La configuration des Service Control Policies (SCP) doit se faire au niveau de l’organisation dans AWS.
Vous devez réaliser ce déploiement avec un compte administrateur.
Voici les modalités de déploiement, détaillées avec des captures d'écran à chaque étape :
- Sélectionnez Amazon Web Services
- Créez une nouvelle police
- Créez un nouveau rôle
- Ajoutez un identifiant ARN
- Terminez
1. Sélectionnez Amazon Web Services
Rendez-vous dans l'onglet Scan de Cloud puis Paramètres puis cliquez sur Nouveau fournisseur puis sur AWS.
2. Créez une nouvelle police
Voici le résumé des différentes étapes pour créer une nouvelle police
- Rendez-vous sur AWS policy creator avec votre compte administrateur
- Cliquez sur l'onglet JSON et copiez la police ci-dessous dans l'éditeur JSON
- Cliquez sur Suivant
Police à copier :
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecr:BatchGetRepositoryScanningConfiguration",
"ecr:DescribeImageScanFindings",
"ecr:DescribeImages",
"dynamodb:ListTagsOfResource",
"ecr:ListTagsForResource",
"inspector2:BatchGet*",
"inspector2:Get*",
"inspector2:Describe*",
"inspector2:List*",
"sqs:ListQueueTags",
"sso:DescribePermissionsPolicies",
"sso:List*"
],
"Resource": "*"
},
{
"Effect": "Deny",
"Action": [
"datapipeline:EvaluateExpression",
"datapipeline:QueryObjects",
"rds:DownloadDBLogFilePortion"
],
"Resource": "*"
}
]
}- Nommez la police StoikAdditionalPermissions
- Cliquez sur Créer une politique en bas de page
3. Créez un nouveau rôle
Voici le résumé des différentes étapes pour créer un nouveau rôle
- Rendez-vous sur AWS role creator
- Cliquez sur Compte AWS puis sur Un autre compte AWS et copiez l'ID de compte suivant : 436578779424
- Sélectionnez l'option Exiger un ID externe et copiez la valeur qui s'affiche dans la console Stoïk Protect
- Cliquez sur Suivant
- Sélectionnez les permissions StoikAdditionalPermissions et SecurityAudit
- Cliquez sur Suivant
- Ajoutez stoik-auditor dans le Nom du rôle
- Cliquez sur Créer un rôle
4. Ajoutez un identifiant ARN
Voici le résumé des différentes étapes pour ajouter un identifiant ARN
- Rendez-vous sur le rôle stoik-auditor que vous venez de créer.
- Copiez la référence de l'ARN dans le champ dédié de la console Stoïk Protect
- Cliquez sur Terminer dans la console Stoïk Protect
5. Terminez
Cliquez sur terminer dans la console Stoïk Protect :
Rafraichir la page Stoïk si besoin