Qué limita un límite de permisos

Un límite de permisos es una función avanzada de IAM que establece los permisos máximos que un usuario o rol puede tener. No concede nada por sí mismo; limita lo que las políticas basadas en identidad pueden permitir efectivamente. Los límites de permisos son un tema frecuente en los exámenes porque permiten delegar de forma segura la administración de permisos.

Una política basada en identidad concede permisos; un límite de permisos los restringe. Los permisos efectivos son la intersección de ambos: una acción solo se permite si tanto la política de identidad como el límite la permiten. Un límite puede reducir, pero nunca ampliar, lo que concede la política de identidad.

Suponga que la política de identidad de un usuario permite acceso total a S3 y EC2, pero su límite de permisos solo permite S3. El usuario puede realizar únicamente acciones de S3, porque el límite las restringe. Si se elimina el límite, los permisos de EC2 vuelven a ser efectivos. El límite impone silenciosamente un máximo.

Esta política de límite permite únicamente acciones de S3 y CloudWatch. Independientemente de lo que indique la política de identidad, el usuario nunca puede superar los permisos de estos servicios.

El caso de uso principal es la delegación segura. Puede querer que los desarrolladores creen sus propios roles de IAM, pero temer que concedan permisos excesivos. Si exige que cada rol que creen lleve un límite de permisos, garantiza que esos roles nunca podrán superar dicho límite, por muy amplia que sea la política asociada.

Tanto los límites como las SCP restringen los permisos, pero difieren en su alcance. Un límite de permisos se aplica a un único usuario o rol y se establece dentro de IAM. Una SCP se aplica a cuentas enteras de una organización. El examen evalúa la elección de la herramienta adecuada: por identidad se usa un límite y para toda la cuenta, una SCP.

En el proceso de evaluación, un Deny explícito sigue prevaleciendo sobre todo lo demás, incluidos los límites. En los demás casos, el límite actúa como un tope: la acción necesita un Allow tanto en la política de identidad como en el límite. En algunos casos, las políticas basadas en recursos pueden conceder acceso independientemente del límite; es un matiz que conviene recordar.

Un error frecuente es pensar que añadir una acción a un límite la concede. No es así. Si la política de identidad no incluye el permiso, que el límite lo permita no tiene ningún efecto. La política de identidad debe concederlo y el límite también debe permitirlo para que la acción se complete correctamente.

Un matiz que evalúa el examen: los límites de permisos restringen lo que pueden hacer las políticas basadas en identidad de un principal, pero en algunos casos no restringen el acceso concedido a ese principal mediante una política basada en recursos. Por ejemplo, un límite que restringe un rol a S3 aún podría permitir que se concediera al rol acceso a SQS mediante una política de cola. Diseñe teniendo en cuenta esta brecha.

Para exigir que los principales delegados adjunten siempre un límite, debe escribir una política de permisos con una condición que requiera que iam:PermissionsBoundary sea igual a un ARN de límite específico en cualquier rol que creen. Esto impide que un desarrollador cree roles sin esta protección y cierra la brecha de delegación.

Un límite de permisos restringe los permisos máximos de un único usuario o rol: el acceso efectivo es la intersección del límite y la política de identidad. Nunca concede permisos por sí mismo. Su objetivo principal es la delegación segura de la creación de roles de IAM, que se aplica exigiendo el límite mediante la condición iam:PermissionsBoundary.

Compruebe la lógica de los límites de permisos.

Un límite de permisos establece los permisos máximos de un único usuario o rol; el acceso efectivo es la intersección del límite y la política de identidad. Nunca concede permisos por sí mismo y un denegamiento explícito sigue prevaleciendo. Su objetivo principal es la delegación segura, que se aplica mediante la condición iam:PermissionsBoundary.