Implementando Limites de Permissão do AWS IAM

Visão Geral

Os limites de permissão do IAM são um recurso avançado da AWS que define as permissões máximas que uma política baseada em identidade pode conceder a uma entidade IAM (usuário ou função). Eles permitem que equipes de segurança centralizadas deleguem com segurança a criação de funções e políticas do IAM a desenvolvedores de aplicativos sem o risco de escalonamento de privilégios. As permissões efetivas de uma entidade são a interseção de suas políticas baseadas em identidade e seu limite de permissão – mesmo que uma política de identidade conceda AdministratorAccess, o limite de permissão a restringe apenas às ações permitidas.

Quando Usar

• Ao implantar ou configurar a implementação de recursos de limites de permissão do AWS IAM em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Conta AWS com acesso administrativo ao IAM
• Compreensão da linguagem de políticas do AWS IAM (JSON)
• AWS CLI v2 configurado com credenciais apropriadas
• Terraform ou CloudFormation para implantação de infraestrutura como código

Conceitos Principais

Como Funcionam os Limites de Permissão

Identity-Based Policy          Permission Boundary
(What the role CAN do)    ∩    (What the role MAY do)
        │                              │
        └──────────┬───────────────────┘
                   │
          Effective Permissions
    (Only actions in BOTH policies)

Lógica de Avaliação de Políticas

A AWS avalia as permissões nesta ordem:

1. Negar Explícito em qualquer política - sempre prevalece
2. SCP da Organização - define o máximo para toda a organização
3. Limite de Permissão - define o máximo no nível da entidade
4. Política Baseada em Identidade - concede as permissões reais
5. Política Baseada em Recurso - acesso entre contas (avaliada separadamente)

A entidade só pode executar uma ação se TODAS as políticas aplicáveis a permitirem.

Principais Casos de Uso

Fluxo de Trabalho

Etapa 1: Definir a Política de Limite de Permissão

Crie uma política gerenciada que defina as permissões máximas permitidas:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowedServices",
            "Effect": "Allow",
            "Action": [
                "s3:*",
                "dynamodb:*",
                "lambda:*",
                "logs:*",
                "cloudwatch:*",
                "sqs:*",
                "sns:*",
                "events:*",
                "states:*",
                "xray:*",
                "ec2:Describe*",
                "ec2:CreateTags",
                "sts:AssumeRole",
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowIAMPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/app-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "lambda.amazonaws.com",
                        "states.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "DenyBoundaryDeletion",
            "Effect": "Deny",
            "Action": [
                "iam:DeletePolicy",
                "iam:DeletePolicyVersion",
                "iam:CreatePolicyVersion"
            ],
            "Resource": "arn:aws:iam::*:policy/DeveloperBoundary"
        },
        {
            "Sid": "DenyBoundaryRemoval",
            "Effect": "Deny",
            "Action": [
                "iam:DeleteUserPermissionsBoundary",
                "iam:DeleteRolePermissionsBoundary"
            ],
            "Resource": "*"
        }
    ]
}

Etapa 2: Criar a Política de Delegação de Desenvolvedor

Conceda aos desenvolvedores a capacidade de criar funções IAM, mas apenas com o limite anexado:

{
    "Version": "2012-10-17",
    "Statement": [
        {

…