O que um Limite de Permissões Restringe

Uma fronteira de permissões é um recurso avançado do IAM que define as permissões máximas que um usuário ou função pode ter. Ela não concede nada por si só; limita o que as políticas baseadas em identidade podem efetivamente permitir. As fronteiras de permissões são um tema frequente em exames porque possibilitam delegar com segurança o gerenciamento de permissões.

Uma política baseada em identidade concede permissões; uma fronteira de permissões as limita. As permissões efetivas são a interseção das duas: uma ação só é permitida se tanto a política de identidade quanto a fronteira a permitirem. Uma fronteira pode reduzir, mas nunca ampliar, o que a política de identidade concede.

Suponha que a política de identidade de um usuário permita acesso total ao S3 e ao EC2, mas que a fronteira de permissões permita apenas o S3. O usuário poderá executar somente ações do S3, pois a fronteira estabelece esse limite. Remova a fronteira, e as permissões do EC2 voltarão a ser efetivas. A fronteira impõe silenciosamente um máximo.

Esta política de fronteira permite apenas ações do S3 e do CloudWatch. Independentemente do que diga a política de identidade, o usuário nunca poderá ultrapassar esses serviços.

O principal caso de uso é a delegação segura. Você quer que os desenvolvedores criem suas próprias funções do IAM, mas teme que concedam permissões excessivas. Ao exigir que toda função criada por eles tenha uma fronteira de permissões, você garante que essas funções nunca poderão ultrapassar a fronteira, por mais abrangente que seja a política anexada.

Tanto as fronteiras quanto as SCPs limitam permissões, mas diferem quanto ao escopo. Uma fronteira de permissões aplica-se a um único usuário ou função e é definida no IAM. Uma SCP aplica-se a contas inteiras em uma organização. O exame testa a escolha da ferramenta correta: por identidade, use uma fronteira; para toda a conta, use uma SCP.

No fluxo de avaliação, um Deny explícito ainda prevalece sobre tudo, inclusive sobre as fronteiras. Caso contrário, a fronteira funciona como um limite: a ação precisa de um Allow tanto na política de identidade quanto na fronteira. Em alguns casos, políticas baseadas em recursos podem conceder acesso independentemente da fronteira, uma nuance que vale a pena lembrar.

Um equívoco frequente é pensar que adicionar uma ação a uma fronteira a concede. Isso não acontece. Se a política de identidade não tiver a permissão, a fronteira que a permite não terá efeito. A política de identidade precisa concedê-la, e a fronteira também precisa permiti-la para que a ação seja bem-sucedida.

Uma nuance cobrada no exame: as fronteiras de permissões limitam o que as políticas baseadas em identidade de um principal podem fazer, mas em alguns casos não limitam o acesso concedido a esse principal por uma política baseada em recursos. Assim, uma fronteira que limita uma função ao S3 ainda pode permitir que a função receba acesso ao SQS por meio de uma política de fila. Faça o design levando essa lacuna em consideração.

Para impor que os principais delegados sempre anexem uma fronteira, escreva uma política de permissões com uma condição que exija que iam:PermissionsBoundary seja igual a um ARN específico de fronteira em qualquer função que eles criem. Isso impede que um desenvolvedor crie funções sem essa proteção, eliminando a brecha da delegação.

Uma fronteira de permissões limita as permissões máximas de um único usuário ou função: o acesso efetivo é a interseção da fronteira com a política de identidade. Ela nunca concede permissões por si só. Seu objetivo principal é a delegação segura da criação de funções do IAM, imposta pela exigência da fronteira por meio da condição iam:PermissionsBoundary.

Uma fronteira de permissões define as permissões máximas de um único usuário ou função; o acesso efetivo é a interseção da fronteira com a política de identidade. Ela nunca concede permissões por si só, e um deny explícito ainda prevalece. Seu principal objetivo é a delegação segura, imposta por meio da condição iam:PermissionsBoundary.