Como você implementa de fato o menor privilégio em IAM?

Comece de uma posição de negar por padrão e conceda permissões com base no uso observado em vez de em palpites. Gere uma política inicial a partir dos logs de acesso, restrinja com ARNs de recurso e condition keys em vez de curingas, e dê a cada carga de trabalho a própria role. Adicione guardrails no nível da organização, como service control policies e permission boundaries, para ninguém conseguir se conceder mais, e depois revise permissões não usadas periodicamente e corte.

A armadilha é tentar escrever a política perfeita de cara, o que ou trava o time ou termina em curinga porque todo mundo cansou. O que funciona é começar amplo em uma conta fora de produção, capturar o que a carga de trabalho de fato chama a partir da trilha de auditoria, e gerar uma política a partir disso. Depois eu aperto: ARNs de recurso reais em vez de um asterisco, e condition keys onde importam, para uma role só conseguir assumir coisas das nossas próprias contas ou só agir em uma região. Cada carga de trabalho ganha a própria role em vez de compartilhar uma role grande de aplicação, porque roles compartilhadas são como um serviço acaba conseguindo apagar os dados de outro. Acima disso ficam os guardrails no nível da organização, service control policies negando categorias inteiras como desligar logging ou criar buckets públicos, mais permission boundaries para um time poder criar roles sem escalar além do próprio limite. Depois a revisão: relatórios de acesso não usado todo mês, e qualquer coisa intocada por noventa dias é removida. Permissões só crescem, a não ser que alguém transforme a poda em hábito.