¿Cómo implementas de verdad el mínimo privilegio en IAM?

Parte de una posición de denegar por defecto y concede permisos según el uso observado en vez de por conjeturas. Genera una política inicial a partir de los logs de acceso, acótala con ARNs de recurso y claves de condición en vez de comodines, y dale a cada carga de trabajo su propio rol. Añade barreras a nivel de organización como service control policies y permission boundaries para que nadie pueda concederse más, y luego revisa los permisos sin usar de forma periódica y recorta.

La trampa es intentar escribir la política perfecta por adelantado, lo que o bien bloquea al equipo o acaba en un comodín porque todo el mundo se cansó. Lo que funciona es empezar amplio en una cuenta que no sea de producción, capturar del registro de auditoría qué llama realmente la carga de trabajo, y generar una política a partir de eso. Luego la aprieto: ARNs de recurso reales en vez de un asterisco, y claves de condición donde importan, para que un rol solo pueda asumir cosas de nuestras propias cuentas o solo actuar en una región. Cada carga de trabajo recibe su propio rol en vez de compartir un rol grande de aplicación, porque los roles compartidos son la forma en que un servicio acaba pudiendo borrar los datos de otro. Por encima están las barreras a nivel de organización, service control policies que deniegan categorías enteras como desactivar el logging o crear buckets públicos, más permission boundaries para que un equipo pueda crear roles sin escalar más allá de su límite. Luego la revisión: informes de accesos sin usar cada mes, y todo lo que lleve noventa días sin tocarse se elimina. Los permisos solo crecen salvo que alguien convierta el recorte en un hábito.