Condiciones, comodines y variables de política

Además de las acciones y los recursos, IAM ofrece herramientas eficaces para hacer que las políticas sean precisas y dinámicas: condiciones, comodines y variables de política. Dominar estos elementos le permite conceder exactamente el acceso necesario en las circunstancias adecuadas, que es la esencia del principio de mínimo privilegio y un tema recurrente en los exámenes.

Un bloque Condition contiene una o más pruebas que deben cumplirse todas para que se aplique la instrucción. Cada prueba combina un operador con una clave de condición y un valor; por ejemplo, StringEquals con aws:PrincipalTag. Varias claves dentro de un bloque se combinan mediante AND; varios valores para una misma clave se combinan mediante OR.

Las claves de condición globales aparecen constantemente en el examen:

• aws:SourceIp — restringe según el intervalo de IP del solicitante.
• aws:SecureTransport — exige TLS.
• aws:MultiFactorAuthPresent — exige MFA.
• aws:PrincipalOrgID — restringe el acceso a su organización.

Las claves específicas de cada servicio (como s3:prefix) permiten un control aún más preciso.

Un patrón clásico deniega el acceso a menos que la solicitud utilice TLS. Esta condición de política de bucket bloquea cualquier llamada que no use HTTPS, lo que garantiza que los datos en tránsito estén siempre cifrados. En los exámenes, este patrón suele ser la respuesta a «exigir cifrado en tránsito para S3».

Los operadores definen cómo se comparan los valores: StringEquals, StringLike (admite comodines), IpAddress, DateGreaterThan, Bool y Null, entre otros. Añadir IfExists a un operador hace que la condición se cumpla cuando falta la clave. Elegir el operador adecuado es esencial para obtener la lógica prevista.

Los comodines (* para cualquier secuencia y ? para un carácter) hacen que las políticas sean concisas, pero pueden conceder permisos excesivos. s3:Get* incluye todas las operaciones de tipo lectura; s3:* incluye todo en S3. Use el comodín más limitado que cubra la necesidad y desconfíe de los comodines amplios en cualquier política que revise.

Los ARN de recursos también admiten comodines; por ejemplo, arn:aws:s3:::logs/2024/* limita el alcance a un prefijo. Esto permite que una política se dirija a una carpeta o patrón sin enumerar cada objeto. Sin embargo, un Resource igual a «*» concede alcance a toda la cuenta, por lo que siempre debe preguntarse si realmente se necesita una amplitud semejante.

Las variables de política insertan el contexto de la solicitud durante la evaluación mediante la sintaxis ${...}. La más útil es ${aws:username}, que permite que una sola política conceda a cada usuario acceso únicamente a sus propios recursos. Las variables hacen que una política reutilizable se comporte de forma diferente según la entidad principal, lo que permite aplicar el mínimo privilegio de forma elegante y escalable.

Esta instrucción permite que cada usuario administre únicamente los objetos que se encuentran en una carpeta cuyo nombre coincide con su nombre de usuario: un potente patrón de una sola política para todos.

Attribute-Based Access Control (ABAC) utiliza etiquetas en las condiciones y compara las etiquetas de la entidad principal (aws:PrincipalTag) con las etiquetas de un recurso (aws:ResourceTag). Cuando coinciden, se concede el acceso. ABAC escala de forma excelente: permite conceder acceso mediante etiquetas en lugar de escribir una política nueva para cada proyecto, una práctica recomendada moderna que el examen destaca.

Combine estas herramientas de forma deliberada: use condiciones para controlar el acceso mediante MFA, IP, TLS o pertenencia a una organización; use los comodines con moderación y de forma limitada; y use variables de política y etiquetas para aplicar un mínimo privilegio escalable por entidad principal. Juntas permiten que una política bien diseñada aplique un acceso preciso y basado en el contexto a muchas identidades y recursos.

Compruebe las condiciones y las variables.

Las condiciones controlan las instrucciones según claves de contexto (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID) mediante operadores como StringLike y Bool. Los comodines (* y ?) mantienen las políticas concisas, pero pueden conceder permisos excesivos. Las variables de política, como ${aws:username}, y el ABAC basado en etiquetas proporcionan un mínimo privilegio escalable por entidad principal.