Vai al contenuto principale
Collega un account AWS così Enclave può mapparne le risorse e le identità e capire quali finding sono raggiungibili. L’accesso è in sola lettura.

​
Cosa serve a Enclave

Un ruolo IAM cross-account chiamato EnclaveScanner con permessi in sola lettura. Un template CloudFormation lo crea per te. La trust policy del ruolo consente di assumerlo solo al principal di Enclave, e solo con un external ID generato per la tua organizzazione. La policy EnclaveScannerReadOnly del ruolo consente le azioni Describe, List e Get su:
  • Calcolo: EC2, ECS, EKS, Lambda, Batch e Step Functions.
  • Rete: risorse VPC tramite EC2, Elastic Load Balancing, Route 53, CloudFront e API Gateway.
  • Dati: RDS, DynamoDB, ElastiCache e i nomi di code SQS, topic SNS, stream Kinesis e cluster MSK.
  • Storage: configurazione, policy, ACL e impostazioni di accesso pubblico dei bucket S3. Nessuna lettura degli oggetti.
  • Container: repository ECR.
  • Identità: ruoli, utenti, gruppi e instance profile IAM, con le relative policy.
Nessuna azione di modifica, nessun accesso ai dati oltre ai metadati.

​
Prima di iniziare

  • Ti serve il ruolo Owner o Admin in Enclave.
  • In AWS ti serve il permesso di creare stack CloudFormation e ruoli IAM nell’account che colleghi.
Lo stack crea un ruolo IAM, quindi CloudFormation ti chiede di confermare che crea risorse IAM. Se il tuo utente AWS non può creare ruoli IAM, lo stack non va a buon fine. Fai clic su Copy link e invia il link a qualcuno che ne ha i permessi.

​
Collega un account AWS

Apri Settings → Integrations e fai clic su Connect accanto a Amazon Web Services.
1

Apri CloudFormation

Fai clic su Open CloudFormation. AWS apre una pagina di creazione rapida per lo stack EnclaveScanner in us-east-1, con l’external ID della tua organizzazione e l’ARN del principal di Enclave già compilati. Controlla lo stack e crealo.Per farlo eseguire a qualcun altro, fai clic su Copy link e inviagli il link.
2

Copia RoleArn dagli Outputs

Al termine dello stack, apri CloudFormation → Stacks → EnclaveScanner → Outputs. Copia il Value nella riga in cui Key è RoleArn.
3

Convalida il ruolo

Incolla l’ARN in RoleArn output e fai clic su Validate role. Enclave assume il ruolo per confermare che la relazione di trust funzioni. Se va a buon fine, l’account è collegato ed Enclave inizia ad analizzarlo.
Fai clic su Finish later per salvare i progressi. Completa la configurazione da Settings → Integrations → Amazon Web Services quando lo stack è pronto.

​
Aggiungi altri account

Puoi collegare più di un account AWS, ad esempio prod e staging. Fai clic su Add account, avvia lo stack EnclaveScanner nell’altro account e convalidane il RoleArn. Ogni account collegato è disponibile per tutta la tua organizzazione.

​
Gestisci un collegamento

In Settings → Integrations → Amazon Web Services, fai clic su un account per vederne l’ID, l’ARN del ruolo e le regioni.
  • Re-validate verifica che Enclave possa ancora assumere il ruolo.
  • Delete rimuove un account dal collegamento.
  • Disconnect AWS rimuove l’intero collegamento. Enclave smette di usare questi account.
In CloudTrail notifications puoi collegare, se vuoi, un trail CloudTrail. In questo modo Enclave aggiorna l’inventario di un account quando le sue risorse cambiano, invece di attendere la scansione giornaliera. Per revocare l’accesso da AWS, elimina lo stack EnclaveScanner o il ruolo. Enclave non potrà più analizzare l’account.

​
Cosa fa e cosa non fa Enclave

  • Fa: chiama le azioni in sola lettura della policy EnclaveScannerReadOnly.
  • Non fa: non modifica nulla, non legge il contenuto dei dati, non conserva credenziali a lunga durata e non esegue agenti nel tuo account.
Enclave assume il ruolo con credenziali STS a breve durata, limitate al ruolo e all’external ID che hai configurato. Puoi revocare il ruolo in qualsiasi momento dal tuo account AWS.

​
Risoluzione dei problemi

  • AWS STS could not assume the role: lo stack manca oppure il suo external ID non corrisponde a questo collegamento di Enclave. Fai di nuovo clic su Open CloudFormation. Ricrea lo stack EnclaveScanner se è stato eliminato, oppure aggiornalo se esiste. Poi copia il nuovo RoleArn e convalidalo di nuovo.
  • “That ARN is the Enclave principal”: hai incollato l’ARN del principal di Enclave invece dell’ARN del tuo ruolo. Incolla il valore RoleArn dalla scheda Outputs dello stack.
  • Gli asset non compaiono in Coverage: Enclave esegue la scansione quando un account si collega e poi una volta al giorno. Per eseguirla subito, fai clic su Analyze Environment in Coverage.