Protegendo Permissões do AWS IAM

Quando Usar

• Ao integrar novas contas AWS ou cargas de trabalho que exigem políticas IAM com escopo definido
• Quando o IAM Access Analyzer relata políticas excessivamente permissivas ou permissões não utilizadas
• Ao se preparar para uma auditoria de conformidade que exige evidências de privilégio mínimo (SOC 2, PCI-DSS)
• Ao migrar de chaves de acesso de longa duração para credenciais de curta duração baseadas em roles
• Ao corrigir descobertas do AWS Security Hub relacionadas a configurações incorretas do IAM

Não use para configurações do Azure AD ou Google Cloud IAM, lógica de autorização em nível de aplicativo ou configuração de provedor de identidade federada (veja gerenciando-identidade-na-nuvem-com-okta).

Pré-requisitos

• Conta AWS com acesso administrativo ou permissões IAM:FullAccess
• AWS CLI v2 instalado e configurado com perfis nomeados
• AWS CloudTrail habilitado para pelo menos 90 dias de histórico de atividade de API
• Familiaridade com a sintaxe de políticas IAM baseada em JSON e a notação de recursos ARN

Fluxo de Trabalho

Etapa 1: Inventariar Entidades e Políticas IAM Existentes

Gere um inventário abrangente de todos os usuários, roles, grupos e políticas anexadas do IAM usando o AWS CLI e relatórios de credenciais do IAM. Identifique contas com acesso ao console, chaves de acesso programático e seus carimbos de data/hora de último uso.

# Generate IAM credential report
aws iam generate-credential-report
aws iam get-credential-report --query 'Content' --output text | base64 -d > iam-report.csv

# List all IAM roles and their attached policies
aws iam list-roles --query 'Roles[*].[RoleName,Arn,CreateDate]' --output table

# Find users with access keys older than 90 days
aws iam list-users --query 'Users[*].UserName' --output text | while read user; do
  aws iam list-access-keys --user-name "$user" \
    --query "AccessKeyMetadata[?CreateDate<='$(date -d '-90 days' +%Y-%m-%d)'].[UserName,AccessKeyId,Status,CreateDate]" \
    --output table
done

Etapa 2: Habilitar e Analisar Descobertas do IAM Access Analyzer

Ative o IAM Access Analyzer no nível da organização ou da conta para identificar recursos compartilhados externamente e gerar recomendações de políticas de privilégio mínimo com base na atividade do CloudTrail.

# Create an Access Analyzer for the account
aws accessanalyzer create-analyzer \
  --analyzer-name account-analyzer \
  --type ACCOUNT

# List active findings for external access
aws accessanalyzer list-findings \
  --analyzer-arn arn:aws:access-analyzer:us-east-1:123456789012:analyzer/account-analyzer \
  --filter '{"status": {"eq": ["ACTIVE"]}}'

# Generate a policy based on CloudTrail activity for a specific role
aws accessanalyzer start-policy-generation \
  --policy-generation-details '{
    "principalArn": "arn:aws:iam::123456789012:role/AppRole",
    "cloudTrailDetails": {
      "trailArn": "arn:aws:cloudtrail:us-east-1:123456789012:trail/management-trail",
      "startTime": "2025-01-01T00:00:00Z",
      "endTime": "2025-03-01T00:00:00Z"
    }
  }'

Etapa 3: Escopar Políticas para Recursos e Condições Específicas

Substitua ARNs de recursos curinga por identificadores de recursos específicos. Adicione condições de política IAM para imposição de MFA, restrições de IP de origem e janelas de acesso baseadas em tempo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowS3ReadSpecificBucket",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::production-data-bucket",
        "arn:aws:s3:::production-data-bucket/*"
      ],
      "Condition": {
        "Bool": {"aws:MultiFactorAuthPresent": "true"},
        "IpAddress": {"aws:SourceIp": "10.0.0.0/8"},
        "DateGreaterThan": {"aws:CurrentTime": "2025-01-01T00:00:00Z"}
      }
    }
  ]
}

Etapa 4: Implementar Limites de Permissão (Permission Boundaries)

Anexe limites de permissão a roles e usuários do IAM para definir o escopo máximo de permissões que uma entidade pode receber, evitando escalonamento de privilégios, mesmo que um administrador anexe uma política excessivamente permissiva.

# Create a permission boundary policy
aws iam create-policy \
  --policy-name DeveloperPermissionBoundary \
  --policy-document file://developer-boundary.json

# Attach the boundary to an IAM role
aws iam put-role-permissions-boundary \
  --role-name DeveloperRole \
  --permissions-boundary "arn:aws:iam::123456789012:policy/DeveloperPermissionBoundary"

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCommonServices",
      "Effect": "Allow",
      "Action": [
        "s3:*",

…