Компания использует AWS Organizations для управления сотнями аккаунтов. Некоторые аккаунты предоставляют доступ внешним субъектам AWS через меж-аккаунтные IAM роли и политики бакетов Amazon S3. Компании необходимо определить, какие внешние субъекты имеют доступ к каким аккаунтам. Какое решение обеспечит такую видимость?

AWS IAM Access Analyzer, включенный на уровне организации, позволяет централизованно выявлять ресурсы, доступные внешним субъектам за пределами вашей организации. Настройка организации как зоны доверия гарантирует, что Access Analyzer будет рассматривать только доступ извне этой зоны, что соответствует требованию задачи. Фильтрация результатов по AWS account ID позволит точно определить, к каким аккаунтам имеют доступ внешние субъекты. Создание пользовательского правила AWS Config для мониторинга IAM ролей не даст полной картины доступа внешних субъектов к S3 бакетам через политики бакетов. Amazon Inspector сфокусирован на уязвимостях и не предназначен для анализа меж-аккаунтного доступа. Amazon GuardDuty обнаруживает аномальное поведение и угрозы, но не предоставляет детальную информацию о том, какие внешние субъекты имеют доступ к ресурсам.