Anatomía de un documento de política de IAM

En AWS, los permisos se expresan mediante políticas: documentos JSON que conceden o deniegan el acceso a acciones sobre recursos. Leer una política con fluidez es una competencia fundamental para SCS-C02, porque casi todas las preguntas sobre acceso se reducen a determinar qué permite, deniega o no contempla una política. En esta lección se analiza su estructura paso a paso.

Una política contiene un campo Version (utilice "2012-10-17") y un elemento Statement, que puede ser una declaración o una matriz de declaraciones. Cada declaración es una regla independiente. AWS evalúa todas las declaraciones, por lo que un mismo documento puede permitir algunas acciones y denegar explícitamente otras.

Cada declaración tiene un Effect de tipo Allow o Deny. AWS deniega el acceso de forma predeterminada: si no hay ningún Allow coincidente, la solicitud se deniega. Un Deny coincidente siempre prevalece sobre cualquier Allow. Reconocer el Effect de cada declaración es lo primero que debe comprobar al razonar sobre el acceso.

El elemento Action enumera las operaciones de la API a las que se aplica la declaración, escritas como servicio:operación; por ejemplo, s3:GetObject. Se permiten comodines, como s3:* o s3:Get*. La inversa, NotAction, coincide con todas las acciones excepto las enumeradas y es fácil de usar incorrectamente, por lo que el examen la evalúa con atención.

El elemento Resource indica a qué recursos se aplican las acciones mediante ARN (Amazon Resource Names). Por ejemplo, un bucket específico y sus objetos. El valor "*" significa todos los recursos. NotResource coincide con todo excepto los ARN enumerados. Restringir estrictamente el alcance de los recursos es fundamental para aplicar el mínimo privilegio.

Esta política basada en identidad permite leer objetos únicamente de un bucket. Observe la acción, el ARN específico a nivel de objeto y el efecto Allow explícito.

Un bloque Condition opcional restringe cuándo se aplica una declaración mediante claves de contexto y operadores. Por ejemplo, puede permitir el acceso solo si la solicitud utiliza TLS (aws:SecureTransport) o procede de una dirección IP conocida. Las condiciones permiten añadir un control detallado y contextual más allá de la acción y el recurso.

Las políticas basadas en identidad omiten el elemento Principal porque ya están asociadas a un principal. Las políticas basadas en recursos (como una política de bucket de S3) incluyen Principal para indicar a quién se aplica la regla. Comprobar si una política contiene Principal le indica qué tipo de política está leyendo.

Los comodines como "Action": "*" y "Resource": "*" juntos conceden acceso administrativo completo. El examen muestra con frecuencia una política con permisos excesivos y le pide que la restrinja. La solución consiste en reemplazar los comodines por acciones y ARN específicos, aplicando el principio de mínimo privilegio.

Un ARN tiene el formato arn:partition:service:region:account:resource. Algunos servicios omiten la región o la cuenta (S3 omite ambas en la parte correspondiente al bucket). Leer los ARN con precisión permite determinar si una política se dirige a un recurso, una cuenta o todo, lo que afecta directamente a la cantidad de acceso concedida.

Para analizar cualquier política: compruebe el Effect, lea Action (preste atención a NotAction y a los comodines), delimite el alcance de Resource (preste atención a "*") y revise cualquier Condition. Recuerde que una denegación explícita prevalece sobre una autorización y que el acceso se deniega de forma predeterminada. Con práctica, podrá juzgar en segundos el alcance real de una política, exactamente lo que exige el examen.

Ponga a prueba su capacidad para leer políticas.

Una política de IAM es JSON con una Version y una matriz Statement. Cada declaración tiene un Effect (Allow/Deny), Action (o NotAction), Resource mediante ARN (o NotResource) y una Condition opcional. Las políticas basadas en recursos añaden un Principal. El acceso se deniega de forma predeterminada, la denegación explícita siempre prevalece y los comodines indican que deben restringirse los permisos excesivos.