AWS की बेकार अनुमतियाँ खोजें—हर Region में analyzer जरूरी नहीं

लंबे समय से उपयोग न हुई IAM पहुँच खोजने के लिए AWS IAM Access Analyzer में निष्क्रिय पहुँच का विश्लेषक बनाएँ, फिर वर्तमान खाते या पूरे संगठन का दायरा और ट्रैकिंग अवधि चुनें। AWS के निर्माण निर्देश के अनुसार अवधि 1 से 365 दिन रखी जा सकती है; निष्क्रिय पहुँच के निष्कर्ष रीजन बदलने से नहीं बदलते, इसलिए संसाधन वाले हर रीजन में अलग विश्लेषक जरूरी नहीं है।

IAM Access Analyzer का विवरण बताता है कि विश्लेषक निष्क्रिय भूमिकाओं, उपयोग न हुई पहुँच कुंजियों और पासवर्डों के साथ सक्रिय पहचान की उपयोग न हुई सेवाओं तथा कार्रवाइयों के निष्कर्ष देता है; शुल्क हर विश्लेषक द्वारा प्रति माह जाँचे गए IAM उपयोगकर्ताओं और भूमिकाओं की संख्या पर आधारित है। निष्कर्ष समीक्षा की शुरुआत है। चुनी गई अवधि में उपयोग दर्ज न होना अपने आप यह नहीं बताता कि भविष्य के काम के लिए पहुँच की जरूरत खत्म हो गई है।

एक खाते की जाँच करें या पूरे संगठन की?

यदि जिम्मेदारी एक AWS खाते तक सीमित है, तो विश्लेषक का दायरा वर्तमान खाता रखें। AWS Organizations के सदस्य खातों की IAM पहुँच केंद्रीय रूप से देखनी हो, तो वर्तमान संगठन चुनें। इस विकल्प से अलग खातों के निष्कर्ष एक समीक्षा में आते हैं, लेकिन पहुँच बदलने की जिम्मेदारी फिर भी संबंधित खातों और काम के मालिकों के साथ तय करनी होगी। पहले यह स्पष्ट करना उपयोगी है कि निष्कर्ष कौन देखेगा और बदलाव को कौन मंजूर करेगा।

संगठन वाले विश्लेषक में कुछ सदस्य खातों को बाहर रखा जा सकता है; टैग के आधार पर IAM उपयोगकर्ताओं और भूमिकाओं को बाहर रखने का विकल्प खाते तथा संगठन, दोनों दायरों में मिलता है। बाहर रखी पहचान पर निष्कर्ष नहीं बनेगा, इसलिए बहिष्करण का कारण दर्ज करें। किसी संगठनात्मक इकाई के सभी मौजूदा खातों को बाहर रखने से बाद में जुड़ने वाला खाता अपने आप बाहर नहीं होता। संगठन विश्लेषक का मालिक खाता भी बहिष्करण में नहीं रखा जा सकता।

ट्रैकिंग अवधि काम के वास्तविक चक्र से मिलाएँ

छोटी अवधि से हाल में बंद हुई गतिविधि जल्दी सामने आ सकती है, लेकिन कभी-कभार चलने वाला जरूरी काम भी निष्क्रिय दिखाई दे सकता है। लंबी अवधि उस काम को समेटने का बेहतर अवसर देती है, जबकि पुरानी बेकार पहुँच पर निष्कर्ष मिलने में अधिक समय लग सकता है। मासिक समापन, तिमाही रखरखाव और सालाना प्रक्रिया की अनुमतियों के लिए अवधि चुनते समय उनके उपयोग का चक्र अलग-अलग देखें। यह चयन सुरक्षा नीति के साथ काम की आवृत्ति का भी सवाल है।

अवधि पहचान की उम्र पर भी लागू होती है: विश्लेषक उन्हीं IAM पहचानों की अनुमतियाँ जाँचता है जो पूरी चुनी हुई अवधि से मौजूद हैं। उदाहरण के लिए, हाल में बनी भूमिका पर उससे लंबी अवधि लगाने पर उसके लिए निष्कर्ष न मिलना उपयोग का प्रमाण नहीं होगा। ऐसी भूमिका की निर्माण तिथि और उसका निर्धारित काम अलग से देखें। इसी कारण खाली निष्कर्ष सूची को सभी अनुमतियों के इस्तेमाल का प्रमाण मानना गलत होगा, खासकर जब दायरे में नई पहचानें हों।

विश्लेषक बनाने का क्रम

1. IAM कंसोल में Access Analyzer के अंतर्गत Analyzer settings खोलें और Create analyzer चुनें। Analysis में Principal analysis - Unused access चुनें। पहले से मौजूद बाहरी पहुँच विश्लेषक इस प्रकार की जाँच नहीं करता।
2. विश्लेषक को पहचानने योग्य नाम दें और Tracking period में चुने गए दिनों की संख्या भरें। Analyzer details में दिखाई देने वाला रीजन जाँचें। इस विश्लेषक के निष्कर्षों के लिए हर संसाधन रीजन में यही सेटअप दोहराने की जरूरत नहीं है।
3. Selected accounts में Current account या Current organization चुनें। संगठन चुनने पर जानबूझकर बाहर रखे जाने वाले खाते निर्धारित करें। जरूरत हो तो टैग के आधार पर उपयोगकर्ता और भूमिका बहिष्करण जोड़ें।
4. दायरा, अवधि और बहिष्करण पढ़कर Create analyzer चुनें। बनने या बदलाव के बाद निष्कर्ष आने में समय लग सकता है; तुरंत खाली सूची दिखे तो विश्लेषण की स्थिति भी देखें।

चयनित दायरे और बहिष्करण की समीक्षा निर्माण के समय ही करें। गलत खाता बाहर रहने पर उसकी निष्क्रिय पहुँच दिखाई नहीं देगी, जबकि अनावश्यक रूप से व्यापक संगठन दायरा समीक्षा और शुल्क, दोनों बढ़ा सकता है। किसी विश्लेषक को केवल इसलिए दोहराने की जरूरत नहीं है कि IAM पहचानें अलग रीजन में स्थित संसाधनों के साथ काम करती हैं।

निष्कर्ष मिलने पर पहुँच घटाने से पहले क्या देखें?

हर निष्कर्ष में पहले खाता, IAM उपयोगकर्ता या भूमिका और निष्क्रिय पहुँच का प्रकार पहचानें। भूमिका के लिए उसे ग्रहण करने वाली सेवा या निर्धारित प्रक्रिया पूछें; कुंजी और पासवर्ड के लिए मालिक तथा निर्भर काम पता करें। अनुमति के मामले में देखें कि वह किस नीति से मिलती है और उसी नीति की कौन-सी दूसरी कार्रवाइयाँ अभी जरूरी हैं। किसी पूरी नीति को हटाना एक अप्रयुक्त कार्रवाई को हटाने से बड़ा बदलाव हो सकता है।

AWS का अंतिम उपयोग मार्गदर्शन स्पष्ट करता है कि दर्ज पहुँच प्रयास सफल होना जरूरी नहीं; परिणाम जानने के लिए उपलब्ध CloudTrail लॉग देखें। कार्रवाई स्तर का अंतिम उपयोग मुख्यतः प्रबंधन कार्रवाइयों के लिए है, डेटा संबंधी कार्रवाइयों के लिए नहीं, और iam:PassRole उसमें दर्ज नहीं होता। इसलिए किसी महत्वपूर्ण अनुमति पर खाली इतिहास देखकर उसे सीधे हटाने के बजाय नीति, काम की आवृत्ति और उपलब्ध घटनाओं को साथ पढ़ें।

अंतिम उपयोग रिपोर्ट पहचान से जुड़ी नीतियों में दी गई सेवाओं को दिखाती है; संसाधन आधारित नीतियाँ, अनुमति सीमाएँ, सत्र नीतियाँ और संगठन की नियंत्रण नीतियाँ प्रभावी पहुँच को अलग तरह से प्रभावित कर सकती हैं। कम आवृत्ति वाले काम के मालिक से अगली निर्धारित गतिविधि की पुष्टि करें। फिर निष्कर्ष के अनुसार सीमित बदलाव करें: बेकार कुंजी को पहले निष्क्रिय करके निर्भरताएँ देखें, अप्रयुक्त अनुमति के लिए नीति संकुचित करें और भूमिका हटाने से पहले उसका निर्धारित उपयोग स्पष्ट करें। जिस पहुँच की स्वीकृत जरूरत बनी हुई है, उसके समीक्षा निर्णय को दर्ज रखें।

एक और विश्लेषक बनाने से पहले लागत गिनें

अनुमान का आधार चुने हुए दायरे में विश्लेषित होने वाले IAM उपयोगकर्ता और भूमिकाएँ हैं, और गणना हर विश्लेषक के लिए प्रति माह होती है। संगठन का दायरा लेने पर सदस्य खातों की पात्र पहचानें भी शामिल होंगी। सेवा से जुड़ी भूमिकाएँ निष्क्रिय पहुँच विश्लेषण में शामिल नहीं होतीं, इसलिए कुल भूमिकाओं की संख्या को सीधे शुल्क योग्य संख्या न मानें। लागू दर के साथ पात्र पहचानों का अनुमान मिलाएँ और पहले से बने विश्लेषकों की सूची देखें।

अलग रीजन में बनाया गया अतिरिक्त निष्क्रिय पहुँच विश्लेषक अलग शुल्क जोड़ सकता है, जबकि उसके निष्कर्ष रीजन के कारण अलग नहीं होंगे। इसलिए खर्च का निर्णय रीजन में संसाधनों की संख्या से नहीं, जरूरी खाता दायरे और विश्लेषकों की वास्तविक संख्या से करें। अवधि तय करते समय भी लागत और निष्कर्षों की उपयोगिता को अलग रखें: लंबी अवधि काम के चक्र को बेहतर समेट सकती है, लेकिन वह गलत दायरे या अनावश्यक दूसरे विश्लेषक का खर्च नहीं सुधारती।

यह भी पढ़ें:

• YouTube टिप्पणियों में असली सवाल खोजें—AI खोज का सही उपयोग
• Upwork पर हाथ से जोड़े घंटे सुरक्षित नहीं—समय ट्रैकर सही चलाएँ
• AWS का Kiro एक साल मुफ्त—भारत की कोई यूनिवर्सिटी सूची में नहीं