Establecimiento de barreras de protección de permisos mediante perímetros de datos

Las barreras de protección de perímetros de datos están diseñadas para servir como límites permanentes para ayudar a proteger los datos en un amplio conjunto de cuentas y recursos de AWS. Los perímetros de datos siguen las prácticas recomendadas de seguridad de IAM para establecer barreras de protección de permisos en varias cuentas. Estas barreras de protección de permisos para toda la organización no sustituyen a los estrictos controles de acceso existentes. En cambio, funcionan como controles de acceso detallados que ayudan a mejorar su estrategia de seguridad al garantizar que los usuarios, los roles y los recursos cumplan con un conjunto de estándares de seguridad definidos.

Un perímetro de datos es un conjunto de barreras de permisos en su entorno de AWS que ayudan a garantizar que solo sus identidades de confianza accedan a los recursos de confianza desde las redes esperadas.

Los controles de perímetros de datos deben tratarse como cualquier otro control de seguridad del programa de seguridad de la información y gestión de riesgos. Esto significa que debe realizar un análisis de amenazas para identificar los posibles riesgos en su entorno en la nube y, a continuación, en función de sus propios criterios de aceptación del riesgo, seleccionar e implementar los controles de perímetros de datos adecuados. Para fundamentar mejor el enfoque iterativo basado en el riesgo para la implementación del perímetro de datos, debe comprender qué riesgos de seguridad y vectores de amenazas abordan los controles de perímetros de datos, así como cuáles son sus prioridades de seguridad.

Controles del perímetro de datos

Los controles detallados del perímetro de datos le ayudan a lograr seis objetivos de seguridad distintos en tres perímetros de datos mediante la implementación de diferentes combinaciones de Tipos de políticas y claves de condiciones.

Puede pensar que los perímetros de datos crean un límite firme alrededor de sus datos para evitar patrones de acceso no deseados. Si bien los perímetros de los datos pueden impedir un acceso no deseado a nivel general, aún debe tomar decisiones sobre el control de acceso detallado. El establecimiento de un perímetro de datos no reduce la necesidad de ajustar continuamente los permisos mediante el uso de herramientas como el Analizador de acceso de IAM como parte de su traspaso a los privilegios mínimos.

Para aplicar controles perimetrales de datos a los recursos que actualmente no son compatibles con las RCP, puede utilizar políticas basadas en recursos que se adjunten directamente a los recursos. Para obtener una lista de los servicios que admiten las RCP y las políticas basadas en recursos, consulte Resource control policies (RCPs) y Servicios de AWS que funcionan con IAM.

Para aplicar los controles perimetrales de la red, le recomendamos que utilice aws:VpceOrgID, aws:VpceOrgPaths y aws:VpceAccount solo si todos los servicios a los que desea restringir el acceso son compatibles actualmente. El uso de estas claves de condición con servicios no compatibles puede provocar resultados de autorización no deseados. Para obtener una lista de los servicios compatibles con las claves, consulte Claves de contexto de condición globales de AWS. Si necesita aplicar los controles a una gama más amplia de servicios, considere la posibilidad de utilizar aws:SourceVpc y aws:SourceVpce en su lugar.

Perímetro de identidad

Un perímetro de identidad es un conjunto de controles de acceso preventivos detallados que ayudan a garantizar que solo las identidades de confianza puedan acceder a sus recursos y que solo las identidades de confianza puedan acceder a su red. Las identidades de confianza por lo general incluyen las entidades principales (roles o usuarios) de sus cuentas de AWS y servicios de AWS que actúan en su nombre. Se considera que todas las demás identidades no son de confianza y el perímetro de identidad las bloquea, a menos que se conceda una excepción explícita.

Las siguientes claves de condiciones globales ayudan a aplicar los controles del perímetro de identidad según su definición de identidades de confianza. Use estas claves en las políticas de control de recursos para restringir el acceso a los recursos, o en las políticas de puntos de conexión de VPC para restringir el acceso a sus redes.

Identidades de su propiedad

Puede usar las siguientes claves de condición para definir las entidades principales de IAM que cree y administre en su Cuentas de AWS.

Identidades de los servicios de AWS que actúan en su nombre

Puede usar las siguientes claves de condición para permitir que los servicios de AWS utilicen sus propias identidades para acceder a sus recursos cuando actúen en su nombre.

Para obtener más información, consulte Establishing a data perimeter on AWS: Allow only trusted identities to access company data.

Perímetro de recursos

Un perímetro de recursos es un conjunto de controles de acceso preventivos detallados que ayudan a garantizar que sus identidades puedan acceder solo a recursos de confianza y que solo se pueda acceder a recursos de confianza desde su red. Los recursos de confianza por lo general incluyen los recursos que son propiedad de sus cuentas de AWS o de servicios de AWS que actúan en su nombre.

Las siguientes claves de condiciones globales ayudan a aplicar los controles del perímetro de recurso según su definición de recursos de confianza. Use estas claves en las políticas de control de servicio (SCP) para restringir a qué recursos pueden acceder sus identidades, o en las políticas de puntos de conexión de VPC para restringir los recursos a los que se puede acceder desde sus redes.

Recursos de su propiedad

Puede usar las siguientes claves de condición para definir los recursos de AWS que cree y administre en su Cuentas de AWS.

Recursos de los servicios de AWS que actúan en su nombre

En algunos casos, es posible que necesite permitir el acceso a los recursos propiedad de AWS, a los recursos que no pertenecen a su organización y a los que acceden sus entidades principales o los servicios de AWS que actúan en su nombre. Para obtener más información sobre estos escenarios, consulte Establishing a data perimeter on AWS: Allow only trusted resources from my organization.

Perímetro de red

Un perímetro de red es un conjunto de controles de acceso preventivos detallados que ayudan a garantizar que sus identidades puedan acceder solo a recursos de las redes esperadas y que solo se pueda acceder a sus recursos desde las redes esperadas. Las redes esperadas por lo general incluyen sus centros de datos en las instalaciones y nubes privadas virtuales (VPC), o redes de servicios de AWS que actúan en su nombre.

Las siguientes claves de condiciones globales ayudan a aplicar los controles del perímetro de red según su definición de las redes esperadas. Use estas claves en las políticas de control de servicios (SCP) para restringir las redes desde las que se pueden comunicar sus identidades, o en las políticas de control de recursos para restringir el acceso de los recursos a las redes esperadas.

Redes de su propiedad

Puede usar las siguientes claves de condición para definir las redes que sus empleados y aplicaciones deben usar para acceder a sus recursos, como el rango de direcciones IP CIDR corporativas y sus VPC.

aws:VpceAccount, aws:VpceOrgPaths y aws:VpceOrgID son particularmente útiles para implementar controles perimetrales de red que se escalan automáticamente con el uso de los puntos de conexión de VPC, sin necesidad de actualizar las políticas durante la creación de nuevos puntos de conexión. Consulte Claves de contexto de condición globales de AWS para obtener una lista de los Servicios de AWS compatibles con estas claves.

Redes de los servicios de AWS que actúan en su nombre

Puede usar las siguientes claves de condición para permitir que los servicios de AWS accedan a los recursos desde sus redes cuando actúen en su nombre.

Existen otros escenarios en los que es necesario permitir el acceso a los Servicios de AWS que acceden a sus recursos desde fuera de la red. Para obtener más información, consulte Establishing a data perimeter on AWS: Allow access to company data only from expected networks.

Recursos para obtener más información sobre los perímetros de datos

Los siguientes recursos pueden ayudarle a obtener más información acerca de los perímetros de datos en AWS.