A collection of notes and resources
s3:ListBucket等が設定されているかkms:Decrypt等が設定されているか
rate(5 minutes) 5分ごとcron(0 10 * * ? *) 毎日10時ELBSecurityPolicy-FS-1-2-Res-2020-10とかs3:PutPublicAccessBlock パブリックアクセス設定の有効無効切り替え操作のこと。 SCPとかで禁止することがあるCloudWatchAgentServerPolicy マネージドポリシー
ACM Certificate Approaching Expiration）を検知してSNSにパブリッシュ"Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
/*がないのでオブジェクトの操作ができない{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::my-cloudtrail-bucket/AWSLogs/123456789012/*", // ここを CloudTrailのログファイルプレフィックスと一致させないと CloudTrailの設定更新時にエラーが出る
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control"
}
}
}
]
}
s3:Kist*やs3:GetがあればアクセスできるFn::ImportValueは同じAWSアカウント内でだけCloudFormationスタックのOutputsを参照できる
initiate-vault-lock でロックポリシーを設定complete-vault-lock でロックを確定する
initiate-の方の検証をする時間？complete-でポリシーを確定する前abort-vault-lockでキャンセルして修正したらまたinitiate-からやり直す"arn:aws:iam::account-id:user/Bob"
"arn:aws:sts::account-id:federated-user/Bob"
"arn:aws:sts::account-id:assumed-role/Bob/role-session-name"
IAM Activity Advisorぽい
UnauthorizedAccess:IAMUser/InstanceCredentialExfiltrationMetadataNoTokenを確認するchmodする？）logs:Unmasklog-group-retention-period-checkを有効化するIncomingBytesメトリクスを作って、EventBritdgeルールでSNSで通知基本ルール
基本ルール
デフォルトは暗黙のDeny（Implicit Deny）
明示的なDeny（Explicit Deny）が最優先
明示的なAllow（Explicit Allow）がないとアクセス不可
評価順序:
1. 明示的なDeny（Explicit Deny）があるか？ → YES なら即座に拒否
- 一番優先度が高い。SCPとかで、ルートにアタッチしたポリシーで拒否すると配下のOUとかで有効に使用がない
1. 明示的なAllow（Explicit Allow）があるか？ → YES なら許可
2. どちらもない → 暗黙のDeny（拒否）
S3バケットポリシーでサーバーサイド暗号化でKMSのカスタマー機を矯正したい時のバケットポリシーのCondition
"Condition": {
"Null": {
// s3:x-amz-server-side-encryption-customer-algorithmが未指定（null）の場合
"s3:x-amz-server-side-encryption-customer-algorithm": "true"
}
}
AWSLambdaBasicExecutionRole）
logs:CreateLogGroup
logs:CreateLogStream
logs:PutLogEvents
authorized_keysに新しい公開鍵を登録する
ec2-managedinstance-applications-requiredルールを設定するTerminateInstancesAPIのイベントを検索し、実行したIAMロールを確認する。cloudformation.amazonaws.comを指定するPublicよりはAnonymous