Políticas de sesión y delimitación basada en etiquetas

A veces desea conceder un rol, pero restringir lo que una sesión concreta puede hacer sin modificar el rol. Las políticas de sesión y las etiquetas de sesión permiten reducir los permisos justo en el momento en que se asume un rol. Estas funciones avanzadas de STS permiten aplicar un mínimo privilegio escalable y detallado, algo que el examen valora.

Una política de sesión es una política insertada o administrada que se pasa a AssumeRole (mediante Policy o PolicyArns). No concede permisos nuevos; solo puede filtrar los permisos existentes del rol para esa sesión. Los permisos efectivos son la intersección de las políticas del rol y la política de sesión.

Como el resultado es una intersección, una política de sesión nunca puede permitir que una sesión haga más de lo que ya permite el rol. Si el rol concede s3:* pero la política de sesión solo permite s3:GetObject, la sesión solo puede obtener objetos. Esto hace que las políticas de sesión sean una forma segura de entregar un subconjunto restringido de un rol más amplio.

Un uso habitual es que una herramienta de orquestación asuma un único rol potente y, para cada trabajo, asocie una política de sesión que limite ese trabajo a un bucket o grupo de recursos. Cada sesión queda delimitada estrictamente, aunque el rol subyacente sea amplio. Así se evita crear decenas de roles configurados específicamente.

Este fragmento de CLI muestra cómo pasar una política de sesión insertada que restringe aún más la sesión. El rol ya debe permitir estas acciones para que tengan efecto.

Las etiquetas de sesión son atributos de clave-valor asociados a una sesión en el momento de AssumeRole. Se pasan mediante el parámetro Tags, pasan a formar parte del contexto de la solicitud y las políticas pueden leerlas mediante aws:PrincipalTag. Las etiquetas de sesión incorporan atributos sobre quién asume el rol a cada decisión de autorización.

Las etiquetas de sesión son la base del control de acceso basado en atributos (ABAC) para los roles asumidos. Una política puede exigir que aws:PrincipalTag/Project de la sesión sea igual a aws:ResourceTag/Project del recurso, y conceder acceso solo cuando coincidan las etiquetas del proyecto. Así, una sola política puede servir para muchos proyectos y escalar de forma sencilla.

Cuando los roles están encadenados, las etiquetas de sesión normales no se transmiten. Marcar una etiqueta como transitive hace que persista durante las asunciones posteriores de roles en la cadena. Esto garantiza que atributos como el departamento del usuario original sigan a la identidad a través de varios saltos, algo importante para mantener un ABAC coherente.

Pasar etiquetas de sesión requiere el permiso sts:TagSession, además de sts:AssumeRole. La política de confianza también puede restringir qué claves o valores de etiqueta están permitidos. Controlar quién puede establecer qué etiquetas de sesión evita que los usuarios se concedan acceso asignándose a sí mismos valores de etiqueta privilegiados.

Las políticas de sesión y las etiquetas de sesión funcionan conjuntamente: las etiquetas expresan quién representa la sesión para la comparación ABAC, mientras que las políticas de sesión limitan qué puede hacer la sesión. Juntas permiten que un único rol amplio atienda de forma segura a muchas sesiones con permisos estrictamente delimitados, el tipo de diseño elegante y escalable que destaca el examen.

Use las políticas de sesión para intersectar y reducir los permisos de un rol por sesión, nunca para añadirlos. Use las etiquetas de sesión (con sts:TagSession) para controlar ABAC mediante aws:PrincipalTag, y marque las etiquetas como transitivas al encadenar roles. Estas funciones de STS proporcionan el principio de privilegio mínimo por sesión a partir de un pequeño número de roles reutilizables.

Compruebe la delimitación de las sesiones.

Las políticas de sesión que se pasan a AssumeRole se intersectan con los permisos del rol, reduciéndolos, pero nunca ampliándolos. Las etiquetas de sesión (que requieren sts:TagSession) alimentan ABAC mediante aws:PrincipalTag, y las etiquetas transitivas persisten al encadenar roles. Juntas permiten aplicar el principio de privilegio mínimo por sesión a partir de unos pocos roles reutilizables.