Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Visualice los informes de credenciales de IAM para todas las cuentas de AWS mediante Amazon Quick Sight *Parag Nagwekar y Arun Chandapillai, Amazon Web Services* ## Resumen | | | Advertencia: Los usuarios de IAM tienen credenciales de larga duración, lo que supone un riesgo de seguridad. Para ayudar a mitigar este riesgo, le recomendamos que brinde a estos usuarios únicamente los permisos que necesitan para realizar la tarea y que los elimine cuando ya no los necesiten. | | --- | Puede utilizar los informes de credenciales de AWS Identity and Access Management (IAM) para ayudarle a cumplir los requisitos de seguridad, auditoría y conformidad de su organización. [Los informes de credenciales](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_getting-report.html) proporcionan una lista de todos los usuarios de sus cuentas de AWS y muestran el estado de sus credenciales, como las contraseñas, claves de acceso y dispositivos de autenticación multifactor (MFA). Puede usar informes de credenciales para varias cuentas de AWS administradas por [AWS Organizations](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/core-concepts.html). Este patrón incluye pasos y código para ayudarle a crear y compartir informes de credenciales de IAM para todas las cuentas de AWS de su organización mediante los paneles de Amazon Quick Sight. Puede compartir los paneles con las partes interesadas de su organización. Los informes pueden ayudar a su organización a lograr los siguientes resultados empresariales previstos: + Identifique los incidentes de seguridad relacionados con los usuarios de IAM + Realice un seguimiento de la migración en tiempo real de los usuarios de IAM a la autenticación de inicio de sesión único (SSO) + Realice un seguimiento de las regiones de AWS a las que acceden los usuarios de IAM + Manténgase en conformidad + Comparta información con otras partes interesadas ## Requisitos previos y limitaciones **Requisitos previos ** + Una cuenta de AWS activa + Las cuentas miembro de una [organización](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_tutorials_basic.html) + Un [rol de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use.html) con permisos para acceder a las cuentas de Organizations + Interfaz de la línea de comandos de AWS (AWS CLI) versión 2, [instalada](https://docs.aws.amazon.com/cli/latest/userguide/getting-started-install.html#getting-started-install-instructions) y [configurada](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-configure.html) + Una [suscripción](https://docs.aws.amazon.com/quicksight/latest/user/signing-up.html) a la [edición Amazon Quick Enterprise](https://docs.aws.amazon.com/quicksight/latest/user/editions.html) ## Arquitectura **Pila de tecnología** + Amazon Athena + Amazon EventBridge + Amazon Quick Suite + Amazon Simple Storage Service (Amazon S3) + AWS Glue + AWS Identity y Access Management (IAM) + AWS Lambda + AWS Organizations **Arquitectura de destino** El siguiente diagrama muestra una arquitectura para configurar un flujo de trabajo que captura los datos de los informes de credenciales de IAM de varias cuentas de AWS. ![\[La siguiente captura de pantalla ilustra el diagrama de arquitectura\]](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/images/pattern-img/8724ff28-40f6-4c43-9c65-fbd18bbbfd0f/images/e780916a-4ab7-4fdc-8ecc-c837c7d90d13.png) 1. EventBridge invoca una función Lambda a diario. 1. La función de Lambda asume un rol de IAM en todas las cuentas de AWS de la organización. A continuación, la función crea el informe de credenciales de IAM y almacena los datos del informe en un bucket de S3 centralizado. Debe habilitar el cifrado y desactivar el acceso público en el bucket de S3. 1. Un rastreador de AWS Glue rastrea el depósito de S3 a diario y actualiza la tabla de Athena en consecuencia. 1. Quick Sight importa y analiza los datos del informe de credenciales y crea un panel que las partes interesadas pueden visualizar y compartir con ellas. ## Tools (Herramientas) **Servicios de AWS** + [Amazon Athena](https://docs.aws.amazon.com/athena/latest/ug/what-is.html) es un servicio de consultas interactivo que facilita el análisis de datos en Amazon S3 con SQL estándar. + [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html) es un servicio de bus de eventos sin servidor que le ayuda a conectar sus aplicaciones con datos en tiempo real de diversas fuentes. Por ejemplo, funciones de Lambda, puntos de conexión de invocación HTTP que utilizan destinos API o buses de eventos en otras cuentas de AWS. + [Amazon QuickSight](https://docs.aws.amazon.com/quicksight/latest/user/welcome.html) es un servicio de inteligencia empresarial (BI) a escala de la nube que lo ayuda a visualizar, analizar y generar informes de sus datos en un único panel. Quick Sight es un componente central de Amazon Quick, que proporciona visualización interactiva de datos, análisis en memoria de SPICE, análisis integrados y uso compartido de paneles. + [AWS Identity and Access Management (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) le permite administrar de forma segura el acceso a los recursos de AWS mediante el control de quién está autenticado y autorizado a utilizarlos. + [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html) es un servicio de computación que ayuda a ejecutar código sin necesidad de aprovisionar ni administrar servidores. Ejecuta el código solo cuando es necesario y amplía la capacidad de manera automática, por lo que solo pagará por el tiempo de procesamiento que utilice. **Código** El código de este patrón está disponible en el GitHub [getiamcredsreport-allaccounts-org](https://github.com/aws-samples/getiamcredsreport-allaccounts-org)repositorio. Puede usar el código de este repositorio para crear informes de credenciales de IAM en todas las cuentas de AWS en Organizations y almacenarlos en una ubicación central. ## Epics ### Configuración de la infraestructura | Tarea | Descripción | Habilidades requeridas | | --- | --- | --- | | Configura la edición Amazon Quick Enterprise. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | Administrador de AWS DevOps, administrador de la nube, arquitecto de la nube | | Integre Amazon Quick Sight con Amazon S3 y Athena. | Debe [autorizar](https://docs.aws.amazon.com/quicksight/latest/user/troubleshoot-connect-to-datasources.html) a Quick Sight a utilizar Amazon S3 y Athena antes de implementar la pila de AWS CloudFormation . | Administrador de AWS DevOps, administrador de la nube, arquitecto de la nube | ### Implementación de la infraestructura | Tarea | Descripción | Habilidades requeridas | | --- | --- | --- | | Clona el GitHub repositorio. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | Administrador de AWS | | Implemente la infraestructura. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | Administrador de AWS | | Cree una política de permisos de IAM. | [Cree una política de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) para cada cuenta de AWS de su organización con los siguientes permisos:
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GenerateCredentialReport",
        "iam:GetCredentialReport"
        ],
      "Resource": "*"
    }
  ]
}
| AWS DevOps, administrador de nube, arquitecto de nube, ingeniero de datos | | Cree un rol de IAM con una política de confianza. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html)
{
   "Version": "2012-10-17",		 	 	 
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam:::role/"
            ]
         },
         "Action":"sts:AssumeRole"
      }
   ]
}
Sustituya `arn:aws:iam:::role/` por el ARN de la función de Lambda que indicó anteriormente.Las organizaciones suelen utilizar la automatización para crear funciones de IAM para sus cuentas de AWS. Le recomendamos que utilice esta automatización, si está disponible. Como alternativa, puede utilizar el `CreateRoleforOrg.py` script del repositorio de código ****. El script requiere una función administrativa existente o cualquier otro rol de IAM que tenga permiso para crear una política y un rol de IAM en cada cuenta de AWS. | Administrador de la nube, arquitecto de la nube, administrador de AWS | | Configure Amazon Quick Sight para visualizar los datos. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | AWS DevOps, administrador de nube, arquitecto de nube, ingeniero de datos | ## Información adicional **Consideraciones adicionales** Considere lo siguiente: + Después de implementar la infraestructura, puede esperar a que Athena cree los informes en Amazon S3 y los analice hasta que Lambda y AWS Glue se ejecuten según lo programado. CloudFormation Como alternativa, puede ejecutar Lambda manualmente para obtener los informes en Amazon S3 y, a continuación, ejecutar el rastreador AWS Glue para obtener la tabla Athena que se crea a partir de los datos. + Quick es una poderosa herramienta para analizar y visualizar datos en función de los requisitos de su empresa. Puedes usar [los parámetros](https://docs.aws.amazon.com/quicksight/latest/user/parameters-in-quicksight.html) de Quick para controlar los datos de los widgets en función de los campos de datos que elijas. Además, puedes usar un análisis rápido para crear parámetros (por ejemplo, campos de cuenta, fecha y usuario, por ejemplo, y `partition_0``partition_1`, `user` respectivamente) a partir de tu conjunto de datos para añadir controles a los parámetros de cuenta, fecha y usuario. + Para crear sus propios paneles de Quick Sight, consulte [Quick Workshops](https://catalog.workshops.aws/quicksight/en-US) en el sitio web de AWS Workshop Studio. + Para ver ejemplos de cuadros de mando de Quick Sight, consulte el repositorio de GitHub [getiamcredsreport-allaccounts-org](https://github.com/aws-samples/getiamcredsreport-allaccounts-org)códigos. **Resultados empresariales específicos** Puede utilizar esta guía para lograr los siguientes resultados empresariales: + **Identifique los incidentes de seguridad relacionados con los usuarios de IAM**: investigue a todos los usuarios de todas las cuentas de AWS de su organización mediante un único panel de control. Puede realizar un seguimiento de la tendencia de las regiones de AWS individuales a las que accedió más recientemente un usuario de IAM y de los servicios que utilizó. + **Realice un seguimiento de la migración en tiempo real de los usuarios de IAM a la autenticación de SSO**: mediante el SSO, los usuarios pueden iniciar sesión una vez con una sola credencial y acceder a varias cuentas y aplicaciones de AWS. Si planea migrar sus usuarios de IAM al SSO, este patrón puede ayudarlo a realizar la transición al SSO y a realizar un seguimiento del uso de todas las credenciales de los usuarios de IAM (como el acceso a la consola de administración de AWS o el uso de claves de acceso) en todas las cuentas de AWS. + **Realice un seguimiento de las regiones de AWS a las que acceden los usuarios de IAM**: puede controlar el acceso de los usuarios de IAM a las regiones con diversos fines, como la soberanía de los datos y el control de costos. También puede realizar un seguimiento del uso de las regiones por parte de cualquier usuario de IAM. + **Cumpla con las normas**: si sigue el principio de privilegios mínimos, solo puede conceder los permisos de IAM específicos necesarios para realizar una tarea específica. Además, puede realizar un seguimiento del acceso a los servicios de AWS, a la consola de administración de AWS y al uso prolongado de las credenciales. + **Comparta información con otras partes interesadas**: puede compartir paneles seleccionados con otras partes interesadas, sin darles acceso a los informes de credenciales de IAM ni a las cuentas de AWS.