c4.4 Construir un pipeline de generación de políticas IAM
Con decenas de apps y cuentas, la gobernanza de IAM necesita un pipeline. Deje que los equipos propongan políticas de mínimo privilegio como código, que una verificación automática rechace el acceso demasiado amplio (comodines) y luego apruebe y despliegue, dando autonomía a los equipos y sacando al equipo de seguridad del camino crítico.
Guía de implementación
IAM como código
Cuando tiene muchas apps y cuentas, la creación de políticas ad-hoc no escala. Empiece con los equipos definiendo las políticas IAM que necesitan como plantillas de AWS CloudFormation (o CDK), revisadas, aprobadas y bajo control de versiones en Git, y luego desplegadas.
Agregue un pipeline de gobernanza
Para dar autonomía a los equipos y reducir la carga operativa del equipo de seguridad, deje que los equipos propongan una nueva política (respetando el mínimo privilegio) y ejecute una verificación automática —por ejemplo una función AWS Lambda— que rechace solicitudes irrazonables como "Action": "" o "Resource": "". Seguridad puede entonces aprobar de forma automática o manual según el entorno y la política, y el pipeline la despliega. AWS CodePipeline puede orquestar estos pasos igual que para la entrega de aplicaciones. Vea How to manage security governance using DevOps methodologies.
Por qué ayuda
La gobernanza automatizada de políticas mantiene el mínimo privilegio a escala, da a los equipos autoservicio rápido y libera al equipo de seguridad de ser un cuello de botella manual para cada cambio de política.
Cómo validar
- ¿Las políticas IAM se definen como código, bajo control de versiones y revisadas antes del despliegue?
- ¿Una verificación automática rechaza solicitudes demasiado amplias (acciones/recursos con comodín) en el pipeline?
- ¿Los equipos tienen un camino de autoservicio para proponer políticas sin que el equipo de seguridad sea un cuello de botella manual?
Amenazas que atiende
- La creación manual y ad-hoc de políticas IAM a escala lleva a políticas inconsistentes y demasiado permisivas y convierte al equipo de seguridad en un cuello de botella, por lo que los equipos lo evaden u otorgan de más para avanzar rápido.
Servicios AWS
AWS IAM 
AWS CodePipeline 
AWS Lambda