c3.5 Revisar o IAM para menor privilégio
Muitas vezes as roles são criadas com mais permissões do que o necessário, especialmente sob pressão de entrega. Ajuste periodicamente as políticas IAM em direção ao menor privilégio usando o IAM Access Analyzer para encontrar acessos não usados e gerar políticas enxutas a partir da atividade real.
Guia de implementação
Ajuste as permissões ao tamanho certo
Sob pressão de entrega, as roles tendem a acumular permissões que nunca usam, o que viola o menor privilégio. Revise periodicamente as roles e remova as permissões desnecessárias. Preste atenção especial aos curingas —"Action": "" ou "Resource": ""— que geralmente indicam uma política que nunca foi ajustada. Siga as boas práticas do IAM.
Use o IAM Access Analyzer
O IAM Access Analyzer faz boa parte desse trabalho:
- Acesso não usado: configure um analisador de organização para encontrar roles, permissões e credenciais não usadas para remover.
- Geração de políticas: gere uma política de menor privilégio a partir da atividade do CloudTrail. Um fluxo prático: execute com permissões amplas em uma conta de dev, exercite a aplicação, gere a política enxuta e depois teste-a até a produção.
Gere uma política pela CLI
Inicie um job de geração de política a partir da atividade do CloudTrail de uma role e depois recupere a política de menor privilégio resultante:
aws accessanalyzer start-policy-generation \
--policy-generation-details '{"principalArn":"arn:aws:iam::111122223333:role/my-role"}' \
--cloud-trail-details file://cloudtrail-details.json
aws accessanalyzer get-generated-policy --job-id <job-id>Ferramentas de parceiros e open source
As ferramentas de Cloud Infrastructure Entitlement Management (CIEM) no AWS Marketplace ajudam em escala. Para open source, o Cloudsplaining visualiza políticas e destaca o risco das permissivas demais.
Como validar
- Você revisa periodicamente as roles IAM e remove as permissões não usadas?
- Você tratou as ações e recursos com curinga (*) nas políticas?
- Você usa o IAM Access Analyzer para descobertas de acesso não usado e geração de políticas?
Ameaças atendidas
- Roles permissivas demais aumentam o raio de impacto de uma identidade comprometida: quanto mais uma identidade pode fazer, mais um atacante que a roube pode fazer.
Serviços AWS
IAM Access Analyzer AWS IAM