c3.3 Definir una estrategia de etiquetado
Las etiquetas (tags) son metadatos definidos por el usuario (clave/valor) sobre los recursos. Una estrategia de etiquetado consistente sustenta el control de acceso basado en atributos, el seguimiento de propiedad y costos, la automatización y la respuesta a incidentes; por ejemplo, proteger una instancia comprometida de un borrado accidental.
Guía de implementación
Por qué las etiquetas importan para la seguridad
Las etiquetas permiten organizar, buscar y gobernar recursos, y habilitan varias capacidades de seguridad:
- Control de acceso basado en atributos (ABAC): otorgar acceso según etiquetas coincidentes; por ejemplo, permitir que los desarrolladores actúen solo sobre recursos etiquetados con
environment: development. - Propiedad: identificar al individuo o unidad de negocio responsable de un recurso.
- Respuesta a incidentes: etiquetar una instancia comprometida, combinado con una política Deny sobre esa etiqueta, puede prevenir el borrado accidental de evidencia forense.
Siga las buenas prácticas de etiquetado
- Nunca almacene PII ni datos confidenciales en las etiquetas.
- Use un formato estandarizado y consistente en mayúsculas/minúsculas aplicado a todos los tipos de recursos.
- Diseñe las etiquetas para múltiples propósitos: control de acceso, asignación de costos, automatización y organización.
- Automatice con la API de etiquetado de Resource Groups para aplicar, buscar y auditar etiquetas a escala.
- Prefiera más etiquetas que pocas, pero planifique los cambios con cuidado: cambiar una etiqueta usada para ABAC implica actualizar las políticas IAM que la referencian.
Vea el whitepaper de buenas prácticas de etiquetado y la guía general de etiquetado.
Ver video
Cómo validar
- ¿Tiene una estrategia de etiquetado documentada y aplicada de forma consistente?
- ¿Se usan las etiquetas para hacer cumplir el acceso (ABAC) e identificar a los responsables de los recursos?
- ¿Evita almacenar PII o secretos en las etiquetas y automatiza el etiquetado a escala?
Amenazas que atiende
- Sin un etiquetado consistente no puede hacer cumplir de forma confiable el control de acceso basado en atributos, atribuir propiedad ni proteger evidencia forense durante un incidente.