SEC03-BP04 Reducir continuamente los permisos - AWS Well-Architected Framework
Guía para la implementación Recursos

SEC03-BP04 Reducir continuamente los permisos

A medida que los equipos y las cargas de trabajo determinen qué acceso necesitan, elimine los permisos que ya no utilicen y establezca procesos de revisión para conseguir permisos con privilegios mínimos. Supervise y reduzca continuamente las identidades y permisos no utilizados.

A veces, cuando los equipos y proyectos están empezando, puede que decida conceder un acceso amplio (en un entorno de desarrollo o pruebas) para estimular la innovación y la agilidad. Recomendamos que evalúe el acceso continuamente y que, especialmente en un entorno de producción, restrinja el acceso solamente a los permisos necesarios y que aplique privilegios mínimos. AWS ofrece capacidades de análisis del acceso para ayudarle a identificar los accesos no utilizados. Para ayudarle a identificar los usuarios, roles, permisos y credenciales no utilizados, AWS analiza la actividad de acceso y ofrece información sobre el último uso de las claves de acceso y los roles. Puede usar la marca de tiempo de último acceso to identificar usuarios y roles no utilizadosy eliminarlos. Además, puede revisar la información de último acceso en servicios y acciones para identificar y limitar los permisos para usuarios y roles específicos. Por ejemplo, puede utilizar la información sobre el último acceso para identificar las acciones específicas de Amazon Simple Storage Service (Amazon S3) necesarias para el rol de su aplicación y restringir el acceso únicamente a dichas acciones. Estas características están disponibles en la AWS Management Console y de manera programática para permitirle incorporarlas en sus flujos de trabajo de infraestructura y sus herramientas automatizadas.

Nivel de riesgo expuesto si no se establece esta práctica recomendada: Mediana

Guía para la implementación

  • Configure AWS Identify and Access Management (IAM) Access Analyzer: AWS IAM Access Analyzer le ayuda a identificar los recursos y cuentas de su organización, como los buckets de Amazon Simple Storage Service (Amazon S3) o los roles de IAM, que se comparten con una entidad externa.

Recursos

Documentos relacionados:

Vídeos relacionados: