Sự cố sử dụng AWS CLI

Trong kịch bản của chúng tôi, trước đây chúng tôi đã có một số khóa AWS. Giao diện IAM hiển thị/hiển thị không sử dụng nhưng nhân viên đã có thể tải tài nguyên lên. Ai đó có thể tư vấn cách kiểm tra xem giao diện có bị lỗi hay không hoặc liệu họ có thể không sử dụng các thông tin đăng nhập này không?

Các truy vấn ATHENA tôi đã thử

CHỌN eventTime, eventName, userIdentity.principalId, eventSource
TỪ bảng athena
WHERE useridentity.accesskeyid như 'AKIAIOSFODNN7EXAMPLE'

LỰA CHỌN *
TỪ bảng athena
WHERE useridentity.type = 'IAMUser'
VÀ useridentity.username THÍCH 'Alice';

Trong Bảng điều khiển IAM Hoạt động cuối cùng được hiển thị là Không bao giờ.

Chúng tôi sẽ xóa người dùng đó nhưng trước khi làm điều đó, tôi muốn xem cách cô ấy sử dụng tài khoản mà không cần đăng nhập. Có cách nào tốt hơn để tìm ra điều này?

Các Báo cáo xác thực phải là cách phù hợp để điều tra vấn đề này ở đầu đám mây.

Bạn có thể yêu cầu người dùng kiểm tra những gì họ có trong ~/.aws/config và ~/.aws/credentials để xác nhận thông tin đăng nhập nào họ đang sử dụng.

Nó trông như thế này:

[Tên hồ sơ]
aws_access_key_id = SHORTERSTRING
aws_secret_access_key = LONGERSSTRINGGOESHEREWITHMORECHARS

Sử dụng báo cáo thông tin xác thực để tìm hiểu thời điểm người dùng IAM sử dụng khóa truy cập lần cuối. Nếu nó có vẻ sai, thì bạn có thể cần phải tìm hiểu kỹ nhật ký CloudTrail để tìm hiểu thời điểm/nơi khóa đang được sử dụng.

Cách tiếp cận gung-ho hơn sẽ là thu hồi các khóa truy cập cho đến khi ai đó hét vào mặt bạn: D