Pular para o conteúdo principal
Conecte uma conta da AWS para que o Enclave possa mapear os recursos e as identidades dela e identificar quais achados são alcançáveis. O acesso é somente leitura.

​
Do que o Enclave precisa

Uma função do IAM entre contas chamada EnclaveScanner, com permissões somente leitura. Um template do CloudFormation a cria para você. A política de confiança da função permite que apenas o principal do Enclave a assuma, e somente com um external ID gerado para a sua organização. A política EnclaveScannerReadOnly da função permite as ações Describe, List e Get em:
  • Computação: EC2, ECS, EKS, Lambda, Batch e Step Functions.
  • Rede: recursos de VPC por meio do EC2, Elastic Load Balancing, Route 53, CloudFront e API Gateway.
  • Dados: RDS, DynamoDB, ElastiCache e os nomes de filas do SQS, tópicos do SNS, streams do Kinesis e clusters do MSK.
  • Armazenamento: configuração, políticas, ACLs e configurações de acesso público de buckets do S3. Nenhuma leitura de objetos.
  • Contêineres: repositórios do ECR.
  • Identidade: funções, usuários, grupos e perfis de instância do IAM, e as políticas deles.
Nenhuma ação de alteração, nenhum acesso a dados além dos metadados.

​
Antes de começar

  • Você precisa da função Owner ou Admin no Enclave.
  • Na AWS, você precisa de permissão para criar stacks do CloudFormation e funções do IAM na conta que você conectar.
A stack cria uma função do IAM, então o CloudFormation pede que você confirme que ela cria recursos do IAM. Se o seu usuário da AWS não puder criar funções do IAM, a stack falha. Clique em Copy link e envie o link para alguém que possa.

​
Conectar uma conta da AWS

Abra Settings → Integrations e clique em Connect ao lado de Amazon Web Services.
1

Abra o CloudFormation

Clique em Open CloudFormation. A AWS abre uma página de criação rápida para a stack EnclaveScanner em us-east-1, com o external ID da sua organização e o ARN do principal do Enclave já preenchidos. Revise a stack e crie-a.Para que outra pessoa a execute, clique em Copy link e envie o link para ela.
2

Copie o RoleArn em Outputs

Quando a stack terminar, abra CloudFormation → Stacks → EnclaveScanner → Outputs. Copie o Value da linha em que Key é RoleArn.
3

Valide a função

Cole o ARN em RoleArn output e clique em Validate role. O Enclave assume a função para confirmar que a relação de confiança funciona. Se tudo der certo, a conta é conectada e o Enclave começa a verificá-la.
Clique em Finish later para salvar seu progresso. Conclua a configuração em Settings → Integrations → Amazon Web Services quando a stack estiver pronta.

​
Adicionar mais contas

Você pode conectar mais de uma conta da AWS, por exemplo, prod e staging. Clique em Add account, inicie a stack EnclaveScanner na outra conta e valide o RoleArn dela. Todas as contas conectadas ficam disponíveis para toda a sua organização.

​
Gerenciar uma conexão

Em Settings → Integrations → Amazon Web Services, clique em uma conta para ver o ID da conta, o ARN da função e as regiões.
  • Re-validate verifica se o Enclave ainda consegue assumir a função.
  • Delete remove uma conta da conexão.
  • Disconnect AWS remove a conexão inteira. O Enclave para de usar essas contas.
Em CloudTrail notifications, você pode, opcionalmente, conectar uma trilha do CloudTrail. Assim, o Enclave atualiza o inventário de uma conta quando os recursos dela mudam, em vez de esperar a verificação diária. Para revogar o acesso pela AWS, exclua a stack EnclaveScanner ou a função. O Enclave não consegue mais verificar a conta.

​
O que o Enclave faz e não faz

  • Faz: chama as ações somente leitura da política EnclaveScannerReadOnly.
  • Não faz: alterar nada, ler o conteúdo dos dados, manter credenciais de longa duração nem executar agentes dentro da sua conta.
O Enclave assume a função com credenciais temporárias do STS, restritas à função e ao external ID que você configurou. A função pode ser revogada a qualquer momento na sua conta da AWS.

​
Solução de problemas

  • AWS STS could not assume the role: a stack não existe ou o external ID dela não corresponde a esta conexão do Enclave. Clique em Open CloudFormation de novo. Recrie a stack EnclaveScanner se ela tiver sido excluída ou atualize-a se ela existir. Depois, copie o novo RoleArn e valide novamente.
  • “That ARN is the Enclave principal”: você colou o ARN do principal do Enclave em vez do ARN da sua função. Cole o valor de RoleArn da aba Outputs da stack.
  • Os ativos não aparecem no Coverage: o Enclave faz a verificação quando uma conta é conectada e, depois disso, uma vez por dia. Para verificar agora, clique em Analyze Environment no Coverage.