使用 IAM Access Analyzer 审计共享

编写策略时，很容易意外向公众或外部账户授予访问权限。一项范围过于宽泛的存储桶策略就可能暴露敏感数据。

IAM Access Analyzer 会持续检查您的资源，并在攻击者发现之前告知您哪些资源已共享到信任区域之外。

Access Analyzer 使用自动化推理（数学逻辑）分析资源策略并识别外部访问。

• 它会定义一个信任区域，通常是您的账户或组织。
• 任何超出该区域的授权都会成为一项发现结果。

这是主动式分析，而不是日志审查。

外部访问分析涵盖许多使用资源策略的服务，包括：

• S3 存储桶、IAM 角色（信任策略）和 KMS 密钥。
• Lambda 函数、SQS 队列、Secrets Manager 机密信息等。

对于每种资源，它都会报告信任区域之外的哪些主体可以访问该资源。

外部访问发现结果会告知您资源、外部主体以及允许的操作。

然后，您可以判断该访问是有意的（将其标记为已归档/预期访问），还是错误配置（修复策略）。对于有意的发现结果，可以使用归档规则将其隐藏，从而只保留真正的意外情况。

Access Analyzer 还可以检测未使用的访问权限：具有从未使用过的权限或凭证的 IAM 角色和用户。

• 未使用的角色、未使用的访问密钥和未使用的权限都会被显示出来。
• 移除它们可以缩小攻击面并落实最低权限原则。

部署策略之前，Access Analyzer 可以通过一百多项检查对其进行验证。

它会标记语法错误、范围过于宽泛的授权和安全警告，并提出改进建议。这样可以在编写策略时发现错误，而不是等到数据暴露后才发现。

Access Analyzer 可以根据 CloudTrail 历史记录生成最低权限策略。

它会检查某个身份实际执行过哪些操作，并生成只授予这些操作权限的定制策略。这样可以将宽泛的初始策略转变为紧凑且有证据依据的策略。

对于流水线，自定义策略检查可以让您以编程方式断言规则。

您可以验证新策略是否比已批准的基线更宽松，或者验证它是否绝不会授予特定的敏感操作。这些检查可以集成到 CI/CD 中，在合并前阻止高风险更改。

将信任区域设置为整个 AWS Organization，并从委派管理员账户运行 Access Analyzer。

这样，任何超出整个组织范围的共享都会被标记，而组织内部的跨账户共享则会被视为可信。这种方式可以将审计扩展到所有账户。

健康的工作流程是：定期查看新的发现结果，使用规则归档预期内的结果，并通过收紧策略修复其余问题。

将发现结果整合到安全中心中，使其与其他安全信号并列显示在同一个控制台中。

当您想了解“我的账户外部暴露了什么？”或“哪些权限未被使用？”时，请使用访问分析器。

它通过策略逻辑回答谁可以访问我的资源，从而与 CloudTrail（发生了什么）和配置（当前状态）形成互补。

选择正确的工具。

您了解了IAM 访问分析器如何防止意外共享。

• 外部访问发现结果显示可从信任区域外部访问的资源。
• 未使用访问权限发现结果帮助落实最小权限原则。
• 它还可以验证和生成策略，并在整个组织范围内运行。