Saltar al contenido
Al usar AWS re:Post, aceptas las AWS re:Post Términos de uso
AWS re:Postre:Post
Acerca de re:Post

¿Cómo puedo volver a crear un usuario o rol de IAM eliminado con las mismas políticas y permisos?

7 minutos de lectura
0

Se ha eliminado un usuario o rol de AWS Identity and Access Management (IAM) y quiero volver a crearlo con las mismas políticas y permisos.

Descripción corta

Cuando utilizas la consola de administración de AWS para eliminar un usuario de IAM, IAM elimina automáticamente los recursos asociados a ese usuario. Estos recursos incluyen cualquier pertenencia a un grupo, contraseñas, claves de acceso, políticas en línea y dispositivos de MFA.

Cuando utilizas la consola de administración de AWS para eliminar un grupo de usuarios, IAM elimina automáticamente los recursos asociados a ese grupo. Se eliminan todos los miembros del grupo, se separan las políticas administradas y se eliminan todas las políticas en línea.

Resolución

No puedes recuperar los usuarios o roles de IAM eliminados. Sin embargo, puedes utilizar los siguientes servicios de AWS para ver las API y los recursos asociados a usuarios y grupos de IAM específicos:

A continuación, vuelve a crear el usuario o el grupo de IAM y vuelve a configurar los recursos asociados.

Uso del historial de eventos de CloudTrail para revisar los usuarios o roles de IAM eliminados

Utiliza CloudTrail para buscar en el historial de eventos el nombre de usuario o rol de IAM eliminado a fin de obtener el historial de API de los recursos asociados.

Nota: Puedes usar CloudTrail para buscar en el historial de eventos de los últimos 90 días.

  1. Abre la consola de CloudTrail.
  2. En el panel de navegación, selecciona Historial de eventos.
  3. Selecciona la lista desplegable Atributos de búsqueda y, a continuación, selecciona el Nombre de recurso.
  4. En el cuadro de texto Escribir un valor de búsqueda, introduce el nombre de usuario o rol de IAM.

Nota: También puedes configurar filtros personalizados para los eventos de CloudTrail.

Los resultados pueden contener las siguientes API asociadas al usuario o rol de IAM eliminado:

Uso de los grupos de registros de CloudWatch

Usa los grupos de registros de CloudWatch para buscar en el historial de API más allá de los últimos 90 días.

Nota: Debes tener un registro creado y configurado para registrar en grupos de registros de Amazon CloudWatch. Para obtener más información, consulta Creación de un registro con la consola de CloudTrail.

  1. Abre la consola de CloudWatch.
  2. En el panel de navegación, expande Registros y, a continuación, selecciona Administración de registros.
  3. En Grupos de registros, selecciona tu grupo de registros.
  4. En la página de grupos de registros, selecciona Buscar el grupo de registros.
  5. En Filtrar eventos, introduce una consulta para buscar las llamadas a la API de un usuario o acciones de API específicas. A continuación, selecciona el icono de actualización.
  6. En el resultado de la búsqueda del grupo de registros, expande Marca temporal para ver los detalles del resultado de la llamada a la API.

Ejemplo de consulta para buscar registros de llamadas a la API de un usuario:

{ $.userIdentity.userName = "Alice" }

Nota: Sustituye Alice por el nombre de usuario de IAM para la consulta de búsqueda.

Ejemplo de consulta para buscar registros de llamadas a la API de un rol:

{ $.userIdentity.sessionContext.sessionIssuer.userName = "AliceRole" }

Nota: Sustituye AliceRole por el nombre del rol de IAM para la consulta de búsqueda.

Nota: También puedes analizar los datos de registro con Información de registros de CloudWatch. Para obtener más información, consulta ¿Cómo puedo recuperar y analizar mis registros de CloudTrail con Información de registros de CloudWatch?

Uso de Athena para consultar los registros de CloudTrail y revisar los usuarios o roles de IAM eliminados

Puedes utilizar Athena para consultar los registros de CloudTrail de los últimos 90 días. Si tu registro está configurado para registrar eventos de datos, también puedes encontrar eventos de datos. No puedes ver los eventos de datos en el historial de eventos de CloudTrail.

Nota: Para usar Athena para consultar los registros de CloudTrail, debes tener registro configurado para registrar en un bucket de Amazon Simple Storage Service (Amazon S3).

  1. Abre la consola de Athena y, a continuación, selecciona Editor de consultas.
  2. Introduce una de las siguientes consultas de ejemplo en función de tu caso de uso y, a continuación, selecciona Ejecutar.

Ejemplo de consulta para devolver todos los eventos de CloudTrail relacionados con los cambios de configuración aplicados a un usuario de IAM específico:

SELECT *
FROM example-athena-table
WHERE
eventsource = 'iam.amazonaws.com'
AND requestParameters LIKE '%DeletedIAMUserName%'
AND readonly = 'false'

Ejemplo de consulta para devolver todos los eventos de CloudTrail relacionados con los cambios de configuración aplicados a un rol de IAM específico:

SELECT *
FROM example-athena-table
WHERE
eventsource = 'iam.amazonaws.com'
AND requestParameters LIKE '%DeletedIAMRoleName%'
AND readonly = 'false'

Nota: Sustituye athena-table por el nombre de la tabla de Athena y DeletedIAMUserName o DeletedIAMRoleName por tu usuario o rol de IAM.

También puedes usar los registros de CloudTrail para crear una tabla de Athena para ejecutar consultas. Para obtener más información, consulta Consulta de los registros de AWS CloudTrail.

Uso de AWS Config para revisar los usuarios o roles de IAM eliminados

Puedes ver los recursos que AWS Config registró en tu cuenta de AWS, como los usuarios o roles de IAM eliminados.

  1. Abre la consola de AWS Config en la región de AWS us-east-1.
  2. En el panel de navegación, selecciona Recursos.
  3. En la página Inventario de recursos, en Tipo de recurso, selecciona la lista desplegable.
  4. Selecciona el rol de AWS IAM o el usuario de AWS IAM.
  5. Selecciona la opción Included deleted resources (Recursos eliminados incluidos) para activarla y, a continuación, selecciona Aplicar.
  6. En la columna Identificador del recurso, selecciona el usuario o rol de IAM marcado como "deleted".
  7. En la página Recursos, selecciona Escala de tiempo del recurso.
  8. En la página Escala de tiempo, revisa los Detalles generales y los Eventos del usuario o rol de IAM eliminado.

La escala de tiempo de recursos de AWS Config contiene detalles sobre las políticas en línea, las políticas administradas y los permisos asociados al rol o usuario de IAM antes de la eliminación. Para obtener más información, consulta Visualización de los recursos a los que se hace referencia con AWS Config.

Información relacionada

Visualización del historial de conformidad de tus recursos de AWS con AWS Config

¿Cómo puedo crear tablas en Amazon Athena automáticamente para realizar búsquedas en registros de CloudTrail?

¿Cómo puedo supervisar la actividad de las cuentas de usuarios de IAM, roles y claves de acceso de AWS específicos?

Sin comentarios

Contenido relevante