Cómo escribir una política de IAM efectiva
El concepto de gestión de identidades y acceso (IAM) se usa con mucha frecuencia en los servicios de AWS cuando se trata de seguridad, por lo que vale la pena entenderlo con más detalle. IAM puede parecer muy complicado para el usuario nuevo porque consta de diferentes componentes. El propósito de este artículo es explorar IAM y sus conceptos con más detalle y crear una política de IAM efectiva.
Es importante recordar que IAM es solo otro servicio como todos los demás que AWS tiene para ofrecer. Sin embargo, sirve para unirlos de forma segura.
¿Qué es una política de IAM?
AWS IAM es un servicio de Internet que le permite administrar de forma segura el acceso de sus usuarios a los recursos de S3. Utilice IAM para gestionar quién puede acceder a sus recursos de AWS (autenticación), a qué recursos puede acceder y cómo puede acceder a ellos (autorización).
¿Cómo protege IAM los recursos?
Puede controlar el acceso a los recursos estableciendo reglas y asociándolas con las identidades de IAM (usuarios, grupos de usuarios o roles). Una política es un objeto que especifica los permisos asociados con una identidad o un recurso. El sistema de almacenamiento superior examina estas reglas cuando un principal de IAM (usuario o rol) envía una solicitud para implementarlas de manera efectiva. Los permisos definidos en las políticas dictan si una solicitud se permite o se niega. La mayoría de las políticas son archivos JSON.
Las reglas de IAM establecen la autorización para acciones independientemente de cómo se realice la actividad. Si una política permite la acción GetUser, un usuario con esa política puede obtener información del usuario a través de la consola de administración de AWS, la Interfaz de línea de comandos de AWS (AWS CLI) o la API de AWS. Al crear un usuario de IAM, puede especificar si se permite el acceso a través de la consola o mediante programación. Si se permite el acceso a la consola, el usuario de IAM puede iniciar sesión con su nombre de usuario y contraseña. De forma alternativa, si se permite el acceso mediante programación, el usuario puede trabajar con la CLI o la API mediante claves de acceso.
¿Cómo optimizan las políticas de IAM a Seagate Lyve Cloud Storage?
Lyve Cloud sirve como un elemento complementario para el almacenamiento de objetos S3. Seagate Lyve Cloud añade seguridad y facilidad de uso al almacenamiento en frío a largo plazo y se puede asociar con servicios adicionales para mejorar la protección de copias de seguridad y recuperación. Use las políticas de IAM para personalizar las medidas de seguridad y los permisos para los objetos individuales almacenados en Lyve Cloud en entornos privados, públicos, híbridos y de múltiples nubes.
Tipos de políticas de IAM
Las siguientes políticas están disponibles en AWS, desde las más utilizadas hasta las menos utilizadas. Para obtener más información sobre cada categoría de política, consulte las secciones siguientes.
Políticas basadas en identidad
Puede conectar las identidades de IAM a políticas controladas e integradas (usuarios, grupos a los que pertenecen los usuarios o roles). Los permisos se conceden a la identidad a través de políticas basadas en la identidad.
Políticas basadas en recursos
Puede conectar recursos a políticas en línea. Las políticas basadas en recursos más frecuentes son las asociadas con los buckets S3 y los roles de IAM. Los permisos se conceden al principal definido en la política a través de políticas basadas en recursos. Los principales pueden estar en la misma cuenta o en cuentas diferentes que el recurso.
Límites de permisos
Puede utilizar una política administrada para definir los permisos para una entidad de IAM (usuario o rol). Esta política establece los permisos máximos que las políticas basadas en identidad pueden proporcionar a una entidad, pero no los emite. Los límites de permisos no especifican el número máximo de permisos que una política basada en recursos puede otorgar a un objeto.
SCP de organizaciones
Puede utilizar una política de control de servicios (SCP) de AWS Organizations para establecer los permisos máximos que pueden tener los miembros de la cuenta de una organización o unidad organizativa. Las SCP limitan los derechos que las reglas basadas en la identidad o en los recursos proporcionan a las entidades de cuenta (usuarios o roles), pero no los otorgan.
Listas de control de acceso (ACL)
Puede usar las ACL para restringir el acceso a un recurso por parte de los principales en otras cuentas. Las ACL son similares a las políticas basadas en recursos; sin embargo, son la única forma de política que no emplea la estructura JSON para los documentos de política. Las ACL son reglas de permisos que abarcan varias cuentas y proporcionan permisos al principal especificado. Las ACL no se pueden usar para otorgar permisos a entidades que son miembros de la misma cuenta.
Políticas de sesión
Puede aprobar reglas de sesión avanzadas cuando use la AWS CLI o la API de AWS para asumir un rol o un usuario federado. Las políticas de sesión restringen los derechos otorgados a la sesión por el rol o las reglas basadas en la identidad del usuario. Estas políticas definen los permisos asociados con una sesión recién establecida, pero no los conceden.
Elementos importantes en la estructura de la política de IAM
Usuario de IAM
Los usuarios de AWS IAM son entidades que usted crea para representar a cualquier persona o aplicación que interactúe con AWS. Los usuarios de AWS constan de un nombre y credenciales.
Los usuarios de IAM con permisos de administrador no son los mismos que los usuarios raíz de la cuenta de AWS. Las cuentas de AWS están asociadas a un único usuario de IAM.
Identidad de IAM
Objetos de recursos que se utilizan para identificar y agrupar recursos de IAM. Las políticas se pueden adjuntar a las identidades de IAM. Esto incluye usuarios, grupos y roles.
Recurso de IAM
Contiene objetos como usuarios, grupos, roles, políticas y proveedores de identidad. IAM le permite agregar, editar y eliminar recursos como otros servicios de AWS.
Entidad de IAM
AWS utiliza objetos de recursos de IAM para la autenticación. Entre estos se encuentran los usuarios y los roles de IAM.
Principal
Una aplicación o usuario que utiliza el usuario raíz de la cuenta de AWS, un usuario de IAM o un rol de IAM para iniciar sesión en AWS. Esto incluye tanto a los usuarios federales como a los roles asumidos.
Función
En AWS, los roles son similares a los usuarios, ya que son objetos de identidad cuyas políticas de permisos determinan lo que puede hacer la identidad. Sin embargo, un rol no está asociado con ninguna credencial (contraseñas o claves de acceso). Un rol individual está pensado para que lo asuma cualquier persona que lo necesite, en lugar de asociarse con un solo individuo.
Cómo escribir una política de IAM efectiva
Puede crear una política administrada por el cliente mediante una de las siguientes técnicas en la consola de administración de AWS:
- JSON: Pegue y modifique un ejemplo de política basada en identidad que se haya publicado.
- Editor visual: Utilice el editor visual para crear una nueva política desde cero. No necesita aprender la sintaxis JSON si utiliza el editor visual.
- Importación: Desde dentro de su cuenta, importe y modifique una política administrada. Puede importar una política administrada por AWS desarrollada previamente o una política administrada por el cliente.
Las cuentas de AWS tienen una restricción en el número y la cantidad de recursos de IAM. Hay más información disponible en las cuotas de IAM y AWS STS.
Generador de políticas de IAM: ¿Puedo automatizar este proceso?
El generador de políticas de AWS es una herramienta para desarrollar reglas que rigen el acceso a los productos y recursos de AWS.
El generador de políticas de AWS recién lanzado agiliza el proceso de desarrollo de documentos de políticas para fines de almacenamiento de objetos. Para comenzar, elija el tipo de política que desea escribir.
Paso 1: Seleccione el tipo de política
Los permisos se incluyen dentro de una política. Puede crear los siguientes tipos de políticas: Políticas de IAM, políticas de buckets S3, políticas de temas de SNS, políticas de puntos de conexión de VPC y políticas de colas de SQS.
Paso 2: Añadir instrucciones
Una declaración es una descripción general concisa de un único permiso. Consulte la siguiente explicación de los elementos que se pueden utilizar en las declaraciones.
Paso 3: Generar política
Después de añadir declaraciones, puede generar una política. Una política es un documento (en el lenguaje de políticas de acceso) que contiene una o más declaraciones.
