Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Visualizza i report sulle credenziali IAM per tutti gli account AWS utilizzando Amazon Quick Sight *Parag Nagwekar e Arun Chandapillai, Amazon Web Services* ## Riepilogo | | | Avviso: gli utenti IAM dispongono di credenziali a lungo termine, il che rappresenta un rischio per la sicurezza. Per ridurre questo rischio, si consiglia di fornire a questi utenti solo le autorizzazioni necessarie per eseguire l'attività e di rimuoverli quando non sono più necessari. | | --- | Puoi utilizzare i report sulle credenziali di AWS Identity and Access Management (IAM) per aiutarti a soddisfare i requisiti di sicurezza, controllo e conformità della tua organizzazione. [I report sulle credenziali](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_getting-report.html) forniscono un elenco di tutti gli utenti dei tuoi account AWS e mostrano lo stato delle loro credenziali, come password, chiavi di accesso e dispositivi di autenticazione a più fattori (MFA). Puoi utilizzare i report delle credenziali per più account AWS gestiti da [AWS Organizations](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/core-concepts.html). Questo modello include passaggi e codice per aiutarti a creare e condividere report sulle credenziali IAM per tutti gli account AWS della tua organizzazione utilizzando i dashboard di Amazon Quick Sight. Puoi condividere le dashboard con le parti interessate della tua organizzazione. I report possono aiutare l'organizzazione a raggiungere i seguenti risultati aziendali mirati: + Identifica gli incidenti di sicurezza relativi agli utenti IAM + Tieni traccia della migrazione in tempo reale degli utenti IAM all'autenticazione Single Sign-On (SSO) + Tieni traccia delle regioni AWS a cui accedono gli utenti IAM + Rimani conforme + Condividi le informazioni con altre parti interessate ## Prerequisiti e limitazioni **Prerequisiti** + Un account AWS attivo + Un'[organizzazione](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_tutorials_basic.html) con account membri + Un [ruolo IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use.html) con autorizzazioni per accedere agli account in Organizations + [AWS Command Line Interface (AWS CLI) versione 2[,](https://docs.aws.amazon.com/cli/latest/userguide/getting-started-install.html#getting-started-install-instructions) installata e configurata](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-configure.html) + Un [abbonamento](https://docs.aws.amazon.com/quicksight/latest/user/signing-up.html) all'[edizione Amazon Quick Enterprise](https://docs.aws.amazon.com/quicksight/latest/user/editions.html) ## Architecture **Stack tecnologico** + Amazon Athena + Amazon EventBridge + Amazon Quick Sight + Amazon Simple Storage Service (Amazon S3) + AWS Glue + AWS Identity and Access Management (IAM) + AWS Lambda + AWS Organizations **Architettura Target** Il diagramma seguente mostra un'architettura per la configurazione di un flusso di lavoro che acquisisce i dati dei report sulle credenziali IAM da più account AWS. ![\[La schermata seguente illustra il diagramma dell'architettura\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/images/pattern-img/8724ff28-40f6-4c43-9c65-fbd18bbbfd0f/images/e780916a-4ab7-4fdc-8ecc-c837c7d90d13.png) 1. EventBridge richiama una funzione Lambda ogni giorno. 1. La funzione Lambda assume un ruolo IAM in ogni account AWS dell'organizzazione. Quindi, la funzione crea il report sulle credenziali IAM e archivia i dati del report in un bucket S3 centralizzato. È necessario abilitare la crittografia e disattivare l'accesso pubblico sul bucket S3. 1. Un crawler AWS Glue esegue quotidianamente la scansione del bucket S3 e aggiorna di conseguenza la tabella Athena. 1. Quick Sight importa e analizza i dati del report sulle credenziali e crea una dashboard che può essere visualizzata e condivisa con le parti interessate. ## Tools (Strumenti) **Servizi AWS** + [Amazon Athena](https://docs.aws.amazon.com/athena/latest/ug/what-is.html) è un servizio di query interattivo che semplifica l'analisi dei dati in Amazon S3 utilizzando SQL standard. + [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html) è un servizio di bus eventi senza server che ti aiuta a connettere le tue applicazioni con dati in tempo reale provenienti da una varietà di fonti. Ad esempio, funzioni Lambda, endpoint di invocazione HTTP che utilizzano destinazioni API o bus di eventi in altri account AWS. + [Amazon Quick Sight](https://docs.aws.amazon.com/quicksight/latest/user/welcome.html) è un servizio di business intelligence (BI) su scala cloud che ti aiuta a visualizzare, analizzare e generare report sui dati in un'unica dashboard. Quick Sight è un componente fondamentale di Amazon Quick, che fornisce visualizzazione interattiva dei dati, analisi in memoria SPICE, analisi integrate e condivisione di dashboard. + [AWS Identity and Access Management (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) ti aiuta a gestire in modo sicuro l'accesso alle tue risorse AWS controllando chi è autenticato e autorizzato a utilizzarle. + [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html) è un servizio di elaborazione che ti aiuta a eseguire codice senza dover fornire o gestire server. Esegue il codice solo quando necessario e si ridimensiona automaticamente, quindi paghi solo per il tempo di calcolo che utilizzi. **Codice** Il codice per questo pattern è disponibile nel repository. GitHub [getiamcredsreport-allaccounts-org](https://github.com/aws-samples/getiamcredsreport-allaccounts-org) Puoi utilizzare il codice di questo repository per creare report sulle credenziali IAM su account AWS in Organizations e archiviarli in una posizione centrale. ## Epiche ### Configura l'infrastruttura | Operazione | Description | Competenze richieste | | --- | --- | --- | | Configura l'edizione Amazon Quick Enterprise. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | Amministratore AWS DevOps, AWS, amministratore cloud, architetto cloud | | Integra Amazon Quick Sight con Amazon S3 e Athena. | È necessario [autorizzare](https://docs.aws.amazon.com/quicksight/latest/user/troubleshoot-connect-to-datasources.html) Quick Sight a utilizzare Amazon S3 e Athena prima di distribuire lo stack AWS. CloudFormation | Amministratore AWS DevOps, AWS, amministratore cloud, architetto cloud | ### Implementa l'infrastruttura | Operazione | Description | Competenze richieste | | --- | --- | --- | | Clona il GitHub repository. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | Amministratore AWS | | Implementa l'infrastruttura. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | Amministratore AWS | | Crea una politica di autorizzazione IAM. | [Crea una policy IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) per ogni account AWS della tua organizzazione con le seguenti autorizzazioni:
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GenerateCredentialReport",
        "iam:GetCredentialReport"
        ],
      "Resource": "*"
    }
  ]
}
| AWS DevOps, amministratore del cloud, architetto del cloud, ingegnere dei dati | | Crea un ruolo IAM con una policy di fiducia. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html)
{
   "Version": "2012-10-17",		 	 	 
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam:::role/"
            ]
         },
         "Action":"sts:AssumeRole"
      }
   ]
}
Sostituisci `arn:aws:iam:::role/` con l'ARN del ruolo Lambda indicato in precedenza.Le organizzazioni in genere utilizzano l'automazione per creare ruoli IAM per i propri account AWS. Ti consigliamo di utilizzare questa automazione, se disponibile. In alternativa, puoi utilizzare lo `CreateRoleforOrg.py` script dal repository**** del codice. Lo script richiede un ruolo amministrativo esistente o qualsiasi altro ruolo IAM che disponga dell'autorizzazione a creare una policy e un ruolo IAM in ogni account AWS. | Amministratore cloud, architetto cloud, amministratore AWS | | Configura Amazon Quick Sight per visualizzare i dati. | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | AWS DevOps, amministratore del cloud, architetto del cloud, ingegnere dei dati | ## Informazioni aggiuntive **Considerazioni aggiuntive** Considera i seguenti aspetti: + Dopo aver distribuito l' CloudFormation infrastruttura, puoi attendere che Lambda e AWS Glue vengano eseguiti secondo le rispettive pianificazioni, prima che i report vengano creati in Amazon S3 e analizzati da Athena. In alternativa, puoi eseguire Lambda manualmente per ottenere i report in Amazon S3, quindi eseguire il crawler AWS Glue per ottenere la tabella Athena creata dai dati. + Quick è un potente strumento per analizzare e visualizzare i dati in base ai requisiti aziendali. Puoi utilizzare [i parametri](https://docs.aws.amazon.com/quicksight/latest/user/parameters-in-quicksight.html) in Quick per controllare i dati dei widget in base ai campi di dati che scegli. Inoltre, puoi utilizzare un'analisi rapida per creare parametri (ad esempio, campi Account, Data e Utente, ad esempio `partition_0``partition_1`, e `user` rispettivamente) dal set di dati per aggiungere controlli per i parametri Account, Data e Utente. + Per creare dashboard Quick Sight personalizzate, consulta [Quick Workshops](https://catalog.workshops.aws/quicksight/en-US) dal sito Web di AWS Workshop Studio. + Per vedere esempi di dashboard Quick Sight, consulta il repository di GitHub [getiamcredsreport-allaccounts-org](https://github.com/aws-samples/getiamcredsreport-allaccounts-org)codice. **Risultati aziendali mirati** È possibile utilizzare questo modello per ottenere i seguenti risultati aziendali mirati: + **Identifica gli incidenti di sicurezza relativi agli utenti IAM**: esamina ogni utente di ogni account AWS della tua organizzazione utilizzando un unico pannello di controllo. Puoi monitorare l'andamento delle singole regioni AWS a cui un utente IAM ha effettuato l'accesso più recente e dei servizi che ha utilizzato. + **Tieni traccia della migrazione in tempo reale degli utenti IAM all'autenticazione SSO**: utilizzando SSO, gli utenti possono accedere una sola volta con una singola credenziale e accedere a più account e applicazioni AWS. Se hai intenzione di migrare i tuoi utenti IAM a SSO, questo modello può aiutarti a passare all'SSO e tenere traccia di tutto l'utilizzo delle credenziali degli utenti IAM (come l'accesso alla Console di gestione AWS o l'uso delle chiavi di accesso) su tutti gli account AWS. + **Tieni traccia delle regioni AWS a cui accedono gli utenti IAM**: puoi controllare l'accesso degli utenti IAM alle regioni per vari scopi, come la sovranità dei dati e il controllo dei costi. Puoi anche tenere traccia dell'uso delle regioni da parte di qualsiasi utente IAM. + **Resta conforme**: seguendo il principio del privilegio minimo, puoi concedere solo le autorizzazioni IAM specifiche necessarie per eseguire un'attività specifica. Inoltre, puoi monitorare l'accesso ai servizi AWS, alla Console di gestione AWS e l'utilizzo delle credenziali a lungo termine. + **Condividi informazioni con altre parti interessate**: puoi condividere dashboard curate con altre parti interessate, senza concedere loro l'accesso ai report sulle credenziali IAM o agli account AWS.