Delegación segura de la creación de roles

Los equipos avanzan más rápido cuando pueden crear sus propios roles y políticas de IAM, pero el acceso de IAM sin restricciones es peligroso: un desarrollador podría concederse permisos de administrador. El desafío consiste en permitir que los equipos creen roles y, al mismo tiempo, garantizar que estos se mantengan dentro de límites seguros. Los límites de permisos lo hacen posible; es un escenario frecuente en los exámenes.

Sin medidas de protección, conceder a alguien iam:CreateRole e iam:AttachRolePolicy equivale en la práctica a concederle permisos de administrador. Podría crear un rol con AdministratorAccess y asumirlo. Esta vía de escalada de privilegios es precisamente la que la delegación segura debe cerrar, sin impedir la creación legítima de roles.

La solución consiste en exigir que cualquier rol creado por un usuario delegado tenga adjunto un límite de permisos específico. Aunque el usuario adjunte AdministratorAccess al nuevo rol, el límite restringirá sus permisos efectivos. El rol creado nunca podrá superar lo que permita el límite, neutralizando el riesgo de escalada.

Una política de delegación segura utiliza dos comprobaciones de condición: una garantiza que el nuevo rol tenga el límite requerido (mediante iam:PermissionsBoundary) y otra impide que el usuario modifique o elimine el propio límite. Ambas son necesarias; de lo contrario, un desarrollador ingenioso podría simplemente eliminar el límite después.

Esta condición obliga a que cada llamada a CreateRole adjunte el límite indicado. Sin ella, la acción de creación se deniega.

También debe impedir que el usuario delegado edite la política de límite o lo separe de los roles. Añada declaraciones explícitas de Deny para acciones como iam:DeleteRolePermissionsBoundary e iam:CreatePolicyVersion contra el ARN del límite. De lo contrario, la protección podría eliminarse silenciosamente, anulando todo el diseño.

Las políticas de delegación suelen restringir la ruta o el nombre de los roles que puede crear un usuario, por ejemplo, solo dentro de /developers/. Esto mantiene sus roles en un espacio de nombres conocido, facilita su auditoría y evita que interfieran con roles privilegiados en otras partes de la cuenta.

Incluso con un límite, supervise la política de confianza del nuevo rol. Un desarrollador podría crear un rol en el que confíe una cuenta externa. Restrinja quién puede establecer como principal de confianza, o combine la delegación con SCP y Access Analyzer para detectar y bloquear relaciones de confianza externas inesperadas.

Cuando se implementa correctamente, la delegación proporciona a los equipos un verdadero autoservicio: crean y administran roles libremente dentro del límite, mientras el equipo de seguridad puede estar tranquilo sabiendo que ningún rol puede superar el máximo. Este equilibrio entre rapidez y seguridad es precisamente lo que el examen SCS-C02 espera que diseñe.

En entornos con varias cuentas, combine los límites por identidad con SCP aplicadas a toda la cuenta. La SCP establece un máximo para toda la cuenta y los límites ajustan las restricciones para cada usuario delegado. Superponer ambos controles proporciona defensa en profundidad, de modo que una deficiencia en uno quede cubierta por el otro.

La delegación segura de la creación de roles requiere: exigir un límite de permisos en cada rol creado, proteger el límite frente a modificaciones o eliminaciones mediante denegaciones explícitas, delimitar rutas y nombres y restringir la confianza en los nuevos roles. Añada SCP para establecer máximos en toda la cuenta. Esto cierra las vías de escalada de privilegios y conserva el autoservicio de los equipos.

Delegar de forma segura la creación de roles de IAM significa exigir un límite de permisos en cada rol creado mediante la condición iam:PermissionsBoundary, denegar cambios en dicho límite, delimitar las rutas y los nombres de los roles y restringir las políticas de confianza de los nuevos roles. Combine esta configuración con SCP para establecer máximos en toda la cuenta y cerrar las vías de escalada de privilegios, al tiempo que permite el autoservicio.