Saltar al contenido principal
Conecta una cuenta de AWS para que Enclave pueda mapear sus recursos e identidades y saber qué hallazgos se pueden alcanzar. El acceso es de solo lectura.

​
Qué necesita Enclave

Un rol de IAM entre cuentas llamado EnclaveScanner con permisos de solo lectura. Una plantilla de CloudFormation lo crea por ti. La política de confianza del rol solo permite que lo asuma la entidad principal de Enclave, y solo con un ID externo generado para tu organización. La política EnclaveScannerReadOnly del rol permite acciones Describe, List y Get sobre:
  • Cómputo: EC2, ECS, EKS, Lambda, Batch y Step Functions.
  • Redes: recursos de VPC a través de EC2, Elastic Load Balancing, Route 53, CloudFront y API Gateway.
  • Datos: RDS, DynamoDB, ElastiCache y los nombres de las colas de SQS, los temas de SNS, los streams de Kinesis y los clústeres de MSK.
  • Almacenamiento: la configuración, las políticas, las ACL y los ajustes de acceso público de los buckets de S3. No lee objetos.
  • Contenedores: repositorios de ECR.
  • Identidad: roles, usuarios, grupos y perfiles de instancia de IAM, y sus políticas.
Sin acciones de modificación ni acceso a datos más allá de los metadatos.

​
Antes de empezar

  • Necesitas el rol Owner o Admin en Enclave.
  • En AWS, necesitas permiso para crear stacks de CloudFormation y roles de IAM en la cuenta que conectas.
El stack crea un rol de IAM, así que CloudFormation te pide que confirmes que crea recursos de IAM. Si tu usuario de AWS no puede crear roles de IAM, el stack falla. Haz clic en Copy link y envíaselo a alguien que pueda.

​
Conectar una cuenta de AWS

Abre Settings → Integrations y haz clic en Connect junto a Amazon Web Services.
1

Abre CloudFormation

Haz clic en Open CloudFormation. AWS abre una página de creación rápida del stack EnclaveScanner en us-east-1, con el ID externo de tu organización y el ARN de la entidad principal de Enclave ya rellenados. Revisa el stack y créalo.Para que lo ejecute otra persona, haz clic en Copy link y envíale el enlace.
2

Copia RoleArn desde Outputs

Cuando termine el stack, abre CloudFormation → Stacks → EnclaveScanner → Outputs. Copia el Value de la fila cuya Key es RoleArn.
3

Valida el rol

Pega el ARN en RoleArn output y haz clic en Validate role. Enclave asume el rol para confirmar que la relación de confianza funciona. Si todo va bien, la cuenta queda conectada y Enclave empieza a analizarla.
Haz clic en Finish later para guardar tu progreso. Termina la configuración desde Settings → Integrations → Amazon Web Services cuando el stack esté listo.

​
Añadir más cuentas

Puedes conectar más de una cuenta de AWS, por ejemplo prod y staging. Haz clic en Add account, lanza el stack EnclaveScanner en la otra cuenta y valida su RoleArn. Cada cuenta conectada está disponible para toda tu organización.

​
Gestionar una conexión

Desde Settings → Integrations → Amazon Web Services, haz clic en una cuenta para ver su ID de cuenta, el ARN del rol y las regiones.
  • Re-validate comprueba que Enclave todavía puede asumir el rol.
  • Delete elimina una cuenta de la conexión.
  • Disconnect AWS elimina toda la conexión. Enclave deja de usar estas cuentas.
En CloudTrail notifications, puedes conectar opcionalmente un trail de CloudTrail. Así, Enclave actualiza el inventario de una cuenta cuando cambian sus recursos, en lugar de esperar al análisis diario. Para revocar el acceso desde AWS, elimina el stack EnclaveScanner o el rol. Enclave ya no podrá analizar la cuenta.

​
Qué hará Enclave y qué no

  • Hará: llamar a las acciones de solo lectura de la política EnclaveScannerReadOnly.
  • No hará: modificar nada, leer el contenido de los datos, guardar credenciales de larga duración ni ejecutar agentes dentro de tu cuenta.
Enclave asume el rol con credenciales de STS de corta duración, limitadas al rol y al ID externo que configuraste. Puedes revocar el rol en cualquier momento desde tu cuenta de AWS.

​
Solución de problemas

  • AWS STS could not assume the role: falta el stack, o su ID externo no coincide con esta conexión de Enclave. Vuelve a hacer clic en Open CloudFormation. Vuelve a crear el stack EnclaveScanner si se eliminó, o actualízalo si existe. Después, copia el nuevo RoleArn y vuelve a validarlo.
  • “That ARN is the Enclave principal”: pegaste el ARN de la entidad principal de Enclave en lugar del ARN de tu rol. Pega el valor RoleArn de la pestaña Outputs del stack.
  • Los activos no aparecen en Coverage: Enclave analiza cuando se conecta una cuenta y, después, una vez al día. Para analizar ahora, haz clic en Analyze Environment en Coverage.