Lo Strumento di analisi degli accessi di AWS Identity and Access Management (IAM) dirige l'utente verso il privilegio minimo con la fornitura di strumenti per impostare, verificare e perfezionare le autorizzazioni. Lo Strumento di analisi degli accessi IAM fornisce gli esiti dell'analisi degli accessi, controlli e generazione di policy.

Quando l'utente abilita lo Strumento di analisi degli accessi IAM, crea un analizzatore che controlla regolarmente gli account personali o l'organizzazione AWS per accessi esterni, interni e non utilizzati. Lo Strumento di analisi genera esiti di accesso per ruoli IAM, utenti IAM e risorse AWS. L'utente può abilitare tre tipi di strumento di analisi: quello degli accessi esterni, quello degli accessi interni e infine degli accessi non utilizzati:

• Lo strumento di analisi degli accessi esterni genera esiti degli accessi pubblici e multi-account per le risorse AWS. Questa funzionalità viene fornita senza costi aggiuntivi.
• Lo strumento di analisi degli accessi interni identifica i ruoli e gli utenti IAM, nell'ambito della tua organizzazione AWS, che hanno accesso alle risorse AWS aziendali fondamentali. Si tratta di una funzionalità a pagamento. Per ogni strumento di analisi degli accessi interni abilitato, l'utente paga per risorsa monitorata per Regione al mese.
• Lo strumento di analisi degli accessi non utilizzati ispeziona questo tipo di accessi per dirigere l'utente verso il privilegio minimo. Si tratta di una funzionalità a pagamento. Per ogni strumento di analisi degli accessi non utilizzati abilitato, l'utente paga per ruolo IAM oppure per utente IAM al mese. Poiché i ruoli e gli utenti IAM sono globali, l'utente deve abilitare un solo strumento di analisi in tutte le Regioni di una partizione.

I costi relativi allo strumento di analisi degli accessi interni e degli accessi non utilizzati vengono addebitati una volta durante la configurazione e successivamente con cadenza mensile il primo giorno del mese.

Lo Strumento di analisi degli accessi IAM fornisce inoltre due tipi di controlli delle policy:

• La convalida della policy tramite lo Strumento di analisi degli accessi IAM aiuta l'utente a creare e convalidare policy sicure e funzionali basate sulle best practice IAM. Questa funzionalità viene fornita senza costi aggiuntivi.
• I controlli delle policy personalizzate eseguiti dallo Strumento di analisi degli accessi IAM convalidano, prima dell'implementazione, che le policy create dagli sviluppatori aderiscano agli standard di sicurezza specificati. Si tratta di una funzionalità a pagamento. I controlli delle policy personalizzate fanno ricorso al ragionamento automatico, una garanzia di sicurezza dimostrabile supportata da prove matematiche, per consentire ai team addetti alla sicurezza di rilevare in modo proattivo gli aggiornamenti non conformi alle policy. I controlli delle policy personalizzate vengono addebitati all'utente in base al numero di controlli eseguiti chiamando le API dello Strumento di analisi degli accessi IAM.

La generazione di policy con lo strumento di analisi degli accessi IAM genera policy granulari sull'attività di accesso acquisita nei log dell'utente. Questa funzionalità viene fornita senza costi aggiuntivi.