entidade do IAM (usuário ou função), revise outros tipos de política que possam afetar as permissões dessa entidade. Entre eles estão políticas baseadas em recurso, listas de controle de acesso, políticas do AWS Organizations, limites de permissões do IAM ou políticas de sessão. Para obter mais informações, consulte Tipos de políticas ou Avaliação de políticas em uma única conta.

Para uma política do IAM, verifique se a política gerenciada especificada está anexada a pelo menos um usuário, grupo com membros ou função.

Para uma entidade (raiz, UO ou conta) do Organizations, certifique-se de que você esteja conectado usando as credenciais da conta de gerenciamento do Organizations.

Verifique se as SCPs estão habilitadas na raiz da sua organização.

As informações de ação acessadas por último só estão disponíveis para as ações listadas em Serviços e ações para os quais a ação do IAM acessou informações pela última vez.

Informações de serviço: o período de rastreamento para os serviços é de, no mínimo, 400 dias, ou menos, caso a sua região tenha começado a rastrear esse recurso nos últimos 400 dias.

Informações de ações: o período de rastreamento das ações de gerenciamento do Amazon S3 teve início em 12 de abril de 2020. O período de rastreamento para ações de gerenciamento do Amazon EC2, do IAM e do Lambda começou em 7 de abril de 2021. O período de rastreamento para ações de gerenciamento de todos os outros serviços começou em 23 de maio de 2023. Se a data de rastreamento de uma região for posterior a 23 de maio de 2023, as informações acessadas pela última vez pela ação para essa região começarão em uma data posterior.