c2.5 Establecer guardrails con SCPs y RCPs

Service Control Policies (SCPs)

Las Service Control Policies limitan el máximo de permisos que AWS IAM puede otorgar en una cuenta. No otorgan acceso: fijan el techo. Aplíquelas a nivel de organización, unidad organizativa o cuenta para hacer cumplir invariantes de seguridad: reglas que define una vez y rara vez cambia.

Las SCPs aplican incluso al usuario root de las cuentas miembro, pero no aplican a la cuenta de administración (raíz de la organización); mantenga las cargas sensibles fuera de la cuenta de administración.

Ejemplos: impedir que las cuentas miembro salgan de la organización, bloquear la desactivación de servicios de seguridad o restringir tipos de instancia. Vea los ejemplos de SCP en la documentación y el repositorio de ejemplos de SCP.

Resource Control Policies (RCPs)

Las Resource Control Policies son la contraparte centrada en recursos. Fijan el máximo acceso a sus recursos en toda la organización; por ejemplo, exigir que solo identidades de su propia organización accedan a sus buckets de Amazon S3 o colas de SQS. Como las SCPs, las RCPs no otorgan nada; solo restringen. Vea el repositorio de ejemplos de RCP.

Piense en todo lo que nunca quiere que ocurra en sus cuentas y hágalo cumplir con SCPs y RCPs. Pruebe primero en una OU fuera de producción, ya que un deny demasiado amplio puede bloquear operaciones legítimas.

Ejemplo de RCP: solo tu organización accede a tu S3

Esta Resource Control Policy deniega el acceso a S3 salvo que el principal que llama pertenezca a tu organización (bloquea identidades externas aunque una política de bucket esté mal configurada):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "EnforceOrgIdentitiesOnS3",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": "*",
    "Condition": {
      "StringNotEqualsIfExists": { "aws:PrincipalOrgID": "o-example12345" },
      "BoolIfExists": { "aws:PrincipalIsAWSService": "false" }
    }
  }]
}