c4.3 Aplicar perímetros de datos de IAM

Qué es un perímetro de datos

A medida que las operaciones en la nube se descentralizan, los perímetros de datos en AWS reducen el riesgo de mala configuración y acceso no intencionado a datos. Un perímetro de datos es un conjunto de guardrails de permisos siempre activos, a nivel de organización, que aseguran:

• que identidades confiables —principales de sus cuentas o servicios de AWS actuando por usted—
• accedan a recursos confiables —propiedad de sus cuentas o de servicios de AWS—
• desde redes esperadas —sus VPCs y redes on-premises.

Estos guardrails no reemplazan los controles de acceso finos; hacen cumplir invariantes de seguridad para que avance por el camino del mínimo privilegio de forma más segura.

Cómo construirlo

Combine Service Control Policies, Resource Control Policies y políticas de VPC endpoint, usando claves de condición de IAM (como aws:PrincipalOrgID, aws:ResourceOrgID y aws:SourceVpc). Trátelo como cualquier control de seguridad: realice un análisis de amenazas y luego implemente controles de perímetro de forma iterativa según sus criterios de riesgo. La guía de perímetros de datos y el taller de Data Perimeter recorren cada tipo de perímetro.