aws_iam_policy resource — Chef 18

Используйте ресурс аудита InSpec aws_iam_policy для проверки свойств отдельной управляемой политики AWS IAM.

Синтаксис

Блок ресурса aws_iam_policy определяет политику по имени политики или arn

# Find a policy by name
describe aws_iam_policy('AWSSupportAccess') do
  it { should exist }
end

# Hash syntax for policy name
describe aws_iam_policy(policy_name: 'AWSSupportAccess') do
  it { should exist }
end

Параметры

Для этого ресурса необходимо указать либо policy_name, либо policy_arn.

policy_name (обязательно, если `policy_arn` не указано)

Имя политики, которое однозначно идентифицирует политику. Оно должно передаваться в виде пары «ключ-значение» в хеше.

policy_arn (обязательно, если `policy_name` не указано)

ARN политики, который однозначно идентифицирует политику. Он должен передаваться в виде пары «ключ-значение» в хеше.

См. также документацию AWS по политике IAM.

Свойства

Свойство	Описание
arn	Идентификатор ARN указанной политики.
attachment_count	Количество прикреплённых сущностей для указанной политики.
attached_groups	Список имён групп, прикреплённых к политике.
attached_roles	Список имён ролей, прикреплённых к политике.
attached_users	Список имён пользователей, прикреплённых к политике.
default_version_id	Значение ‘default_version_id’ указанной политики.
policy	Возвращает версию политики по умолчанию после декодирования в качестве Ruby хеша. Этот хеш содержит утверждения политики и полезен для выполнения проверок, которые нельзя выразить с помощью матчеров более высокого уровня, таких как `have_statement`.
statement_count	Возвращает количество утверждений, присутствующих в `policy`.

Примеры

Проверка существования политики

describe aws_iam_policy('AWSSupportAccess') do
  it { should exist }
end

Проверка, что политика прикреплена по крайней мере к одной сущности

describe aws_iam_policy('AWSSupportAccess') do
  it { should be_attached }
end

Просмотр утверждений политики

describe aws_iam_policy('my-policy') do
  # Verify that there is at least one statement allowing access to S3
  it { should have_statement(Action: 's3:PutObject', Effect: 'allow') }

  # have_statement does not expand wildcards. If you want to verify
  # they are absent, an explicit check is required.
  it { should_not have_statement(Action: 's3:*') }

  # You can also check NotAction
  it { should_not have_statement(NotAction: 'iam:*') }
end

Матчеры

Этот ресурс аудита InSpec имеет следующие специальные матчеры. Полный список доступных матчеров см. на странице Универсальных матчеров.

exist

Контроль пройдёт, если describe вернёт хотя бы один результат.

Используйте should_not для проверки, что сущность не должна существовать.

  it { should exist }

  it { should_not exist }

be_attached

Тест пройдёт, если указанная политика прикреплена по крайней мере к одному пользователю, группе или роли IAM.

describe aws_iam_policy('AWSSupportAccess') do
  it { should be_attached }
end

be_attached_to_group(GROUPNAME)

Тест пройдёт, если указанная политика прикреплена к указанной группе.

describe aws_iam_policy('AWSSupportAccess') do
  it { should be_attached_to_group(GROUPNAME) }
end

be_attached_to_user(USERNAME)

Тест пройдёт, если указанная политика прикреплена к указанному пользователю.

describe aws_iam_policy('AWSSupportAccess') do
  it { should be_attached_to_user(USERNAME) }
end

be_attached_to_role(ROLENAME)

Тест пройдёт, если указанная политика прикреплена к указанной роли.

describe aws_iam_policy('AWSSupportAccess') do
  it { should be_attached_to_role(ROLENAME) }
end

have_statement

Проверяет список утверждений, содержащихся в политике, и проходит, если хотя бы одно из утверждений соответствует. Этот матчер не интерпретирует политику в контексте авторизации запроса, как это делает AWS при обработке запроса. Вместо этого have_statement проверяет буквальное содержимое политики IAM и сообщает о том, что присутствует (или отсутствует, при использовании с should_not).

have_statement принимает следующие критерии для поиска совпадающих утверждений. Если какое-либо утверждение соответствует всем критериям, тест проходит. Все критерии могут быть использованы в верхнем регистре (как в примерах AWS) или в нижнем регистре, строкой или символом.

Action - Описывает запрашиваемую операцию. Допустимые буквальные значения — любое имя операции AWS, включая символ «*» подстановки. Action также может использовать список имён операций AWS.
Effect - Определяет, разрешена ли операция. Допустимые значения — ‘Deny’ и ‘Allow’.
Sid - Пользовательский строковый идентификатор для утверждения.
Resource - Определяет целевой объект операции. Допустимые значения — ARN, включая символ «*» подстановки. Resource также может использовать список значений ARN.

Обратите внимание на следующее поведение have_statement:

Action, Sid, и Resource позволяют использовать регулярное выражение в качестве критерия поиска вместо строкового литерала.
Он не поддерживает подстановку символов; чтобы проверить значение подстановки, проверьте его явно. Например, если политика содержит утверждение с "Action": "s3:*", а тест проверяет Action: "s3:PutObject", тест не будет соответствовать. Вам необходимо написать дополнительный тест, проверяющий случай подстановки.
Он поддерживает поиск в списках значений. Например, если утверждение содержит список из 3 ресурсов, и тест have_statement указывает один из этих ресурсов, он будет соответствовать.
Action и Resource позволяют использовать список строковых литералов или регулярных выражений в тесте, в этом случае все должны соответствовать тому же утверждению для прохождения теста. Порядок не учитывается.
Он не поддерживает Principal, NotPrincipal или Condition.

Примеры:

# Verify there is no full-admin statement
describe aws_iam_policy('kryptonite') do
  it { should_not have_statement('Effect' => 'Allow', 'Resource' => '*', 'Action' => '*')}
end

# Symbols and lowercase also allowed as criteria
describe aws_iam_policy('kryptonite') do
  # All 4 the same
  it { should_not have_statement('Effect' => 'Allow', 'Resource' => '*', 'Action' => '*')}
  it { should_not have_statement('effect' => 'Allow', 'resource' => '*', 'action' => '*')}
  it { should_not have_statement(Effect: 'Allow', Resource: '*', Action: '*')}
  it { should_not have_statement(effect: 'Allow', resource: '*', action: '*')}
end

# Verify bob is allowed to manage things on S3 buckets that start with bobs-stuff
describe aws_iam_policy('bob-is-a-packrat') do
  it { should have_statement(Effect: 'Allow',
                             # Using the AWS wildcard - this must match exactly
                             Resource: 'arn:aws:s3:::bobs-stuff*',
                             # Specify a list of actions - all must match, no others, order isn't important
                             Action: ['s3:PutObject', 's3:GetObject', 's3:DeleteObject'])}

  # Bob would make new buckets constantly if we let him.
  it { should_not have_statement(Effect: 'Allow', Action: 's3:CreateBucket')}
  it { should_not have_statement(Effect: 'Allow', Action: 's3:*')}
  it { should_not have_statement(Effect: 'Allow', Action: '*')}

  # An alternative to checking for wildcards is to specify the
  # statements you expect, then restrict statement count
  its('statement_count') { should cmp 1 }
end

# Use regular expressions to examine the policy
describe aws_iam_policy('regex-demo') do
  # Check to see if anything mentions RDS at all.
  # This catches `rds:CreateDBinstance` and `rds:*`, but would not catch '*'.
  it { should_not have_statement(Action: /^rds:.+$/)}

  # This policy should refer to both sally and kim's s3 buckets.
  # This will only match if there is a statement that refers to both resources.
  it { should have_statement(Resource: [/arn:aws:s3.+:sally/, /arn:aws:s3.+:kim/]) }
  # The following also matches on a statement mentioning only one of them
  it { should have_statement(Resource: /arn:aws:s3.+:(sally|kim)/) }
end

Разрешения AWS

Вашему Principal потребуются iam:GetPolicy, iam:ListPolicy, и iam:ListEntitiesForPolicy действия, установленные на разрешение.

Подробная документация доступна по адресу Действия, ресурсы и ключи условий для управления удостоверениями и доступом.

Ресурс aws_iam_policy