Zum Hauptinhalt springen
Verbinden Sie ein AWS-Konto, damit Enclave dessen Ressourcen und Identitäten erfassen und erkennen kann, welche Findings erreichbar sind. Der Zugriff ist rein lesend.

​
Was Enclave benötigt

Eine kontoübergreifende IAM-Rolle namens EnclaveScanner mit Leseberechtigungen. Ein CloudFormation-Template erstellt sie für Sie. Die Trust Policy der Rolle erlaubt nur dem Principal von Enclave, die Rolle zu übernehmen, und nur mit einer für Ihre Organisation generierten External ID. Die Policy EnclaveScannerReadOnly der Rolle erlaubt Describe-, List- und Get-Aktionen für:
  • Compute: EC2, ECS, EKS, Lambda, Batch und Step Functions.
  • Netzwerk: VPC-Ressourcen über EC2, Elastic Load Balancing, Route 53, CloudFront und API Gateway.
  • Daten: RDS, DynamoDB, ElastiCache sowie die Namen von SQS-Queues, SNS-Topics, Kinesis-Streams und MSK-Clustern.
  • Speicher: Konfiguration, Policies, ACLs und Einstellungen für öffentlichen Zugriff von S3-Buckets. Keine Objekte werden gelesen.
  • Container: ECR-Repositorys.
  • Identität: IAM-Rollen, -Benutzer, -Gruppen, Instance Profiles und deren Policies.
Keine ändernden Aktionen und kein Datenzugriff über Metadaten hinaus.

​
Bevor Sie beginnen

  • Sie benötigen in Enclave die Rolle Owner oder Admin.
  • In AWS benötigen Sie im zu verbindenden Konto die Berechtigung, CloudFormation-Stacks und IAM-Rollen zu erstellen.
Der Stack erstellt eine IAM-Rolle. Daher fordert CloudFormation Sie auf zu bestätigen, dass IAM-Ressourcen erstellt werden. Wenn Ihr AWS-Benutzer keine IAM-Rollen erstellen darf, schlägt der Stack fehl. Klicken Sie auf Copy link und senden Sie den Link an jemanden mit dieser Berechtigung.

​
AWS-Konto verbinden

Öffnen Sie Settings → Integrations und klicken Sie neben Amazon Web Services auf Connect.
1

CloudFormation öffnen

Klicken Sie auf Open CloudFormation. AWS öffnet eine Quick-Create-Seite für den Stack EnclaveScanner in us-east-1, in der die External ID Ihrer Organisation und der Principal-ARN von Enclave bereits ausgefüllt sind. Prüfen Sie den Stack und erstellen Sie ihn.Wenn jemand anderes ihn ausführen soll, klicken Sie auf Copy link und senden Sie den Link.
2

RoleArn aus den Outputs kopieren

Wenn der Stack fertig ist, öffnen Sie CloudFormation → Stacks → EnclaveScanner → Outputs. Kopieren Sie den Value in der Zeile, in der Key RoleArn ist.
3

Rolle validieren

Fügen Sie den ARN in RoleArn output ein und klicken Sie auf Validate role. Enclave übernimmt die Rolle, um zu bestätigen, dass die Vertrauensstellung funktioniert. Bei Erfolg ist das Konto verbunden, und Enclave beginnt mit dem Scan.
Klicken Sie auf Finish later, um Ihren Fortschritt zu speichern. Schließen Sie die Einrichtung unter Settings → Integrations → Amazon Web Services ab, sobald der Stack bereit ist.

​
Weitere Konten hinzufügen

Sie können mehr als ein AWS-Konto verbinden, zum Beispiel prod und staging. Klicken Sie auf Add account, starten Sie den Stack EnclaveScanner im anderen Konto und validieren Sie dessen RoleArn. Jedes verbundene Konto steht Ihrer gesamten Organisation zur Verfügung.

​
Verbindung verwalten

Klicken Sie unter Settings → Integrations → Amazon Web Services auf ein Konto, um dessen Konto-ID, Rollen-ARN und Regionen zu sehen.
  • Re-validate prüft, ob Enclave die Rolle weiterhin übernehmen kann.
  • Delete entfernt ein einzelnes Konto aus der Verbindung.
  • Disconnect AWS entfernt die gesamte Verbindung. Enclave verwendet diese Konten dann nicht mehr.
Unter CloudTrail notifications können Sie optional einen CloudTrail-Trail verbinden. Enclave aktualisiert dann das Inventar eines Kontos, sobald sich dessen Ressourcen ändern, statt auf den täglichen Scan zu warten. Um den Zugriff in AWS zu widerrufen, löschen Sie den Stack EnclaveScanner oder die Rolle. Enclave kann das Konto dann nicht mehr scannen.

​
Was Enclave tut und was nicht

  • Tut: die lesenden Aktionen der Policy EnclaveScannerReadOnly aufrufen.
  • Tut nicht: etwas ändern, Datennutzlasten lesen, langlebige Anmeldedaten speichern oder Agents in Ihrem Konto ausführen.
Enclave übernimmt die Rolle mit kurzlebigen STS-Anmeldedaten, die auf die von Ihnen eingerichtete Rolle und External ID beschränkt sind. Sie können die Rolle jederzeit in Ihrem AWS-Konto widerrufen.

​
Fehlerbehebung

  • AWS STS could not assume the role: Der Stack fehlt oder seine External ID passt nicht zu dieser Enclave-Verbindung. Klicken Sie erneut auf Open CloudFormation. Erstellen Sie den Stack EnclaveScanner neu, falls er gelöscht wurde, oder aktualisieren Sie ihn, falls er existiert. Kopieren Sie dann den neuen RoleArn und validieren Sie erneut.
  • “That ARN is the Enclave principal”: Sie haben den Principal-ARN von Enclave statt des ARN Ihrer Rolle eingefügt. Fügen Sie den Wert RoleArn aus dem Tab Outputs des Stacks ein.
  • Assets erscheinen nicht in Coverage: Enclave scannt, wenn ein Konto verbunden wird, und danach einmal täglich. Um sofort zu scannen, klicken Sie in Coverage auf Analyze Environment.