Analyseur de politiques IAM

Collez une politique IAM AWS pour repérer des permissions trop larges, des chemins d’escalade de privilèges et des risques de confused deputy, et simulez des requêtes.

S’exécute dans votre navigateur · rien n’est envoyéAWSNouveau

Tout s’exécute dans votre navigateur. Rien n’est envoyé, y compris les identifiants de compte, noms de rôle et ARN de ressources de votre politique.

Document de politique (JSON)

Collez un document de politique, la sortie de "aws iam get-policy-version", ou une liste de plusieurs politiques attachées à un rôle ou un utilisateur.

Mode d’emploi

Exportez une politique avec "aws iam get-policy-version --policy-arn ... --version-id ..." ou copiez-la depuis la console.
Collez le JSON dans l’outil.
Examinez les résultats et le tableau des déclarations.
Utilisez « Simuler une requête » pour vérifier une action et une ressource, puis exportez le rapport si besoin.

Cas courants

Revoir un rôle avant de l’attribuer à un nouveau service

Vérifiez si un rôle a des actions avec caractère générique, une ressource générique sur des actions sensibles, ou des permissions d’escalade de privilèges avant de l’attacher.

Vérifier une politique de confiance entre comptes

Collez la politique de confiance d’un rôle pour confirmer qu’elle utilise sts:ExternalId ou aws:SourceArn, pas seulement un identifiant de compte nu, avant de faire confiance à un prestataire externe.

Explication

Collez un ou plusieurs documents de politique IAM AWS (une seule politique, la sortie de "aws iam get-policy-version", ou une liste de toutes les politiques attachées à un rôle ou un utilisateur) et l’outil vérifie chaque déclaration à la recherche de risques courants : accès administrateur complet, actions et ressources avec caractère générique, actions d’escalade de privilèges, un Principal générique dans une politique basée sur une ressource, et une confiance entre comptes sans protection contre le confused deputy. L’outil liste chaque déclaration dans un tableau et permet de simuler si la politique collée autoriserait une action précise sur une ressource précise. Tout s’exécute localement ; le JSON de la politique ne quitte jamais votre navigateur.

🔒 Votre saisie reste dans votre navigateur et n’est envoyée nulle part.

Questions fréquentes

Cela se connecte-t-il à mon compte AWS ?

Non. Aucun identifiant ni appel API. Vous exportez vous-même la politique via la CLI ou la console AWS et collez le JSON ici.

Que vérifie exactement la simulation ?

Elle évalue uniquement les documents collés selon la logique d’évaluation AWS (un Deny explicite gagne toujours, sinon au moins un Allow est nécessaire). Les autres politiques, permission boundaries ou service control policies (SCP) attachées ailleurs dans le compte sont inconnues, donc une requête réelle pourrait toujours être refusée même si cet outil indique « autorisé ».

Qu’est-ce qu’un risque de confused deputy ?

Cela se produit quand un rôle fait confiance à un autre compte AWS ou à un service AWS sans vérifier sts:ExternalId, aws:SourceArn ou aws:SourceAccount. Un tiers qui apprend l’existence du rôle pourrait potentiellement amener un service à l’endosser en son nom.

Pourquoi une action avec caractère générique est-elle signalée alors que la ressource est restreinte ?

Un caractère générique comme « s3:Get* » autorise aussi toute action correspondante qu’AWS ajoutera à ce service à l’avenir, ce qui est plus difficile à auditer dans le temps qu’une liste explicite, même si la ressource elle-même est correctement limitée.

Et ensuite ?

Aussi utile

Analyseur de manifestes KubernetesCollez un manifeste Kubernetes pour repérer des limites de ressources manquantes, des réglages de sécurité risqués, des règles RBAC trop larges, et obtenir un patch suggéré.
Analyseur de Conditional Access Entra IDCollez des politiques Conditional Access exportées pour vérifier le MFA admin manquant, l’authentification héritée non bloquée et les portées trop larges.
Décodeur JWTDécodez un JSON Web Token et consultez l’en-tête, le payload et la date d’expiration. En local, le jeton n’est pas envoyé.
Décodeur de certificat X.509Décodez un certificat X.509 PEM ou DER : sujet, émetteur, dates de validité, clé publique, Subject Alternative Names et extensions.
Identificateur de hachageDécouvrez de quel algorithme provient probablement un hachage : MD5, SHA-1, SHA-256, bcrypt, Argon2 et plus, d’après la longueur et le préfixe.

Un problème ou une suggestion ? Dites-le-nous