Сканер безопасности AWS только для чтения: 110 проверок, анализ эскалации привилегий IAM, цепочки атак и оценка радиуса поражения AI-агентов; для каждой находки — исправление через AWS CLI и Terraform.
74+1 за неделю12PythonMITОбновлён 24 дня назад
aws-samples/sample-cloudwatch-logs-iam-policy-validator
Python-скрипт проверяет IAM-политику для действий CloudWatch Logs и выясняет, работает ли она со стандартным форматом ARN группы журналов.
- Звёзды
- 5
- Форки
- 2
- Открытые issues
- 2
- Последний коммит
- в прошлом месяце
Что это?
Скрипт проверяет политику AWS IAM для каждого действия API CloudWatch Logs, используя форматы ARN группы журналов и потока журналов. Для каждого действия он вызывает aws iam simulate-custom-policy и выводит таблицу с результатом: разрешено действие или неявно запрещено.
Инструмент предназначен для конкретной миграции. AWS CloudWatch Logs начинает требовать стандартный формат ARN группы журналов (без завершающего :*) при авторизации IAM. Поэтому после включения этого требования политики со старым форматом перестанут применяться к действиям на уровне группы журналов. Запустив скрипт до этой даты, можно увидеть, какие действия политика по-прежнему разрешает, а для каких нужно обновить элемент Resource.
Скрипту нужны локальный JSON-файл с политикой и имя группы журналов. При необходимости можно указать регион, ID аккаунта и раздел AWS (aws, aws-cn или aws-us-gov). Требуются Python 3.8+, AWS CLI v2 и разрешение iam:SimulateCustomPolicy.
Ключевые возможности
- 01Проверяет IAM-политику для каждого действия CloudWatch Logs, используя ARN группы журналов и потока журналов.
- 02Выводит таблицу с результатами allowed и implicitDeny для каждого действия.
- 03Поддерживает разделы aws, aws-cn и aws-us-gov.
- 04По умолчанию получает регион и ID аккаунта из окружения или AWS CLI.
Сценарии использования
- Проверка, разрешают ли существующие IAM-политики действия на уровне группы журналов до вступления в силу требования к формату ARN.
- Обновление элемента Resource в операторах политики, где указан старый ARN группы журналов с завершающим :*.
- Проверка разрешений CloudWatch Logs в аккаунтах AWS China или GovCloud.
Быстрый старт
- 1
Сохраните документ политики IAM в локальный файл JSON
- 2
Запустите скрипт, указав файл политики и имя группы журналов
python3 simulate_cloudwatch_logs_policy.py policy.json MyLogGroup --region us-east-1 --account-id 123456789012
Что важно знать
- Требуется установить и авторизовать AWS CLI v2, а также иметь разрешение iam:SimulateCustomPolicy.
Темы
Частые вопросы
- Что такое sample-cloudwatch-logs-iam-policy-validator?
- Python-скрипт проверяет IAM-политику для действий CloudWatch Logs и выясняет, работает ли она со стандартным форматом ARN группы журналов. Скрипт проверяет политику AWS IAM для каждого действия API CloudWatch Logs, используя форматы ARN группы журналов и потока журналов. Для каждого действия он вызывает aws iam simulate-custom-policy и выводит таблицу с результатом: разрешено действие или неявно запрещено.
- sample-cloudwatch-logs-iam-policy-validator можно использовать бесплатно? Какая у него лицензия?
- sample-cloudwatch-logs-iam-policy-validator распространяется с открытым исходным кодом под лицензией MIT-0. Перед использованием в коммерческих продуктах проверьте условия лицензии.
- sample-cloudwatch-logs-iam-policy-validator всё ещё поддерживается?
- Обновлялся за последние 6 месяцев. Последний коммит в sample-cloudwatch-logs-iam-policy-validator — 24 сент. 2026 г..
- Для чего можно использовать sample-cloudwatch-logs-iam-policy-validator?
- Проверка, разрешают ли существующие IAM-политики действия на уровне группы журналов до вступления в силу требования к формату ARN. Обновление элемента Resource в операторах политики, где указан старый ARN группы журналов с завершающим :*. Проверка разрешений CloudWatch Logs в аккаунтах AWS China или GovCloud.
- Как установить sample-cloudwatch-logs-iam-policy-validator?
- Сохраните документ политики IAM в локальный файл JSON Запустите скрипт, указав файл политики и имя группы журналов: python3 simulate_cloudwatch_logs_policy.py policy.json MyLogGroup --region us-east-1 --account-id 123456789012
- Где скачать sample-cloudwatch-logs-iam-policy-validator?
- Исходный код и инструкции по установке — на GitHub: https://github.com/aws-samples/sample-cloudwatch-logs-iam-policy-validator
Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.
Похожие проекты
Steampipe позволяет запрашивать данные из облачных API и сервисов с помощью SQL, представляя их в виде таблиц, без ETL и отдельной базы данных.
8 тыс.+4 за неделю347GoAGPL-3.0Активно поддерживаетсяОбновлён 15 часов назад
Открытая платформа и CLI для проверки безопасности и соответствия требованиям в AWS, Azure, GCP и других облачных средах.
15,2 тыс.+47 за неделю2,5 тыс.PythonApache-2.0Обновлён 20 часов назад
Инструмент статического анализа, который проверяет IaC, образы контейнеров и пакеты с открытым исходным кодом на ошибки конфигурации облака и CVE.
9,1 тыс.+15 за неделю1,5 тыс.PythonApache-2.0Обновлён 4 дня назад
Фреймворк аутентификации и авторизации для TypeScript, не привязанный к веб-фреймворку, с плагинами для 2FA и мультитенантности.
30,6 тыс.+94 за неделю3,1 тыс.TypeScriptMITОбновлён вчера
Self-hosted-сервер управления идентификацией и доступом с поддержкой SSO, OAuth/OIDC, SAML, CAS, LDAP, SCIM, MFA и MCP-шлюза, а также веб-консолью.
14,8 тыс.+57 за неделю1,9 тыс.GoApache-2.0Активно поддерживаетсяОбновлён 21 час назад