c3.5 Revisar IAM para mínimo privilegio
A menudo los roles se crean con más permisos de los necesarios, sobre todo bajo presión de entrega. Ajuste periódicamente las políticas IAM hacia el mínimo privilegio usando IAM Access Analyzer para encontrar accesos sin uso y generar políticas ajustadas a partir de la actividad real.
Guía de implementación
Ajuste los permisos al tamaño justo
Bajo presión de entrega, los roles tienden a acumular permisos que nunca usan, lo que viola el mínimo privilegio. Revise periódicamente los roles y elimine los permisos innecesarios. Preste especial atención a los comodines —"Action": "" o "Resource": ""— que suelen indicar una política que nunca se ajustó. Siga las buenas prácticas de IAM.
Use IAM Access Analyzer
IAM Access Analyzer hace gran parte de este trabajo:
- Acceso sin uso: configure un analizador de organización para encontrar roles, permisos y credenciales sin uso que eliminar.
- Generación de políticas: genere una política de mínimo privilegio a partir de la actividad de CloudTrail. Un flujo práctico: ejecute con permisos amplios en una cuenta de dev, ejercite la aplicación, genere la política ajustada y luego pruébela hasta producción.
Genera una política con la CLI
Inicia un job de generación de política a partir de la actividad de CloudTrail de un rol y luego obtén la política de mínimo privilegio resultante:
aws accessanalyzer start-policy-generation \
--policy-generation-details '{"principalArn":"arn:aws:iam::111122223333:role/my-role"}' \
--cloud-trail-details file://cloudtrail-details.json
aws accessanalyzer get-generated-policy --job-id <job-id>Herramientas de socios y open source
Las herramientas de Cloud Infrastructure Entitlement Management (CIEM) en el AWS Marketplace ayudan a escala. Para open source, Cloudsplaining visualiza políticas y resalta el riesgo de las demasiado permisivas.
Cómo validar
- ¿Revisa periódicamente los roles IAM y elimina los permisos sin uso?
- ¿Ha abordado las acciones y recursos con comodín (*) en las políticas?
- ¿Usa IAM Access Analyzer para hallazgos de acceso sin uso y generación de políticas?
Amenazas que atiende
- Los roles demasiado permisivos aumentan el radio de impacto de una identidad comprometida: cuanto más puede hacer una identidad, más puede hacer un atacante que la robe.
Servicios AWS
IAM Access Analyzer AWS IAM