IAM Policy Analyzer
Füge eine AWS-IAM-Richtlinie ein, um zu weite Berechtigungen, Privilege-Escalation-Pfade und Confused-Deputy-Risiken zu finden, und simuliere Anfragen.
Läuft im Browser · es wird nichts gesendetAWSNeu
Alles läuft in deinem Browser. Es wird nichts gesendet, auch keine Konto-IDs, Rollennamen oder Ressourcen-ARNs aus deiner Richtlinie.
So geht’s
- Exportiere eine Richtlinie mit "aws iam get-policy-version --policy-arn ... --version-id ..." oder kopiere sie aus der Konsole.
- Füge das JSON in das Tool ein.
- Sieh dir die Ergebnisse und die Anweisungstabelle an.
- Nutze „Eine Anfrage simulieren“, um eine Aktion und Ressource zu prüfen, und exportiere den Bericht bei Bedarf.
Typische Szenarien
Prüfe, ob eine Rolle Wildcard-Aktionen, eine Wildcard-Ressource bei sensiblen Aktionen oder Privilege-Escalation-Rechte hat, bevor du sie anhängst.
Füge die Trust-Richtlinie einer Rolle ein, um zu bestätigen, dass sts:ExternalId oder aws:SourceArn verwendet wird und nicht nur eine blanke Konto-ID, bevor du einem externen Anbieter vertraust.
Erklärung
Füge ein oder mehrere AWS-IAM-Richtliniendokumente ein (eine einzelne Richtlinie, die Ausgabe von "aws iam get-policy-version", oder eine Zuordnung aller Richtlinien, die an eine Rolle oder einen Benutzer angehängt sind), und das Tool prüft jede Anweisung auf häufige Risiken: vollständigen Administratorzugriff, Wildcard-Aktionen und -Ressourcen, Privilege-Escalation-Aktionen, einen Wildcard-Principal in einer ressourcenbasierten Richtlinie und Cross-Account-Trust ohne Confused-Deputy-Schutz. Das Tool listet jede Anweisung in einer Tabelle auf und erlaubt zu simulieren, ob die eingefügte Richtlinie eine bestimmte Aktion auf einer bestimmten Ressource erlauben würde. Alles läuft lokal; das Richtlinien-JSON verlässt deinen Browser nie.
🔒 Deine Eingabe bleibt in deinem Browser und wird nirgendwohin gesendet.
Häufige Fragen
Verbindet sich das mit meinem AWS-Konto?
Nein. Es gibt keine Zugangsdaten und keine API-Aufrufe. Du exportierst die Richtlinie selbst über die AWS-CLI oder -Konsole und fügst das JSON hier ein.
Was prüft die Simulation genau?
Sie bewertet nur die eingefügten Dokumente nach der AWS-Auswertungslogik (ein explizites Deny gewinnt immer, sonst wird mindestens ein Allow benötigt). Andere Richtlinien, Permission Boundaries oder Service Control Policies (SCPs), die an anderer Stelle im Konto angehängt sind, sind unbekannt, daher könnte eine echte Anfrage trotzdem abgelehnt werden, selbst wenn dieses Tool „erlaubt“ anzeigt.
Was ist ein Confused-Deputy-Risiko?
Das passiert, wenn eine Rolle einem anderen AWS-Konto oder einem AWS-Dienst vertraut, ohne sts:ExternalId, aws:SourceArn oder aws:SourceAccount zu prüfen. Ein Dritter, der von der Rolle weiß, könnte einen Dienst dazu bringen, sie im eigenen Namen anzunehmen.
Warum wird eine Wildcard-Aktion gemeldet, obwohl die Ressource eingeschränkt ist?
Eine Wildcard wie „s3:Get*“ erlaubt auch jede passende Aktion, die AWS diesem Dienst künftig hinzufügt, was langfristig schwerer zu prüfen ist als eine explizite Liste, selbst wenn die Ressource selbst korrekt eingeschränkt ist.
Wie geht es weiter?
Problem gefunden oder einen Vorschlag? Schreib uns