Memperbaiki izin dalam AWS menggunakan informasi yang terakhir diakses

Periode pelacakan — Aktivitas terbaru muncul di IAM konsol dalam waktu empat jam. Periode pelacakan untuk informasi layanan setidaknya 400 hari tergantung pada kapan layanan mulai melacak informasi tindakan. Periode pelacakan untuk informasi tindakan Amazon S3 dimulai pada 12 April 2020. Periode pelacakan untuk Amazon EC2IAM,, dan tindakan Lambda dimulai pada 7 April 2021. Periode pelacakan untuk semua layanan lainnya dimulai pada 23 Mei 2023. Untuk daftar layanan yang informasi terakhir diakses tindakan yang tersedia, lihatIAMtindakan terakhir diakses layanan informasi dan tindakan. Untuk informasi selengkapnya tentang tindakan Wilayah mana yang terakhir diakses informasi tersedia, lihatTempat AWS melacak informasi terakhir yang diakses.

Upaya dilaporkan — Layanan data terakhir diakses mencakup semua upaya untuk mengakses AWS API, bukan hanya upaya yang berhasil. Ini termasuk semua upaya yang dilakukan menggunakan AWS Management Console, AWS API melalui salah satuSDKs, atau salah satu alat baris perintah. Entri tak terduga dalam layanan data terakhir yang diakses tidak berarti akun Anda telah disusupi, karena permintaan tersebut mungkin ditolak. Lihat CloudTrail log Anda sebagai sumber otoritatif untuk informasi tentang semua API panggilan dan apakah mereka berhasil atau ditolak aksesnya.

PassRole— iam:PassRole Tindakan tidak dilacak dan tidak termasuk dalam IAM tindakan informasi yang diakses terakhir.

Action last access information — Action last access information tersedia untuk tindakan manajemen layanan yang diakses oleh IAM identitas. Lihat daftar layanan dan tindakan mereka untuk tindakan yang terakhir diakses melaporkan informasi.

Peristiwa manajemen - IAM menyediakan informasi tindakan untuk peristiwa manajemen layanan yang dicatat oleh CloudTrail. Terkadang, peristiwa CloudTrail manajemen juga disebut operasi pesawat kontrol atau peristiwa pesawat kontrol. Acara manajemen memberikan visibilitas ke dalam operasi administratif yang dilakukan pada sumber daya di Anda Akun AWS. Untuk mempelajari selengkapnya tentang peristiwa manajemen di CloudTrail, lihat peristiwa pengelolaan log di Panduan AWS CloudTrail Pengguna.

Laporkan pemilik – Hanya penanggung jawab yang membuat laporan yang dapat melihat detail laporan. Ini berarti bahwa ketika Anda melihat informasi di AWS Management Console, Anda mungkin harus menunggu untuk menghasilkan dan memuat. Jika Anda menggunakan AWS CLI atau AWS API untuk mendapatkan detail laporan, kredensional Anda harus sesuai dengan kredensi prinsipal yang menghasilkan laporan. Apabila Anda menggunakan kredensial sementara untuk peran atau pengguna gabungan, Anda harus membuat dan mengambil laporan selama sesi yang sama. Untuk informasi lebih lanjut tentang penanggung jawab sesi peran yang diasumsikan, lihat AWS JSONelemen kebijakan: Principal.

IAMsumber daya — Informasi yang terakhir diakses untuk IAM mencakup IAM sumber daya (peran, pengguna, IAM grup, dan kebijakan) di akun Anda. Informasi terakhir yang diakses untuk Organizations mencakup prinsipal (IAMpengguna, IAM peran, atau Pengguna root akun AWS) dalam entitas Organizations tertentu. Informasi terakhir yang diakses tidak termasuk upaya yang tidak diautentikasi.

IAMJenis kebijakan — Informasi terakhir yang diakses untuk IAM mencakup layanan yang diizinkan oleh kebijakan IAM identitas. Ini merupakan kebijakan yang melekat pada suatu peran atau terlampir pada pengguna secara langsung atau melalui grup. Akses yang diperbolehkan oleh jenis kebijakan lain tidak termasuk dalam laporan Anda. Jenis kebijakan yang dikecualikan mencakup kebijakan berbasis sumber daya, daftar kontrol akses, batasan IAM izin AWS Organizations SCPs, dan kebijakan sesi. Izin yang disediakan oleh peran terkait layanan ditentukan oleh layanan yang ditautkan dan tidak dapat dimodifikasi. IAM Untuk mempelajari lebih lanjut tentang peran terkait layanan, lihat Buat peran tertaut layanan Untuk mempelajari cara jenis kebijakan yang berbeda dievaluasi untuk memungkinkan atau menolak akses, lihat Logika evaluasi kebijakan.

Jenis kebijakan Organizations — Informasi untuk hanya AWS Organizations mencakup layanan yang diizinkan oleh kebijakan kontrol layanan warisan entitas Organizations (SCPs). SCPsadalah kebijakan yang dilampirkan ke root, OU, atau akun. Akses yang diperbolehkan oleh jenis kebijakan lain tidak termasuk dalam laporan Anda. Jenis kebijakan yang dikecualikan mencakup kebijakan berbasis identitas, kebijakan berbasis sumber daya, daftar kontrol akses, batas izin, dan kebijakan sesi. IAM Untuk mempelajari cara berbagai jenis kebijakan dievaluasi untuk memungkinkan atau menolak akses, lihat Logika evaluasi kebijakan.

Menentukan ID kebijakan — Saat Anda menggunakan AWS CLI atau membuat laporan AWS API untuk informasi yang terakhir diakses di Organizations, Anda dapat menentukan ID kebijakan secara opsional. Laporan yang dihasilkan mencakup informasi untuk layanan yang diperbolehkan hanya oleh kebijakan tersebut. Informasi ini mencakup aktivitas akun terbaru di entitas Organisasi yang spesifik atau anak dari entitas tersebut. Untuk informasi selengkapnya, lihat aws iam generate-organizations-access-report atau GenerateOrganizationsAccessReport.

Akun manajemen organisasi – Anda harus masuk ke akun manajemen organisasi Anda untuk melihat informasi yang terakhir diakses oleh layanan. Anda dapat memilih untuk melihat informasi untuk akun manajemen menggunakan IAM konsol, AWS CLI, atau AWS API. Laporan yang dihasilkan mencantumkan semua AWS layanan, karena akun manajemen tidak dibatasi olehSCPs. Jika Anda menentukan ID kebijakan di CLI atauAPI, kebijakan akan diabaikan. Untuk setiap layanan, laporan mencakup informasi hanya untuk akun manajemen. Namun, laporan untuk entitas Organisasi lain tidak mengembalikan informasi atas aktivitas di akun manajemen.

Pengaturan Organizations — Administrator harus mengaktifkan SCPs di root organisasi Anda sebelum Anda dapat menghasilkan data untuk Organizations.

iam:GenerateServiceLastAccessedDetails

iam:Get*

iam:List*

Pengguna, kelompok, atau peran yang dilampirkan pada kebijakan terkelola

Layanan yang dapat diakses pengguna atau peran

Terakhir kali mereka mengakses layanan

Terakhir kali mereka mencoba menggunakan tindakan Amazon,, Lambda EC2IAM, atau Amazon S3 tertentu

iam:GenerateServiceLastAccessedDetails

iam:GetServiceLastAccessedDetails

iam:GetServiceLastAccessedDetailsWithEntities

iam:ListPoliciesGrantingServiceAccess

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribeAccount

organizations:DescribeOrganization

organizations:DescribeOrganizationalUnit

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

iam:GenerateOrganizationsAccessReport

iam:GetOrganizationsAccessReport

organizations:DescribePolicy

organizations:ListChildren

organizations:ListParents

organizations:ListPoliciesForTarget

organizations:ListRoots

organizations:ListTargetsForPolicy

Untuk informasi tindakan yang terakhir kali diakses, tindakan yang Anda harapkan untuk dilihat mungkin tidak akan dikembalikan dalam daftar. Ini dapat terjadi baik karena IAM identitas tidak memiliki izin untuk tindakan, atau AWS belum melacak tindakan untuk informasi yang terakhir diakses.

Untuk IAM pengguna, pastikan bahwa pengguna memiliki setidaknya satu kebijakan inline atau terkelola yang dilampirkan, baik secara langsung atau melalui keanggotaan grup.

Untuk IAM grup, verifikasi bahwa grup memiliki setidaknya satu kebijakan inline atau terkelola yang dilampirkan.

Untuk IAM grup, laporan hanya menampilkan layanan informasi yang terakhir diakses untuk anggota yang menggunakan kebijakan grup untuk mengakses layanan. Untuk mempelajari apakah anggota menggunakan kebijakan lain, tinjau informasi yang terakhir diakses untuk pengguna tersebut.

Untuk IAM peran, verifikasi bahwa peran tersebut memiliki setidaknya satu kebijakan sebaris atau terkelola yang dilampirkan.

Untuk IAM entitas (pengguna atau peran), tinjau jenis kebijakan lain yang mungkin memengaruhi izin entitas tersebut. Ini termasuk kebijakan berbasis sumber daya, daftar kontrol akses, kebijakan, batas IAM izin, atau AWS Organizations kebijakan sesi. Untuk informasi selengkapnya, lihat Jenis kebijakan atau Evaluasi kebijakan untuk permintaan dalam satu akun.

Untuk IAM kebijakan, pastikan bahwa kebijakan terkelola yang ditentukan dilampirkan ke setidaknya satu pengguna, grup dengan anggota, atau peran.

Untuk entitas Organisasi (root, OU, atau akun), pastikan bahwa Anda masuk menggunakan kredensial akun manajemen Organisasi.

Verifikasi SCPsyang diaktifkan di root organisasi Anda.

Informasi tindakan yang terakhir diakses hanya tersedia untuk tindakan yang tercantum dalamIAMtindakan terakhir diakses layanan informasi dan tindakan.

Informasi layanan — Periode pelacakan untuk layanan setidaknya 400 hari, atau kurang jika Wilayah Anda mulai melacak fitur ini dalam 400 hari terakhir.

Informasi tindakan – Periode pelacakan untuk tindakan manajemen Amazon S3 dimulai pada 12 April 2020. Periode pelacakan untuk Amazon EC2IAM,, dan tindakan manajemen Lambda dimulai pada 7 April 2021. Periode pelacakan untuk tindakan manajemen semua layanan lainnya dimulai pada 23 Mei 2023. Jika tanggal pelacakan suatu Wilayah lebih lambat dari 23 Mei 2023, maka tindakan yang terakhir diakses informasi dari Wilayah tersebut akan dimulai di kemudian hari.