O analisador de acesso do AWS Identity and Access Management (IAM) orienta como seguir o princípio de privilégio mínimo fornecendo ferramentas para definir, verificar e refinar permissões. O IAM Access Analyzer fornece descobertas de análise de acesso, verificações de políticas e geração de políticas.

Ao habilitar o IAM Access Analyzer, você cria um analisador que verifica regularmente suas contas ou a organização da AWS em busca de acesso externo, acesso interno e acesso não utilizado. O analisador gera descobertas de acesso para os perfis do IAM, usuários do IAM e recursos da AWS. Você pode habilitar três tipos de analisadores: analisador de acesso externo, analisador de acesso interno e analisador de acesso não utilizado:

• um analisador de acesso externo cria descobertas de acesso público e entre contas em relação aos recursos da AWS. Isso é oferecido sem custo adicional.
• Um analisador de acesso interno identifica os perfis e os usuários do IAM em sua organização da AWS que têm acesso aos recursos essenciais da AWS para seus negócios. Esse é um atributo pago. Para cada analisador interno habilitado, você paga mensalmente por recurso monitorado por região.
• Um analisador de acesso não utilizado inspeciona acessos não utilizados para orientar sobre o privilégio mínimo. Esse é um atributo pago. Para cada analisador de acesso não utilizado que for habilitado, você paga de acordo com o perfil do IAM ou usuário do IAM por mês. Como os perfis e os usuários do IAM são globais, é necessário habilitar somente um analisador em todas as regiões em uma partição.

As cobranças do analisador de acesso interno e do analisador de acesso não utilizado ocorrem uma vez durante a configuração e, em seguida, mensalmente no primeiro dia do mês.

O IAM Access Analyzer também oferece dois tipos de verificações de políticas:

• A validação de políticas do IAM Access Analyzer orienta a criação e validação de políticas seguras e funcionais com base nas práticas recomendadas do IAM. Isso é oferecido sem custo adicional.
• As verificações de políticas personalizadas do IAM Access Analyzer validam, antes das implantações, se as políticas criadas pelo desenvolvedor estão de acordo com os padrões de segurança especificados. Esse é um atributo pago. As verificações de políticas personalizadas usam raciocínio automatizado, uma garantia de segurança comprovada e apoiada por provas matemáticas, para que as equipes de segurança possam detectar proativamente atualizações em desacordo com as políticas. Para verificações de políticas personalizadas, a cobrança tem com base o número de verificações executadas ao chamar as APIs do IAM Access Analyzer.

A geração de políticas com o IAM Access Analyzer cria políticas minuciosas com base na atividade de acesso capturada em seus logs. Isso é oferecido sem custo adicional.