Un'azienda utilizza AWS Organizations per gestire centinaia di account. Alcuni account concedono l'accesso a principal AWS esterni tramite ruoli IAM cross-account e policy di bucket Amazon S3. L'azienda deve determinare quali principal esterni hanno accesso a quali account. Quale soluzione fornirà questa visibilità?

Abilitare AWS Identity and Access Management Access Analyzer a livello di organizzazione è la soluzione più efficace perché è progettato specificamente per identificare l'accesso esterno alle risorse AWS, inclusi ruoli IAM e policy di bucket S3. Configurando l'organizzazione come zona di trust, Access Analyzer può analizzare le policy in tutti gli account membri e identificare gli accessi esterni. Filtrare i risultati per ID account AWS consente di isolare le informazioni per account specifici. Creare una regola AWS Config personalizzata per monitorare i ruoli IAM è meno efficiente in quanto richiederebbe una logica complessa per analizzare le policy e identificare specificamente l'accesso esterno, e non coprirebbe le policy dei bucket S3 in modo nativo. Attivare Amazon Inspector e integrarlo con AWS Security Hub si concentra principalmente sulla valutazione delle vulnerabilità e non è lo strumento primario per analizzare le policy di accesso esterne. Abilitare Amazon GuardDuty per l'organizzazione è per il rilevamento delle minacce e del comportamento anomalo, non per l'analisi delle policy di accesso esterne.