Ресурс aws_iam_group

[править на GitHub]

Используйте ресурс аудита InSpec aws_iam_group для проверки свойств одной группы IAM.

Синтаксис

Блок ресурса aws_iam_group идентифицирует группу по имени группы.

describe aws_iam_group('mygroup') do
  it { should exist }
end

# Hash syntax for group name
describe aws_iam_group(group_name: 'mygroup') do
  it { should exist }
end

Параметры

group_name (обязательный)

Этот ресурс принимает один параметр, имя группы, которое однозначно идентифицирует группу IAM. Его можно передать как строку или как group_name: 'value' пару ключ-значение в хэше.

См. также документацию AWS по группам IAM.

Свойства

Свойство	Описание
group_name	Имя группы.
group_id	Идентификатор группы.
arn	Amazon Resource Name группы.
users	Массив пользователей, связанных с группой.

Примеры

Убедитесь, что группа содержит определенного пользователя

describe aws_iam_group('admin-group') do
  its('users') { should include 'deployment-service-account')}
end

Сопоставители

exist

Контроль будет пройден, если describe вернет хотя бы один результат.

Используйте should_not для проверки, что сущность не должна существовать.

describe aws_iam_group('AnExistingGroup') do
  it { should exist }
end

describe aws_iam_group('ANonExistentGroup') do
  it { should_not exist }
end

Разрешения AWS

Вашему Принципалу потребуются iam:GetGroup действие с установленным значением Effect на Разрешено.

Подробную документацию можно найти по адресу Действия, ресурсы и ключи условий для управления удостоверениями и доступом.