Repolode
Enviar
aws-samples

aws-samples/sample-cloudwatch-logs-iam-policy-validator

Script em Python que simula uma política do IAM para ações do CloudWatch Logs e verifica se ela funciona com o formato padrão de ARN de grupo de logs.

Ver no GitHub
Estrelas
5
Forks
2
Issues abertas
2
Último commit
mês passado

O que é?

Este script testa uma política do AWS IAM em todas as ações da API do CloudWatch Logs, usando os formatos de ARN de grupo de logs e de fluxo de logs. Ele executa aws iam simulate-custom-policy para cada ação e imprime uma tabela indicando se ela é permitida ou negada implicitamente.

A ferramenta foi criada para uma migração específica. O AWS CloudWatch Logs está impondo o formato padrão de ARN de grupo de logs (sem o :* final) para autorização do IAM. Com isso, políticas que usam o formato antigo deixam de se aplicar a ações no nível do grupo de logs quando a imposição começa. Executar o script antes dessa data mostra quais ações a política ainda permite e quais exigem uma atualização do elemento Resource.

O script recebe um arquivo de política JSON local e o nome de um grupo de logs. Também aceita flags opcionais para região, ID da conta e partição da AWS (aws, aws-cn ou aws-us-gov). Requer Python 3.8+, AWS CLI v2 e a permissão iam:SimulateCustomPolicy.

Recursos principais

  • 01Simula uma política do IAM para cada ação do CloudWatch Logs, usando ARNs de grupo de logs e de fluxo de logs.
  • 02Imprime uma tabela por ação com os resultados permitido e implicitDeny.
  • 03Compatível com as partições aws, aws-cn e aws-us-gov.
  • 04Obtém a região e o ID da conta, por padrão, do ambiente ou da AWS CLI.

Casos de uso

  • Verificar se as políticas do IAM existentes ainda permitem ações de grupo de logs antes da entrada em vigor da imposição do formato de ARN.
  • Atualizar o elemento Resource de declarações de política que usam o ARN antigo de grupo de logs com :* no final.
  • Validar permissões do CloudWatch Logs em contas da AWS China ou GovCloud.

Início rápido

  1. 1

    Salve o documento da política do IAM em um arquivo JSON local

  2. 2

    Execute o script informando o arquivo da política e o nome do grupo de logs

    python3 simulate_cloudwatch_logs_policy.py policy.json MyLogGroup --region us-east-1 --account-id 123456789012

Antes de usar

  • É necessário ter o AWS CLI v2 instalado e autenticado, além da permissão iam:SimulateCustomPolicy.

Tópicos

#aws#iam#cloudwatch-logs#policy-validation#python#cloud-security

Perguntas frequentes

O que é sample-cloudwatch-logs-iam-policy-validator?
Script em Python que simula uma política do IAM para ações do CloudWatch Logs e verifica se ela funciona com o formato padrão de ARN de grupo de logs. Este script testa uma política do AWS IAM em todas as ações da API do CloudWatch Logs, usando os formatos de ARN de grupo de logs e de fluxo de logs. Ele executa aws iam simulate-custom-policy para cada ação e imprime uma tabela indicando se ela é permitida ou negada implicitamente.
sample-cloudwatch-logs-iam-policy-validator é gratuito? Qual é a licença?
sample-cloudwatch-logs-iam-policy-validator é open source sob a licença MIT-0. Confira os termos da licença antes de usá-lo em produtos comerciais.
sample-cloudwatch-logs-iam-policy-validator ainda é mantido?
Atualizado nos últimos 6 meses. O último commit de sample-cloudwatch-logs-iam-policy-validator foi em 24 de set. de 2026.
Para que posso usar sample-cloudwatch-logs-iam-policy-validator?
Verificar se as políticas do IAM existentes ainda permitem ações de grupo de logs antes da entrada em vigor da imposição do formato de ARN. Atualizar o elemento Resource de declarações de política que usam o ARN antigo de grupo de logs com :* no final. Validar permissões do CloudWatch Logs em contas da AWS China ou GovCloud.
Como instalar sample-cloudwatch-logs-iam-policy-validator?
Salve o documento da política do IAM em um arquivo JSON local Execute o script informando o arquivo da política e o nome do grupo de logs: python3 simulate_cloudwatch_logs_policy.py policy.json MyLogGroup --region us-east-1 --account-id 123456789012
Onde consigo sample-cloudwatch-logs-iam-policy-validator?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/aws-samples/sample-cloudwatch-logs-iam-policy-validator

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados