Vertrauenswürdiges AWS-Konto konfigurieren

In dieser Prozedur erstellen Sie einen IAM-Benutzer und zwei Richtlinien, die an den IAM-Benutzer im vertrauenswürdigen Konto angehängt werden sollen.

1. Erstellen Sie einen IAM-Benutzer mit dem Namen IAMUserA_WithCrossAccountAccess im vertrauenswürdigen Konto AWS auf der IAM-Konsole.
   1. Melden Sie sich bei der AWS -Konsole (https://console.aws.amazon.com) des vertrauenswürdigen Kontos an.
   2. Wechseln Sie zum IAM-Dienst und klicken Sie auf Benutzer > Benutzer hinzufügen.
   3. Benennen Sie den Benutzer IAMUserA_WithCrossAccountAccess.
   4. Wählen Sie das Kontrollkästchen Zugriffstyp > Programmgesteuerter Zugriff auf der Seite Benutzer hinzufügen aus. Weitere Informationen finden Sie in der Dokumentation des Herstellers ( https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_create.html ).
   5. Klicken Sie auf Weiter: Berechtigungen > Weiter: Tags > Weiter: Überprüfung > Benutzer erstellen.
   6. Kopieren Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel in einen Texteditor, um sie später in “AWS-Konto in der Cloud Visibility-App konfigurieren" zu verwenden.
2. Erlauben Sie dem IAM-Benutzer IAMUserA_WithCrossAccountAccess im vertrauenswürdigen Konto, die Rollen zu übernehmen, die Sie in den vertrauenswürdigen Konten im vorherigen Verfahren erstellt haben, t_Qapps_CSA_configure_trusting_AWS_account.html#task_xdl_1kd_fhb.
   1. Rufen Sie den IAM-Service des vertrauenswürdigen Kontos auf.
   2. Klicken Sie auf Richtlinien > Richtlinie erstellen > JSON und fügen Sie die folgende JSON ein. In dem Beispielcode werden drei AWS-Konten konfiguriert. Die ID des vertrauenswürdigen Kontos lautet Trusted_Account_ID und die IDs der zwei vertrauenden Konten lauten Trusting_Account_1_ID und Trusting_Account_2_ID. Bearbeiten Sie das JSON-Beispiel, indem Sie die Konto-IDs durch die Konto-IDs aus Ihrer eigenen AWS-Umgebung ersetzen.

      {
      	"Version": "2012-10-17",
      	"Statement": [
      		{
      			"Effect": "Allow",
      			"Action": "sts:AssumeRole",
      			"Resource": "arn:aws:iam::Trusted_Account_ID:role/CVAppAssumeRole"
      		},
      		{
      			"Effect": "Allow",
      			"Action": "sts:AssumeRole",
      			"Resource": "arn:aws:iam::Trusting_Account_1_ID:role/CVAppAssumeRole"
      		},
      		{
      			"Effect": "Allow",
      			"Action": "sts:AssumeRole",
      			"Resource": "arn:aws:iam::Trusting_Account_2_ID:role/CVAppAssumeRole"
      		}			
      	]
      }
      

      Hinweis: Wenn nur ein AWS -Account konfiguriert wird, sieht die JSON wie im folgenden Beispiel aus:

      {
      	"Version": "2012-10-17",
      	"Statement": [
      		{
      			"Effect": "Allow",
      			"Action": "sts:AssumeRole",
      			"Resource": "arn:aws:iam::Trusted_Account_ID:role/CVAppAssumeRole"
      		}
      	]
      }
      

   3. Klicken Sie auf Richtlinie überprüfen, nennen Sie die Richtlinie CVAssumeRolePolicy, und klicken Sie auf Richtlinie erstellen, um sie zu speichern.
      Wenn Sie über mehrere Konten verfügen, wird die IAM-Begrenzung für AWS von 6144 Zeichen pro Richtlinie möglicherweise überschritten. Sie müssen mehrere Richtlinien erstellen, indem Sie die Schritte 2a - 2c wiederholen. Wenn Sie beispielsweise über 100 AWS-Konten verfügen, kann die erste Richtlinie die Konten 1-60 (bis die Zeichenbegrenzung von 6144 Zeichen erreicht wird) und die zweite Richtlinie die Konten 61-100 enthalten.
   4. Klicken Sie auf Richtlinien und wählen Sie die erstellte Richtlinie aus.
   5. Kopieren Sie auf der Seite Zusammenfassung den Richtlinien-ARN in einen Texteditor, der bei der Konfiguration von QRadar® Cloud Visibilityverwendet wird. QRadar Cloud Visibility 1.4.0 oder höher unterstützt mehrere ARNs des Typs "Richtlinie für Rolle übernehmen".
   6. Gehen Sie zu Benutzer und wählen Sie den Benutzer IAMUserA_WithCrossAccountAccess.
   7. Klicken Sie auf Berechtigungen hinzufügen > Vorhandene Richtlinien direkt anhängen, wählen Sie die von Ihnen erstellte Richtlinie CVAssumeRolePolicy aus und klicken Sie auf Weiter: Überprüfen > Berechtigungen hinzufügen.
3. Erlauben Sie dem IAM-Benutzer IAMUserA_WithCrossAccountAccess im vertrauenswürdigen Konto den Zugriff auf die Richtlinie, die Sie in Schritt 2 erstellt haben.
   1. Rufen Sie den IAM-Service des vertrauenswürdigen Kontos auf.
   2. Klicken Sie auf Richtlinien > Richtlinie erstellen > JSON und fügen Sie die folgende JSON ein:

      {
      	"Version": "2012-10-17",
      	"Statement": [
      		{
      			"Sid": "VisualEditor0",
      			"Effect": "Allow",
      			"Action": [
      			       "iam:GetPolicy",
      			       "iam:GetPolicyVersion"
      			],
      			"Resource": "*"
      		}
      	]
      }
      

   3. Klicken Sie auf Richtlinie überprüfen, nennen Sie die Richtlinie CVAllowReadPolicy, und klicken Sie auf Richtlinie erstellen, um sie zu speichern.
   4. Gehen Sie zu Benutzer und wählen Sie den Benutzer IAMUserA_WithCrossAccountAccess.
   5. Klicken Sie auf Berechtigungen hinzufügen > Vorhandene Richtlinien direkt anhängen, wählen Sie die von Ihnen erstellte Richtlinie CVAllowReadPolicy aus und klicken Sie auf Weiter: Überprüfen > Berechtigungen hinzufügen.