Condições, Curingas e Variáveis de Política

Além de ações e recursos, o IAM oferece ferramentas poderosas para tornar as políticas precisas e dinâmicas: condições, curingas e variáveis de política. Dominar esses recursos permite conceder exatamente o acesso necessário nas circunstâncias corretas, que é a essência do privilégio mínimo e um tema recorrente nas provas.

Um bloco Condition contém um ou mais testes que precisam ser todos verdadeiros para que a instrução se aplique. Cada teste associa um operador a uma chave de condição e a um valor, por exemplo, StringEquals em aws:PrincipalTag. Várias chaves em um bloco são combinadas com AND; vários valores para uma chave são combinados com OR.

As chaves de condição globais aparecem constantemente nas provas:

• aws:SourceIp — restringe com base no intervalo de IP do solicitante.
• aws:SecureTransport — exige TLS.
• aws:MultiFactorAuthPresent — exige MFA.
• aws:PrincipalOrgID — restringe à sua organização.

Chaves específicas de serviços (como s3:prefix) oferecem um controle ainda mais detalhado.

Um padrão clássico nega o acesso, a menos que a solicitação use TLS. Essa condição da política do bucket bloqueia qualquer chamada que não use HTTPS, garantindo que os dados em trânsito estejam sempre criptografados. As provas adoram esse exemplo como resposta para “exigir criptografia em trânsito para o S3”.

Os operadores definem como os valores são comparados: StringEquals, StringLike (aceita curingas), IpAddress, DateGreaterThan, Bool e Null, entre outros. Adicionar IfExists a um operador faz com que ele seja aprovado quando a chave estiver ausente. Escolher o operador correto é essencial para obter a lógica pretendida.

Os curingas (* para qualquer sequência, ? para um caractere) tornam as políticas concisas, mas podem conceder permissões excessivas. s3:Get* abrange todas as operações de leitura; s3:* abrange tudo no S3. Use o curinga mais restrito que atenda à necessidade e desconfie de curingas amplos em qualquer política que revisar.

Os ARNs de recursos também aceitam curingas, por exemplo, arn:aws:s3:::logs/2024/* para limitar o escopo a um prefixo. Isso permite que uma política tenha como alvo uma pasta ou um padrão sem listar cada objeto. Porém, um Resource definido apenas como “*” concede alcance a toda a conta; portanto, questione sempre se essa amplitude é realmente necessária.

As variáveis de política inserem o contexto da solicitação no momento da avaliação usando a sintaxe ${...}. A mais útil é ${aws:username}, que permite que uma única política dê a cada usuário acesso apenas aos próprios recursos. As variáveis fazem com que uma única política reutilizável se comporte de maneira diferente para cada entidade, ampliando o privilégio mínimo de forma elegante.

Esta instrução permite que cada usuário gerencie apenas os objetos em uma pasta com o nome de usuário, um padrão poderoso de uma política para todos.

O controle de acesso baseado em atributos (ABAC) usa tags nas condições, comparando as tags da entidade (aws:PrincipalTag) com as tags de um recurso (aws:ResourceTag). Quando elas coincidem, o acesso é concedido. O ABAC é altamente escalável: você concede acesso por tag em vez de escrever uma nova política para cada projeto, uma prática moderna recomendada que as provas destacam.

Combine essas ferramentas de maneira deliberada: use condições para controlar o acesso com base em MFA, IP, TLS ou associação à organização; use curingas com moderação e de forma restrita; use variáveis de política e tags para obter privilégio mínimo escalável por entidade. Juntas, elas permitem que uma política bem elaborada imponha acesso preciso e consciente do contexto em muitas identidades e recursos.

Teste as condições e as variáveis.

As condições controlam as instruções com base em chaves de contexto (aws:SourceIp, aws:SecureTransport, aws:MultiFactorAuthPresent, aws:PrincipalOrgID), usando operadores como StringLike e Bool. Os curingas (* e ?) mantêm as políticas concisas, mas podem conceder permissões excessivas. As variáveis de política, como ${aws:username}, e o ABAC baseado em tags oferecem privilégio mínimo escalável por entidade.