IAM en la nube: roles, políticas y mínimo privilegio

El control de identidades y acceso (IAM) en entornos de nube determina quién puede hacer qué sobre qué recursos. Los tres pilares son: principales (usuarios, grupos y cuentas de servicio), permisos (acciones individuales) y políticas (documentos que vinculan principales con permisos).

Las políticas de AWS IAM son documentos JSON que conceden o deniegan acciones de API sobre recursos. Los roles son identidades que asumen servicios (EC2, Lambda) o usuarios federados. Prefiera roles a claves de acceso de larga duración para las instancias de EC2.

Conceda únicamente los permisos necesarios para realizar una tarea específica. Comience sin permisos y añada solo los que sean necesarios. Revise y reduzca los permisos con el tiempo. Los permisos sin utilizar son una superficie de ataque innecesaria.

Los límites de permisos establecen el máximo de permisos que puede tener una entidad principal, independientemente de las políticas asociadas. Utilícelos para delegar de forma segura la administración de IAM: los desarrolladores pueden crear roles, pero no superar el límite que defina.

GCP utiliza cuentas de servicio con archivos de claves o Workload Identity Federation. Azure utiliza identidades administradas (asignadas por el sistema y asignadas por el usuario) que eliminan la necesidad de gestionar credenciales: la plataforma gestiona automáticamente la rotación de tokens.

AWS IAM Access Analyzer supervisa continuamente las políticas de recursos e informa de los recursos compartidos con entidades externas (buckets de S3, claves de KMS y funciones de Lambda). Identifica automáticamente el acceso público o entre cuentas no deseado.

ABAC amplía RBAC al conceder permisos según las etiquetas o atributos del recurso y de la entidad principal. Una política que permite acceder a recursos etiquetados con el mismo valor de proyecto que la entidad principal escala mejor que miles de asignaciones de roles individuales.

Rote las claves de acceso de IAM cada 90 días. Habilite MFA para todos los usuarios humanos. Detecte las credenciales no utilizadas con Access Advisor y elimínelas. Supervise el uso de la cuenta raíz: casi nunca debería aparecer en los registros de CloudTrail.

Las configuraciones incorrectas de IAM permiten la escalada de privilegios: iam:PassRole + ec2:RunInstances permite que un atacante lance una instancia de EC2 con un rol de administrador. iam:CreateAccessKey permite que un atacante añada claves a cualquier usuario. El análisis periódico de las rutas de escalada es esencial.

Los roles entre cuentas permiten que una cuenta de AWS acceda a recursos de otra. Defina una política de confianza en el rol de la cuenta de destino que especifique la cuenta de origen y, opcionalmente, un ID externo como medida de mitigación frente al problema del delegado confuso.

Genere informes de credenciales de IAM mensualmente. Utilice reglas de AWS Config para detectar configuraciones de IAM que no cumplan los requisitos. Integre los hallazgos de IAM con un SIEM para centralizar las alertas de infracciones de políticas. Aplique barreras de protección de SCP a nivel de la organización.

¿Cuál es el propósito de un límite de permisos en AWS IAM?

El IAM en la nube regula el acceso mediante entidades principales, políticas y roles. Aplicar el principio de mínimo privilegio, utilizar identidades administradas, habilitar herramientas de análisis de acceso y auditar periódicamente el uso de credenciales son prácticas esenciales para proteger los entornos de nube.