IAM Policy analyzer
Plak een AWS IAM-policy om te ruime rechten, privilege-escalatiepaden en confused-deputy-risico’s te vinden, en simuleer aanvragen.
Draait in je browser · er wordt niets verstuurdAWSNieuw
Alles draait in je browser. Er wordt niets verstuurd, ook geen account-ID’s, rolnamen of resource-ARN’s uit je policy.
Zo gebruik je het
- Exporteer een policy met "aws iam get-policy-version --policy-arn ... --version-id ..." of kopieer hem uit de console.
- Plak de JSON in de tool.
- Bekijk de bevindingen en de statementtabel.
- Gebruik "Een aanvraag simuleren" om één actie en resource te controleren, en exporteer het rapport indien nodig.
Veelvoorkomende situaties
Controleer of een rol wildcard-acties, een wildcard-resource op gevoelige acties, of privilege-escalatierechten heeft voordat je die koppelt.
Plak de trust policy van een rol om te bevestigen dat sts:ExternalId of aws:SourceArn wordt gebruikt, niet alleen een los account-ID, voordat je een externe leverancier vertrouwt.
Uitleg
Plak een of meer AWS IAM-policydocumenten (één policy, de uitvoer van "aws iam get-policy-version", of een kaart met alle policies die aan één rol of gebruiker gekoppeld zijn) en de tool controleert elke statement op veelvoorkomende risico’s: volledige beheerderstoegang, wildcard-acties en -resources, privilege-escalatieacties, een wildcard Principal in een resource-based policy, en cross-account trust zonder confused-deputy-beveiliging. De tool toont elke statement in een tabel en laat je simuleren of de geplakte policy een specifieke actie op een specifieke resource zou toestaan. Alles draait lokaal; de policy-JSON verlaat je browser nooit.
🔒 Je invoer blijft in je browser en wordt nergens naartoe gestuurd.
Veelgestelde vragen
Maakt dit verbinding met mijn AWS-account?
Nee. Er zijn geen inloggegevens en geen API-aanroepen. Je exporteert de policy zelf met de AWS CLI of console en plakt de JSON hier.
Wat controleert de simulatie precies?
De tool evalueert alleen de geplakte policydocument(en) volgens de AWS-evaluatielogica (een expliciete Deny wint altijd, anders is minstens één Allow nodig). Andere policies, permission boundaries of service control policies (SCP’s) die elders in het account gekoppeld zijn, zijn onbekend, dus een echte aanvraag kan nog steeds geweigerd worden ook als deze tool "toegestaan" aangeeft.
Wat is een confused-deputy-risico?
Dit gebeurt als een rol een ander AWS-account of een AWS-dienst vertrouwt zonder sts:ExternalId, aws:SourceArn of aws:SourceAccount te controleren. Een derde partij die weet dat de rol bestaat, kan mogelijk een dienst laten doen alsof hij die rol namens hen aanneemt.
Waarom wordt een wildcard-actie gemeld terwijl de resource beperkt is?
Een wildcard zoals "s3:Get*" staat ook elke bijpassende actie toe die AWS in de toekomst aan die dienst toevoegt, wat op langere termijn moeilijker te controleren is dan een expliciete lijst, zelfs als de resource zelf correct beperkt is.
Wat nu?
Een probleem gevonden of een suggestie? Laat het ons weten