Amazon Web Services (AWS)

De AWS integratie stelt Tidal Control in staat om automatisch compliance tests uit te voeren op je AWS omgeving via een cross-account rol configuratie.

Vereisten

• Super User rol in Tidal Control
• AWS IAM rol management rechten
• Toegang tot AWS Management Console

Configuratie stappenplan

We maken een cross-account rol in jouw AWS account die Tidal toestaat om compliance data op te halen. Een cross-account rol is een AWS mechanisme waarmee een externe AWS account (Tidal) veilig toegang krijgt tot specifieke resources in jouw account zonder dat je credentials hoeft te delen.

Configuratie stappen:

1. Tidal informatie noteren
2. AWS IAM rol aanmaken
3. Machtigingen toewijzen
4. Role ARN ophalen
5. Integratie voltooien

Waarom SecurityAudit?

De SecurityAudit-policy is een door AWS beheerde, read-only policy die speciaal is ontworpen voor compliance- en beveiligingsmonitoringtools. Het geeft Tidal leestoegang tot configuratiemetadata in je AWS-services, nooit tot de data die daarin is opgeslagen. Alle toegang is read-only. Tidal Control schrijft, wijzigt of verwijdert nooit iets in je AWS-omgeving.

Stap 1: Tidal informatie noteren

• Ga naar Instellingen → Integraties in Tidal Control
• Klik op het plus-icoon naast Amazon Web Services
• Noteer de Tidal Account ID, de External ID en de Role session name prefix uit het dialog scherm
• Tidal Control geeft de External ID uit voor je organisatie. Hij is hetzelfde voor elke AWS-rol die je koppelt en kan niet worden aangepast

Stap 2: AWS IAM rol aanmaken

• Log in op AWS Management Console
• Navigeer naar IAM → Roles → Create role
• Selecteer "AWS account" → "Another AWS account"
• Voer de Tidal Account ID in (uit stap 1)
• Vink "Require external ID" aan
• Voer de External ID in (uit stap 1)
• Klik "Next"

Optioneel: beperk de rol tot je organisatie

Elke sessie die Tidal Control in je account opent, krijgt een naam op basis van je organisatie en de connectie, beginnend met de Role session name prefix uit stap 1. CloudTrail toont deze naam, zodat je ziet welke connectie een aanroep deed. Wil je alleen sessies van je eigen organisatie toestaan, voeg dan een voorwaarde op de sessienaam toe aan het trust policy van de rol. Ga naar IAM → Roles → je rol → Trust relationships → Edit trust policy en gebruik:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::<Tidal Account ID>:root" },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": { "sts:ExternalId": "<External ID>" },
        "StringLike": { "sts:RoleSessionName": "<Role session name prefix>*" }
      }
    }
  ]
}

Houd het Tidal-account (:root) als principal, niet een specifieke gebruiker of rol daarin. Tidal Control kan wijzigen welke identiteit in zijn account de aanroep doet.

Stap 3: Machtigingen toewijzen

• Zoek naar beleid "SecurityAudit"
• Selecteer SecurityAudit beleid
• Klik "Next" om door te gaan
• (Optioneel) Voeg tags toe en klik "Next"

Stap 4: Role ARN ophalen

• Geef rol de naam "Tidal Integration"
• Voeg beschrijving toe: "Read-only rol voor Tidal Control compliance monitoring"
• Klik "Create role"
• Ga naar Roles overzicht en zoek je nieuwe rol
• Klik op rol naam om details te openen
• Kopieer de Role ARN (bewaar voor Tidal configuratie)

Stap 5: Integratie voltooien

• Keer terug naar Tidal dialog scherm
• Voer herkenbare naam in voor integratie
• Plak de Role ARN (uit stap 4)
• De External ID wordt door Tidal Control ingevuld
• Open de Regions dropdown en selecteer de AWS regio's waar je services draaien. Je kunt meerdere regio's selecteren. Controleer rechtsboven in de AWS Console welke regio je momenteel gebruikt.
• Klik "Aanmaken" om de connectie op te slaan

Verificatie

Na succesvolle configuratie toont Instellingen → Integraties AWS onder Geconfigureerde integraties, zijn AWS-specifieke tests beschikbaar in de Tests sectie, en leveren test refreshes resultaten op zonder authentication errors.

Troubleshooting

Maakt de integratie geen verbinding, controleer dan het volgende:

• Verify Role ARN correct gekopieerd (geen extra spaties)
• Controleer of de External ID in het trust policy van de rol overeenkomt met die in het Tidal dialog scherm
• Heb je een voorwaarde op de sessienaam toegevoegd, controleer dan dat die eindigt op * en begint met je Role session name prefix
• Meldt Tidal Control dat de rol zonder External ID kan worden aangenomen, open dan de trust relationship van de rol en vink Require external ID aan, of voeg de voorwaarde sts:ExternalId toe met precies de External ID uit het dialog scherm (geen wildcard)
• Confirm SecurityAudit beleid gekoppeld aan rol
• Verify AWS Region correct geselecteerd

Kom je er nog niet uit?

Stuur een e-mail naar support@tidalcontrol.com, en we nemen zo snel mogelijk contact met je op.