c4.3 Aplicar perímetros de dados do IAM
Um perímetro de dados é um conjunto de guardrails sempre ativos que garantem que apenas identidades confiáveis acessem recursos confiáveis a partir de redes esperadas. Construído com SCPs, RCPs e políticas de VPC endpoint, ele protege dados em muitas contas contra má configuração e credenciais roubadas.
Guia de implementação
O que é um perímetro de dados
À medida que as operações na nuvem se descentralizam, os perímetros de dados na AWS reduzem o risco de má configuração e acesso não intencional a dados. Um perímetro de dados é um conjunto de guardrails de permissão sempre ativos, no nível da organização, que garantem:
- que identidades confiáveis —principals das suas contas ou serviços da AWS agindo por você—
- acessem recursos confiáveis —de propriedade das suas contas ou de serviços da AWS—
- a partir de redes esperadas —suas VPCs e redes on-premises.
Esses guardrails não substituem os controles de acesso granulares; eles impõem invariantes de segurança para que você avance na jornada de menor privilégio de forma mais segura.
Como construí-lo
Combine Service Control Policies, Resource Control Policies e políticas de VPC endpoint, usando chaves de condição do IAM (como aws:PrincipalOrgID, aws:ResourceOrgID e aws:SourceVpc). Trate-o como qualquer controle de segurança: faça uma análise de ameaças e depois implemente controles de perímetro de forma iterativa conforme seus critérios de risco. A orientação de perímetros de dados e o workshop de Data Perimeter percorrem cada tipo de perímetro.
Como se encaixa
Como validar
- Perímetros de dados são aplicados para proteger recursos críticos?
- Você usou RCPs para impedir o acesso aos seus recursos de fora da sua organização?
- As chaves de condição do IAM garantem que o acesso a recursos críticos (como buckets do S3) seja permitido apenas de identidades e redes esperadas?
Ameaças atendidas
- Erros de configuração em políticas baseadas em identidade ou em recursos podem deixar os dados acessíveis por identidades não confiáveis ou a partir de redes inesperadas.
- Credenciais roubadas ou não corporativas podem ser usadas para acessar seus recursos se nenhum perímetro restringir de onde e por quem elas podem ser usadas.
Serviços AWS
AWS Organizations 
AWS IAM Preços
O IAM, as SCPs e as RCPs são gratuitos.
Mapeamentos de frameworks
AWS CAF
Well-Architected
- waf-identity-and-access-management Identity and access management
- waf-data-protection Data protection