Cloud Custodian — политики AWS IAM — извлечение KMS Blanket Allow

Question

Я новичок в Cloud Custodian и AWS, и я пытаюсь извлечь все политики AWS IAM, которые имеют полное разрешение на расшифровку KMS. Синтаксис фильтра и форматирование просто не имеют для меня смысла. Любые советы о том, как построить фильтры, чтобы найти все эти политики?

Answer 1

Вот политика Cloud Custodian, написанная на YAML, которая находит все политики AWS IAM с полным разрешением расшифровки KMS:

      policies:
  - name: extract-iam-policies-with-kms-decryption
    resource: iam-policy
    filters:
      - type: value
        key: PolicyDocument.Statement
        value_type: policy
        op: in
        value:
          - Effect: Allow
            Action: kms:Decrypt
            Resource: "*"

Эта политика используетiam-policyтип ресурса для настройки политик AWS IAM. Затем он применяет фильтр, чтобы проверить,PolicyDocument.Statementсодержит оператор с эффектом «Разрешить», действие «kms:Decrypt» и значение ресурса «*». Это соответствует условию полного разрешения расшифровки KMS.