Comment exporter une liste des identités IAM Identity Center et de leurs affectations ?

Brève description

Pour générer des rapports sur les ensembles d'autorisations IAM Identity Center, utilisez des scripts Python. Vous pouvez créer un rapport JSON des ensembles d'autorisations avec les principaux qui leur ont été affectés ou un fichier .csv des comptes avec leurs attributions d'ensembles d'autorisations.

Important :

• Les API IAM Identity Center présentent une limitation collective maximale de 20 transactions par seconde (TPS).
  Remarque : Si vous recevez des erreurs RequestLimitExceeded et ThrottlingException, consultez la section Gestion et surveillance de la limitation d’API dans vos charges de travail.
• Plus vous incluez de comptes dans votre script, plus la génération du rapport est longue.

Résolution

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes de l'interface de la ligne de commande AWS (AWS CLI), consultez la section Résoudre des erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l’AWS CLI.

Prérequis :

• Installez ou mettez à jour le kit SDK AWS pour Python (Boto3).
• Utilisez l'une des méthodes suivantes pour configurer l'interface de ligne de commande AWS et le kit SDK AWS pour Python avec les informations d'identification appropriées :
  Exécutez la commande configure de l’AWS CLI. Pour plus d'informations, consultez la section Configuration à l'aide des commandes de l'AWS CLI.
  Utilisez les informations d’identification de sécurité temporaires.
• Configurez un profil pour l'AWS CLI avec les informations d'identification d'un principal IAM disposant des autorisations suivantes :
  Autorisez l'accès au compte de gestion de l'organisation ou au compte d'administrateur délégué pour IAM Identity Center.
  Associez les politiques gérées par AWS AWSSSOReadOnly et AWSSSODirectoryReadOnly.

Générer un rapport sur les ensembles d'autorisations avec les principaux affectés

Procédez comme suit :

1. Enregistrez le script Python suivant avec une extension .py, telle que permission_sets_report.py :

   import boto3, json
   
   idstoreclient = boto3.client('identitystore')
   ssoadminclient = boto3.client('sso-admin')
   orgsclient= boto3.client('organizations')
   
   users={}
   groups={}
   permissionSets={}
   Accounts=[]
   
   Instances= (ssoadminclient.list_instances()).get('Instances')
   InstanceARN=Instances[0].get('InstanceArn')
   IdentityStoreId=Instances[0].get('IdentityStoreId')
   
   #Dictionary mapping User IDs to usernames
   def mapUserIDs():
       ListUsers=idstoreclient.list_users(IdentityStoreId=IdentityStoreId)
       ListOfUsers=ListUsers['Users']
       while 'NextToken' in ListUsers.keys():
           ListUsers=idstoreclient.list_users(IdentityStoreId=IdentityStoreId,NextToken=ListUsers['NextToken'])
           ListOfUsers.extend(ListUsers['Users'])
       for eachUser in ListOfUsers:
           users.update({eachUser.get('UserId'):eachUser.get('UserName')})
   mapUserIDs()
   
   #Dictionary mapping Group IDs to display names
   def mapGroupIDs():
       ListGroups=idstoreclient.list_groups(IdentityStoreId=IdentityStoreId)
       ListOfGroups=ListGroups['Groups']
       while 'NextToken' in ListGroups.keys():
           ListGroups=idstoreclient.list_groups(IdentityStoreId=IdentityStoreId,NextToken=ListGroups['NextToken'])
           ListOfGroups.extend(ListGroups['Groups'])
       for eachGroup in ListOfGroups:
           groups.update({eachGroup.get('GroupId'):eachGroup.get('DisplayName')})
   mapGroupIDs()
   
   #Dictionary mapping permission set ARNs to permission set names
   def mapPermissionSetIDs():
       ListPermissionSets=ssoadminclient.list_permission_sets(InstanceArn=InstanceARN)
       ListOfPermissionSets=ListPermissionSets['PermissionSets']
       while 'NextToken' in ListPermissionSets.keys():
           ListPermissionSets=ssoadminclient.list_permission_sets(InstanceArn=InstanceARN,NextToken=ListPermissionSets['NextToken'])
           ListOfPermissionSets.extend(ListPermissionSets['PermissionSets'])
       for eachPermissionSet in ListOfPermissionSets:
           permissionSetDescription=ssoadminclient.describe_permission_set(InstanceArn=InstanceARN,PermissionSetArn=eachPermissionSet)
           permissionSetDetails=permissionSetDescription.get('PermissionSet')
           permissionSets.update({permissionSetDetails.get('PermissionSetArn'):permissionSetDetails.get('Name')})
   mapPermissionSetIDs()
   
   #Listing Permissionsets provisioned to an account
   def GetPermissionSetsProvisionedToAccount(AccountID):
       ListOfPermissionSetsProvisionedToAccount=[]
       PermissionSetsProvisionedToAccount=ssoadminclient.list_permission_sets_provisioned_to_account(InstanceArn=InstanceARN,AccountId=AccountID)
       try:
           ListOfPermissionSetsProvisionedToAccount = PermissionSetsProvisionedToAccount['PermissionSets']
           while 'NextToken' in PermissionSetsProvisionedToAccount.keys():
               PermissionSetsProvisionedToAccount=ssoadminclient.list_permission_sets_provisioned_to_account(InstanceArn=InstanceARN,AccountId=AccountID,NextToken=PermissionSetsProvisionedToAccount['NextToken'])
               ListOfPermissionSetsProvisionedToAccount.extend(PermissionSetsProvisionedToAccount['PermissionSets'])
           return(ListOfPermissionSetsProvisionedToAccount)
       except:
           return(ListOfPermissionSetsProvisionedToAccount)
   
   
   #To retrieve the assignment of each permissionset/user/group/account assignment
   def ListAccountAssignments(AccountID):
       PermissionSetsList=GetPermissionSetsProvisionedToAccount(AccountID)
       Assignments=[]
       for permissionSet in PermissionSetsList:
           AccountAssignments=ssoadminclient.list_account_assignments(InstanceArn=InstanceARN,AccountId=AccountID,PermissionSetArn=permissionSet)
           Assignments.extend(AccountAssignments['AccountAssignments'])
           while 'NextToken' in AccountAssignments.keys():
               AccountAssignments=ssoadminclient.list_aaccount_assignments(InstanceArn=InstanceARN,AccountId=AccountID,PermissionSetArn=permissionSet,NextToken=AccountAssignments['NextToken'])
               Assignments.extend(AccountAssignments['AccountAssignments'])
       return(Assignments)
   
   #To list all the accounts in the organization
   def ListAccountsInOrganization():
       AccountsList=orgsclient.list_accounts()
       ListOfAccounts=AccountsList['Accounts']
       while 'NextToken' in AccountsList.keys():
           AccountsList=orgsclient.list_accounts(NextToken=AccountsList['NextToken'])
           ListOfAccounts.extend(AccountsList['Accounts'])
       for eachAccount in ListOfAccounts:
           Accounts.append(str(eachAccount.get('Id')))
       return(Accounts)
   
   #To translate set datatype to json
   class SetEncoder(json.JSONEncoder):
       def default(self, obj):
           if isinstance(obj, set):
               return list(obj)
           return json.JSONEncoder.default(self, obj)
   
   def GetListOfAssignmentsForPermissionSets():
       ListOfAccountIDs=ListAccountsInOrganization()
       entries=[]
       PermissionSetListForAssignments={}
       for eachAccountID in ListOfAccountIDs:
           GetAccountAssignments=ListAccountAssignments(eachAccountID)
           for eachAssignment in GetAccountAssignments:
               if(permissionSets.get(eachAssignment.get('PermissionSetArn'))) not in PermissionSetListForAssignments.keys():
                   SetOfUsersandGroups={'Users':set(),'Groups':set()}
                   PermissionSetListForAssignments[permissionSets.get(eachAssignment.get('PermissionSetArn'))]=SetOfUsersandGroups
               SetOfUsersandGroups=PermissionSetListForAssignments.get(permissionSets.get(eachAssignment.get('PermissionSetArn')))
               if(eachAssignment.get('PrincipalType')=='GROUP'):
                   setOfGroups=SetOfUsersandGroups.get('Groups')
                   setOfGroups.add(groups.get(eachAssignment.get('PrincipalId')))
                   SetOfUsersandGroups.update({'Groups':setOfGroups})
                   PermissionSetListForAssignments.update({permissionSets.get(eachAssignment.get('PermissionSetArn')):SetOfUsersandGroups})
               else:
                   setOfUsers=SetOfUsersandGroups.get('Users')
                   setOfUsers.add(users.get(eachAssignment.get('PrincipalId')))
                   SetOfUsersandGroups.update({'Users':setOfUsers})
                   PermissionSetListForAssignments.update({permissionSets.get(eachAssignment.get('PermissionSetArn')):SetOfUsersandGroups})
       with open("AssignmentsForPermissionSets.json", "w") as outfile:
           json.dump(PermissionSetListForAssignments, outfile, cls=SetEncoder)
       print("Done!AssignmentsForPermissionSets.json generated successfully!")
   GetListOfAssignmentsForPermissionSets()

   Remarque : Si vous recevez l'erreur "IndexError: list index out of range", cela signifie que le script se trouve dans une région AWS qui n'est pas celle dans laquelle vous avez configuré IAM Identity Center.

2. Exécutez le script Python dans une fenêtre Terminal (macOS) ou PowerShell (Windows).

Le script crée un fichier JSON nommé AssignmentsForPermissionSets.json qui contient vos ensembles d'autorisations et les principaux qui leur sont affectés.

Exemple de sortie :

{  "AdministratorAccess": {    "Users": [
      "Charlie",
      "Ted"
    ],
    "Groups": [
      "Admins",
      "Developers"
    ]
  },
  "PowerUserAccess": {
    "Users": [
      "Chandler",
      "Joey"
    ],
    "Groups": [
      "Developers",
      "Testers"
    ]
  },
  "SystemAdministrator": {
    "Users": [
      "Sherlock"
    ],
    "Groups": [
      "DevOps"
    ]
  }
}

Remarque : Si aucun ensemble d'autorisations ne figure dans le rapport, cela signifie que vous n'avez pas configuré d'ensemble d'autorisations pour les comptes.

Générer un rapport avec les autorisations définies pour les affectations des comptes

Procédez comme suit :

1. Enregistrez le script Python suivant avec une extension .py, telle que account_assignments_report.py :

   import boto3, csv
   
   idstoreclient = boto3.client('identitystore')
   ssoadminclient = boto3.client('sso-admin')
   orgsclient= boto3.client('organizations')
   
   users={}
   groups={}
   permissionSets={}
   Accounts={}
   
   Instances= (ssoadminclient.list_instances()).get('Instances')
   InstanceARN=Instances[0].get('InstanceArn')
   IdentityStoreId=Instances[0].get('IdentityStoreId')
   
   
   #Dictionary mapping User IDs to usernames
   def mapUserIDs():
       ListUsers=idstoreclient.list_users(IdentityStoreId=IdentityStoreId)
       ListOfUsers=ListUsers['Users']
       while 'NextToken' in ListUsers.keys():
           ListUsers=idstoreclient.list_users(IdentityStoreId=IdentityStoreId,NextToken=ListUsers['NextToken'])
           ListOfUsers.extend(ListUsers['Users'])
       for eachUser in ListOfUsers:
           users.update({eachUser.get('UserId'):eachUser.get('UserName')})
   mapUserIDs()
   
   #Dictionary mapping Group IDs to display names
   def mapGroupIDs():
       ListGroups=idstoreclient.list_groups(IdentityStoreId=IdentityStoreId)
       ListOfGroups=ListGroups['Groups']
       while 'NextToken' in ListGroups.keys():
           ListGroups=idstoreclient.list_groups(IdentityStoreId=IdentityStoreId,NextToken=ListGroups['NextToken'])
           ListOfGroups.extend(ListGroups['Groups'])
       for eachGroup in ListOfGroups:
           groups.update({eachGroup.get('GroupId'):eachGroup.get('DisplayName')})
   mapGroupIDs()
   
   #Dictionary mapping permission set ARNs to permission set names
   def mapPermissionSetIDs():
       ListPermissionSets=ssoadminclient.list_permission_sets(InstanceArn=InstanceARN)
       ListOfPermissionSets=ListPermissionSets['PermissionSets']
       while 'NextToken' in ListPermissionSets.keys():
           ListPermissionSets=ssoadminclient.list_permission_sets(InstanceArn=InstanceARN,NextToken=ListPermissionSets['NextToken'])
           ListOfPermissionSets.extend(ListPermissionSets['PermissionSets'])
       for eachPermissionSet in ListOfPermissionSets:
           permissionSetDescription=ssoadminclient.describe_permission_set(InstanceArn=InstanceARN,PermissionSetArn=eachPermissionSet)
           permissionSetDetails=permissionSetDescription.get('PermissionSet')
           permissionSets.update({permissionSetDetails.get('PermissionSetArn'):permissionSetDetails.get('Name')})
   mapPermissionSetIDs()
   
   #Listing Permissionsets provisioned to an account
   def GetPermissionSetsProvisionedToAccount(AccountID):
       PermissionSetsProvisionedToAccount=ssoadminclient.list_permission_sets_provisioned_to_account(InstanceArn=InstanceARN,AccountId=AccountID)
       ListOfPermissionSetsProvisionedToAccount = PermissionSetsProvisionedToAccount['PermissionSets']
       while 'NextToken' in PermissionSetsProvisionedToAccount.keys():
           PermissionSetsProvisionedToAccount=ssoadminclient.list_permission_sets_provisioned_to_account(InstanceArn=InstanceARN,AccountId=AccountID,NextToken=PermissionSetsProvisionedToAccount['NextToken'])
           ListOfPermissionSetsProvisionedToAccount.extend(PermissionSetsProvisionedToAccount['PermissionSets'])    
       return(ListOfPermissionSetsProvisionedToAccount)
   
   #To retrieve the assignment of each permissionset/user/group/account assignment
   def ListAccountAssignments(AccountID):
       PermissionSetsList=GetPermissionSetsProvisionedToAccount(AccountID)
       Assignments=[]
       for permissionSet in PermissionSetsList:
           AccountAssignments=ssoadminclient.list_account_assignments(InstanceArn=InstanceARN,AccountId=AccountID,PermissionSetArn=permissionSet)
           Assignments.extend(AccountAssignments['AccountAssignments'])
           while 'NextToken' in AccountAssignments.keys():
               AccountAssignments=ssoadminclient.list_aaccount_assignments(InstanceArn=InstanceARN,AccountId=AccountID,PermissionSetArn=permissionSet,NextToken=AccountAssignments['NextToken'])
               Assignments.extend(AccountAssignments['AccountAssignments'])
       return(Assignments)
   
   
   #To list all the accounts in the organization
   def ListAccountsInOrganization():
       AccountsList=orgsclient.list_accounts()
       ListOfAccounts=AccountsList['Accounts']
       while 'NextToken' in AccountsList.keys():
           AccountsList=orgsclient.list_accounts(NextToken=AccountsList['NextToken'])
           ListOfAccounts.extend(AccountsList['Accounts'])
       for eachAccount in ListOfAccounts:
           Accounts.update({eachAccount.get('Id'):eachAccount.get('Name')})
       return(Accounts)
   
   def WriteToExcel():
       Accounts=ListAccountsInOrganization()
       ListOfAccountIDs=list(Accounts.keys())
       entries=[]
       for eachAccountID in ListOfAccountIDs:
           try:
               GetAccountAssignments=ListAccountAssignments(eachAccountID)
               for eachAssignment in GetAccountAssignments:
                   entry=[]
                   entry.append(eachAssignment.get('AccountId'))
                   entry.append(Accounts.get(eachAssignment.get('AccountId')))
                   entry.append(permissionSets.get(eachAssignment.get('PermissionSetArn')))
                   entry.append(eachAssignment.get('PrincipalType'))
                   if(eachAssignment.get('PrincipalType')=='GROUP'):
                       entry.append(groups.get(eachAssignment.get('PrincipalId')))
                   else:
                       entry.append(users.get(eachAssignment.get('PrincipalId')))
                   entries.append(entry)
           except:
               continue
       filename = "IdentityStoreReport.csv"
       headers=['Account ID', 'Account Name', 'Permission Set','Principal Type', 'Principal']
   
       with open(filename, 'w') as report:
           csvwriter = csv.writer(report)
           csvwriter.writerow(headers)
           csvwriter.writerows(entries)
       print("Done! 'IdentityStoreReport.csv' report is generated successfully!")
   WriteToExcel()

2. Exécutez le script Python dans une fenêtre Terminal (macOS) ou PowerShell (Windows).

Le script crée un fichier .csv nommé IdentityStoreReport.csv qui contient les affectations de vos comptes. Votre système enregistre le fichier .csv dans le même répertoire que le rapport sur les ensembles d'autorisations.

Exemple de sortie de fichier .csv :

Remarque : Si aucun compte ne figure dans le rapport, cela signifie que vous n'avez pas configuré d'ensembles d'autorisations pour ce compte.