c2.5 Definir guardrails com SCPs e RCPs

Service Control Policies (SCPs)

As Service Control Policies limitam o máximo de permissões que o AWS IAM pode conceder em uma conta. Elas não concedem acesso: definem o teto. Aplique-as no nível da organização, da unidade organizacional ou da conta para impor invariantes de segurança: regras que você define uma vez e raramente muda.

As SCPs se aplicam até ao usuário root das contas-membro, mas não se aplicam à conta de gerenciamento (raiz da organização); mantenha cargas sensíveis fora da conta de gerenciamento.

Exemplos: impedir que contas-membro saiam da organização, bloquear a desativação de serviços de segurança ou restringir tipos de instância. Veja os exemplos de SCP na documentação e o repositório de exemplos de SCP.

Resource Control Policies (RCPs)

As Resource Control Policies são a contraparte centrada em recursos. Elas definem o máximo de acesso aos seus recursos em toda a organização; por exemplo, exigir que apenas identidades da sua própria organização acessem seus buckets do Amazon S3 ou filas do SQS. Como as SCPs, as RCPs não concedem nada; apenas restringem. Veja o repositório de exemplos de RCP.

Pense em tudo o que você nunca quer que aconteça nas suas contas e imponha isso com SCPs e RCPs. Teste primeiro em uma OU fora de produção, pois um deny amplo demais pode bloquear operações legítimas.

Exemplo de RCP: só sua organização acessa seu S3

Esta Resource Control Policy nega o acesso ao S3 a menos que o principal que chama pertença à sua organização (bloqueia identidades externas mesmo que uma política de bucket esteja mal configurada):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "EnforceOrgIdentitiesOnS3",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": "*",
    "Condition": {
      "StringNotEqualsIfExists": { "aws:PrincipalOrgID": "o-example12345" },
      "BoolIfExists": { "aws:PrincipalIsAWSService": "false" }
    }
  }]
}