Passer au contenu principal
Connectez un compte AWS pour qu’Enclave puisse cartographier ses ressources et ses identités, et déterminer quels findings sont accessibles. L’accès est en lecture seule.

​
Ce dont Enclave a besoin

Un rôle IAM inter-comptes nommé EnclaveScanner, doté d’autorisations en lecture seule. Un template CloudFormation le crée pour vous. La politique d’approbation du rôle permet uniquement au principal d’Enclave de l’endosser, et seulement avec un ID externe généré pour votre organisation. La politique EnclaveScannerReadOnly du rôle autorise les actions Describe, List et Get sur :
  • Calcul : EC2, ECS, EKS, Lambda, Batch et Step Functions.
  • Réseau : les ressources VPC via EC2, Elastic Load Balancing, Route 53, CloudFront et API Gateway.
  • Données : RDS, DynamoDB, ElastiCache, ainsi que les noms des files SQS, des topics SNS, des flux Kinesis et des clusters MSK.
  • Stockage : la configuration, les politiques, les ACL et les paramètres d’accès public des buckets S3. Aucune lecture d’objets.
  • Conteneurs : les dépôts ECR.
  • Identité : les rôles, utilisateurs, groupes et profils d’instance IAM, ainsi que leurs politiques.
Aucune action de modification, aucun accès aux données au-delà des métadonnées.

​
Avant de commencer

  • Vous avez besoin du rôle Owner ou Admin dans Enclave.
  • Dans AWS, vous devez avoir l’autorisation de créer des stacks CloudFormation et des rôles IAM dans le compte que vous connectez.
La stack crée un rôle IAM : CloudFormation vous demande donc de reconnaître qu’elle crée des ressources IAM. Si votre utilisateur AWS ne peut pas créer de rôles IAM, la stack échoue. Cliquez sur Copy link et envoyez le lien à une personne qui en a le droit.

​
Connecter un compte AWS

Ouvrez Settings → Integrations et cliquez sur Connect à côté de Amazon Web Services.
1

Ouvrez CloudFormation

Cliquez sur Open CloudFormation. AWS ouvre une page de création rapide pour la stack EnclaveScanner dans us-east-1, avec l’ID externe de votre organisation et l’ARN du principal d’Enclave préremplis. Vérifiez la stack, puis créez-la.Pour la faire exécuter par quelqu’un d’autre, cliquez sur Copy link et envoyez-lui le lien.
2

Copiez RoleArn depuis Outputs

Une fois la stack terminée, ouvrez CloudFormation → Stacks → EnclaveScanner → Outputs. Copiez la Value de la ligne dont la Key est RoleArn.
3

Validez le rôle

Collez l’ARN dans RoleArn output et cliquez sur Validate role. Enclave endosse le rôle pour confirmer que la relation d’approbation fonctionne. En cas de succès, le compte est connecté et Enclave commence à l’analyser.
Cliquez sur Finish later pour enregistrer votre progression. Terminez la configuration depuis Settings → Integrations → Amazon Web Services lorsque la stack est prête.

​
Ajouter d’autres comptes

Vous pouvez connecter plusieurs comptes AWS, par exemple prod et staging. Cliquez sur Add account, lancez la stack EnclaveScanner dans l’autre compte et validez son RoleArn. Chaque compte connecté est disponible pour toute votre organisation.

​
Gérer une connexion

Depuis Settings → Integrations → Amazon Web Services, cliquez sur un compte pour voir son ID de compte, l’ARN de son rôle et ses régions.
  • Re-validate vérifie qu’Enclave peut toujours endosser le rôle.
  • Delete retire un compte de la connexion.
  • Disconnect AWS supprime toute la connexion. Enclave cesse d’utiliser ces comptes.
Sous CloudTrail notifications, vous pouvez connecter un trail CloudTrail si vous le souhaitez. Enclave actualise alors l’inventaire d’un compte dès que ses ressources changent, au lieu d’attendre l’analyse quotidienne. Pour révoquer l’accès depuis AWS, supprimez la stack EnclaveScanner ou le rôle. Enclave ne peut alors plus analyser le compte.

​
Ce qu’Enclave fera et ne fera pas

  • Fera : appeler les actions en lecture seule de la politique EnclaveScannerReadOnly.
  • Ne fera pas : modifier quoi que ce soit, lire le contenu des données, conserver des identifiants de longue durée ni exécuter des agents dans votre compte.
Enclave endosse le rôle avec des identifiants STS de courte durée, limités au rôle et à l’ID externe que vous avez configurés. Le rôle peut être révoqué à tout moment depuis votre compte AWS.

​
Dépannage

  • AWS STS could not assume the role : la stack est absente, ou son ID externe ne correspond pas à cette connexion Enclave. Cliquez de nouveau sur Open CloudFormation. Recréez la stack EnclaveScanner si elle a été supprimée, ou mettez-la à jour si elle existe. Copiez ensuite le nouveau RoleArn et validez de nouveau.
  • “That ARN is the Enclave principal” : vous avez collé l’ARN du principal d’Enclave au lieu de celui de votre rôle. Collez la valeur RoleArn de l’onglet Outputs de la stack.
  • Les ressources n’apparaissent pas dans Coverage : Enclave lance une analyse lorsqu’un compte est connecté, puis une fois par jour. Pour lancer une analyse immédiatement, cliquez sur Analyze Environment dans Coverage.