IAM में least privilege आप असल में लागू कैसे करते हैं?

deny by default की स्थिति से शुरू करें और अनुमान के बजाय देखे गए इस्तेमाल के आधार पर permission दें। access log से शुरुआती policy तैयार करें, उसे wildcard के बजाय resource ARN और condition key से सीमित करें, और हर workload को उसका अपना role दें। organization स्तर के guardrail जोड़ें, जैसे service control policy और permission boundary, ताकि कोई खुद को ज्यादा न दे सके, फिर तय समय पर बिना इस्तेमाल वाली permission देखकर छांटते रहें।

जाल यह है कि लोग शुरू में ही परफेक्ट policy लिखने की कोशिश करते हैं, जिससे या तो टीम अटक जाती है या फिर सब थककर wildcard पर आ जाते हैं। जो काम करता है वह यह है कि non production account में चौड़ा शुरू करें, audit trail से पकड़ें कि workload असल में क्या क्या call करता है, और उसी से policy तैयार करें। फिर मैं उसे कसता हूं: star की जगह असली resource ARN, और जहां मायने रखे वहां condition key, ताकि कोई role सिर्फ हमारे अपने account से चीजें assume कर सके या सिर्फ एक region में काम कर सके। हर workload को एक बड़ा application role साझा करने के बजाय अपना role मिलता है, क्योंकि साझा role की वजह से ही एक service दूसरी का डेटा मिटाने लायक बन जाती है। उसके ऊपर organization स्तर के guardrail बैठते हैं, service control policy जो पूरी श्रेणियां रोक दें जैसे logging बंद करना या public bucket बनाना, साथ में permission boundary ताकि कोई टीम अपनी सीमा से आगे बढ़े बिना role बना सके। फिर रिव्यू: हर महीने unused access रिपोर्ट, और नब्बे दिन तक जो कुछ छुआ नहीं गया वह हटा दिया जाता है। जब तक कोई छांटने की आदत न बनाए, permission सिर्फ बढ़ती ही हैं।