c4.4 Construir um pipeline de geração de políticas IAM
Com dezenas de apps e contas, a governança de IAM precisa de um pipeline. Deixe as equipes proporem políticas de menor privilégio como código, faça uma verificação automática rejeitar acesso amplo demais (curingas) e depois aprove e implante, dando autonomia às equipes e tirando a equipe de segurança do caminho crítico.
Guia de implementação
IAM como código
Quando você tem muitos apps e contas, a criação de políticas ad-hoc não escala. Comece com as equipes definindo as políticas IAM de que precisam como templates do AWS CloudFormation (ou CDK), revisados, aprovados e sob controle de versão no Git, e depois implantados.
Adicione um pipeline de governança
Para dar autonomia às equipes e reduzir a carga operacional da equipe de segurança, deixe as equipes proporem uma nova política (respeitando o menor privilégio) e execute uma verificação automática —por exemplo uma função AWS Lambda— que rejeite solicitações irracionais como "Action": "" ou "Resource": "". A segurança pode então aprovar de forma automática ou manual conforme o ambiente e a política, e o pipeline a implanta. O AWS CodePipeline pode orquestrar esses passos como faz para a entrega de aplicações. Veja How to manage security governance using DevOps methodologies.
Por que ajuda
A governança automatizada de políticas mantém o menor privilégio em escala, dá às equipes autoatendimento rápido e libera a equipe de segurança de ser um gargalo manual para cada mudança de política.
Como validar
- As políticas IAM são definidas como código, sob controle de versão e revisadas antes da implantação?
- Uma verificação automática rejeita solicitações amplas demais (ações/recursos com curinga) no pipeline?
- As equipes têm um caminho de autoatendimento para propor políticas sem que a equipe de segurança seja um gargalo manual?
Ameaças atendidas
- A criação manual e ad-hoc de políticas IAM em escala leva a políticas inconsistentes e permissivas demais e torna a equipe de segurança um gargalo, então as equipes a contornam ou concedem demais para avançar rápido.
Serviços AWS
AWS IAM 
AWS CodePipeline 
AWS Lambda