Ein Unternehmen nutzt AWS Organizations, um Hunderte von Konten zu verwalten. Einige Konten gewähren externen AWS-Prinzipalen über kontoübergreifende IAM-Rollen und Amazon S3-Bucket-Richtlinien Zugriff. Das Unternehmen muss ermitteln, welche externen Prinzipale Zugriff auf welche Konten haben. Welche Lösung bietet diese Transparenz?

AWS IAM Access Analyzer ist die effektivste Lösung, da er externe Zugriffe auf Ressourcen wie IAM-Rollen und S3-Buckets in der gesamten Organisation identifiziert. Durch die Aktivierung auf Organisationsebene und die Konfiguration der Organisation als Vertrauenszone kann Access Analyzer alle externen Zugriffe zentral analysieren und Berichte darüber erstellen. Das Filtern nach AWS-Konto-ID ermöglicht eine präzise Zuordnung der externen Prinzipale zu den jeweiligen Konten. Eine benutzerdefinierte AWS Config-Regel wäre komplexer zu implementieren und würde nicht direkt die externen Prinzipale identifizieren, sondern eher Konfigurationsänderungen überwachen. Amazon Inspector konzentriert sich auf Schwachstellen und Compliance, nicht auf die Analyse externer Zugriffsrechte. Amazon GuardDuty ist ein Bedrohungserkennungsdienst und identifiziert keine externen Zugriffe im Sinne von Berechtigungen, sondern anomalem Verhalten.