AWS Identity and Access Management (IAM) Access Analyzer hilft Ihnen bei der Implementierung des Prinzips der geringsten Berechtigung, indem es Tools zum Festlegen, Überprüfen und Verfeinern von Berechtigungen bereitstellt. IAM Access Analyzer bietet Ihnen Erkenntnisse aus Zugriffsanalysen, Richtlinienprüfungen und Richtliniengenerierung.

Durch das Aktivieren von IAM Access Analyzer erstellen Sie einen Analyzer. Dieser Analyzer überprüft Ihre Konten bzw. Ihre AWS-Organisation kontinuierlich auf externe Zugriffe und ungenutzte Zugriffe. Der Analyzer generiert Erkenntnisse zu Zugriffen durch IAM-Rollen, IAM-Benutzer und AWS-Ressourcen. Sie können zwei Arten von Analyzern aktivieren: Analyzer für externe Zugriffe und Analyzer für ungenutzte Zugriffe:

• Ein Analyzer für externe Zugriffe erstellt Erkenntnisse zu öffentlichen und kontoübergreifenden Zugriffen auf AWS-Ressourcen. Für dieses Feature werden keine zusätzlichen Gebühren berechnet.
• Ein Analyzer für ungenutzte Zugriffe überprüft auf ungenutzte Zugriffe und erleichtert es Ihnen so, das Prinzips der geringsten Berechtigung umzusetzen. Dieses Feature ist kostenpflichtig. Für jeden aktivierten Analyzer für ungenutzte Zugriffe zahlen Sie pro IAM-Rolle oder IAM-Benutzer pro Monat. Da IAM-Rollen und IAM-Benutzer global sind, müssen Sie über alle Regionen in einer Partition hinweg nur einen einzigen Analyzer aktivieren.

Die Kosten für den Analyzer für ungenutzte Zugriffe werden erstmalig beim Einrichten und dann monatlich am ersten Tag des Monats fällig.

IAM Access Analyzer bietet zudem zwei Arten von Richtlinienprüfungen:

• Die Richtlinienvalidierung von IAM Access Analyzer unterstützt Sie bei der Erstellung und Validierung sicherer und funktionaler Richtlinien auf der Grundlage von bewährten IAM-Verfahren. Für dieses Feature werden keine zusätzlichen Gebühren berechnet.
• Die Überprüfung benutzerdefinierter Richtlinien in IAM Access Analyzer validiert vor der Bereitstellung, ob die vom Entwickler erstellten Richtlinien Ihren vorgegebenen Sicherheitsstandards entsprechen. Dieses Feature ist kostenpflichtig. Die Überprüfungen benutzerdefinierter Richtlinien nutzen Automated Reasoning – nachweisbare Sicherheitsgarantien, die durch mathematische Beweise gestützt werden –, damit Sicherheitsteams proaktiv nicht konforme Aktualisierungen von Richtlinien erkennen können. Für Überprüfungen benutzerdefinierter Richtlinien werden Ihnen Gebühren auf der Grundlage der Anzahl der Überprüfungen berechnet, die Sie durch API-Aufrufe von IAM Access Analyzer ausführen.

Die Richtlinienerstellung von IAM Access Analyzer generiert fein abgestufte Richtlinien auf der Grundlage der in Ihren Protokollen erfassten Zugriffsaktivitäten. Für dieses Feature werden keine zusätzlichen Gebühren berechnet.