Ресурс aws_iam_inline_policy

[править на GitHub]

Используйте ресурс проверки aws_iam_inline_policy InSpec для проверки свойств отдельной встроенной политики AWS IAM, встроенной в пользователя IAM, группу IAM или роль IAM. Для управляемых политик используйте ресурс aws_iam_policy.

Синтаксис

Блок ресурса aws_iam_inline_policy определяет встроенную политику по имени политики и пользователю/группе/роли по имени.

# Find an inline policy by name and role name
describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  it { should exist }
end

# Find an inline policy by name and group name
describe aws_iam_inline_policy(group_name: 'group-x', policy_name: 'policy-1') do
  it { should exist }
end

# Find an inline policy by name and user name
describe aws_iam_inline_policy(user_name: 'user-a', policy_name: 'policy-1') do
  it { should exist }
end

Параметры

Для этого ресурса необходимо указать policy_name и один из role_name, group_name или user_name.

Дополнительные сведения см. в документации AWS по встроенным политикам.

• get-role-policy
• get-group-policy
• get-user-policy

Свойства

Свойство	Описание
policy	Возвращает стандартную версию документа политики после декодирования в виде Ruby-хэша. Этот хэш содержит утверждения политики и полезен для выполнения проверок, которые нельзя выразить с помощью матчеров высокого уровня, таких как have_statement.
statement_count	Возвращает количество утверждений, присутствующих в policy.

Примеры

Проверка существования политики

describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  it { should exist }
end

Просмотр утверждений политики

describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  # Verify that there is at least one statement allowing access to S3
  it { should have_statement(Action: 's3:PutObject', Effect: 'allow') }

  # have_statement does not expand wildcards. If you want to verify
  # they are absent, an explicit check is required.
  it { should_not have_statement(Action: 's3:*') }

  # You can also check NotAction
  it { should_not have_statement(NotAction: 'iam:*') }
end

Матчеры

Этот ресурс проверки InSpec имеет следующие специальные матчеры. Полный список доступных матчеров см. на странице Универсальные матчеры.

exist

Управление пройдет, если функция describe вернёт как минимум один результат.

Используйте should_not для проверки, что сущность не должна существовать.

  it { should exist }

  it { should_not exist }

have_statement

Анализирует список утверждений, содержащихся в политике, и проходит, если как минимум одно из утверждений соответствует. Этот матчер не интерпретирует политику в контексте авторизации запроса, как это делает AWS при обработке запроса. Вместо этого have_statement анализирует буквальное содержимое политики IAM и сообщает о том, что присутствует (или отсутствует, при использовании с should_not).

have_statement принимает следующие критерии для поиска соответствующих утверждений. Если любое утверждение соответствует всем критериям, тест считается успешным. Все критерии могут быть использованы в стиле Titlecase (как в примерах AWS) или lowercase, строка или символ.

• Action - Выражает запрашиваемую операцию. Допустимые буквальные значения - любое имя операции AWS, включая символ подстановки «*». Action также может использовать список имён операций AWS.
• Effect - Выражает, разрешена ли операция. Допустимые значения - «Deny» и «Allow».
• Sid - Пользовательский строковый идентификатор для утверждения.
• Resource - Выражает целевой объект операции. Допустимые значения - ARNs, включая символ подстановки «*». Resource также может использовать список значений ARN.

Обратите внимание на следующее поведение have_statement:

• Action, Sid, и Resource позволяют использовать регулярное выражение в качестве критерия поиска вместо буквальной строки.
• он не поддерживает подстановку символов; для проверки значения подстановки нужно проверить его явно. Например, если политика содержит утверждение с "Action": "s3:*" и тест проверяет Action: "s3:PutObject", тест не будет соответствовать. Вам необходимо написать дополнительный тест, проверяющий случай с символом подстановки.
• он поддерживает поиск в списках значений. Например, если утверждение содержит список из 3 ресурсов, а тест have_statement указывает один из этих ресурсов, он будет соответствовать.
• Action и Resource позволяют использовать список строковых литералов или регулярных выражений в тесте, в этом случае все должны соответствовать одному и тому же утверждению, чтобы тест соответствовал. Порядок игнорируется.
• он не поддерживает ключ [Principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/intro-structure.html#intro-structure-principal) или Conditional, а также NotAction, Not[Principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/intro-structure.html#intro-structure-principal) или NotResource.

Примеры:

# Verify there is no full-admin statement
describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  it { should_not have_statement('Effect' => 'Allow', 'Resource' => '*', 'Action' => '*')}
end

# Symbols and lowercase also allowed as criteria
describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  # All 4 the same
  it { should_not have_statement('Effect' => 'Allow', 'Resource' => '*', 'Action' => '*')}
  it { should_not have_statement('effect' => 'Allow', 'resource' => '*', 'action' => '*')}
  it { should_not have_statement(Effect: 'Allow', Resource: '*', Action: '*')}
  it { should_not have_statement(effect: 'Allow', resource: '*', action: '*')}
end

# Verify bob is allowed to manage things on S3 buckets that start with bobs-stuff
describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  it { should have_statement(Effect: 'Allow',
                             # Using the AWS wildcard - this must match exactly
                             Resource: 'arn:aws:s3:::bobs-stuff*',
                             # Specify a list of actions - all must match, no others, order isn't important
                             Action: ['s3:PutObject', 's3:GetObject', 's3:DeleteObject'])}

  # Bob would make new buckets constantly if we let him.
  it { should_not have_statement(Effect: 'Allow', Action: 's3:CreateBucket')}
  it { should_not have_statement(Effect: 'Allow', Action: 's3:*')}
  it { should_not have_statement(Effect: 'Allow', Action: '*')}

  # An alternative to checking for wildcards is to specify the
  # statements you expect, then restrict statement count
  its('statement_count') { should cmp 1 }
end

# Use regular expressions to examine the policy
describe aws_iam_inline_policy(role_name: 'role-x', policy_name: 'policy-1') do
  # Check to see if anything mentions RDS at all.
  # This catches `rds:CreateDBinstance` and `rds:*`, but would not catch '*'.
  it { should_not have_statement(Action: /^rds:.+$/)}

  # This policy should refer to both sally and kim's s3 buckets.
  # This will only match if there is a statement that refers to both resources.
  it { should have_statement(Resource: [/arn:aws:s3.+:sally/, /arn:aws:s3.+:kim/]) }
  # The following also matches on a statement mentioning only one of them
  it { should have_statement(Resource: /arn:aws:s3.+:(sally|kim)/) }
end

Разрешения AWS

Вашему Принципалу потребуются iam:GetUserPolicy, iam:GetRolePolicy, и iam:GetGroupPolicy действия, установленные на разрешение.

Подробную документацию можно найти по адресу Действия, ресурсы и ключи условий для управления удостоверениями и доступом.