As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Implementação de políticas para permissões de privilégio mínimo para o AWS CloudFormation
Nima Fotouhi e Moumita Saha, Amazon Web Services (AWS)
Maio de 2023 (histórico do documento)
O AWS CloudFormation é um serviço de infraestrutura como código (IaC) que ajuda você a escalar o desenvolvimento de sua infraestrutura de nuvem provisionando recursos da AWS. Também ajuda você a gerenciar esses recursos em todo o ciclo de vida, nas Contas da AWS e Regiões da AWS. No CloudFormation, você define modelos, que funcionam como um esquema para um conjunto de recursos. Em seguida, você provisiona esses recursos criando e implantando uma pilha, que é um grupo de recursos relacionados que você gerencia como uma única unidade. Você também pode usar o CloudFormation para implementar conjuntos de pilhas, que são grupos de pilhas que você pode criar, atualizar e excluir em várias contas e Regiões da AWS e com uma única operação. Este guia fornece uma visão geral de como você pode implementar permissões com privilégio mínimo para o AWS CloudFormation e os recursos provisionados por meio do CloudFormation.
Você pode implementar pilhas ou conjuntos de pilhas do CloudFormation fazendo o seguinte:
-
Acesse diretamente o ambiente da AWS por meio de uma entidade principal do AWS Identity and Access Management (IAM) e implante as pilhas do CloudFormation.
-
Coloque as pilhas do CloudFormation em um pipeline de implantação e inicie a implantação da pilha por meio do pipeline. O pipeline acessa o ambiente da AWS por meio de uma entidade principal do IAM e implementa as pilhas. Essa abordagem é uma prática recomendada.
Para qualquer uma dessas abordagens, são necessárias permissões para implantar pilhas do CloudFormation. Por exemplo, considere um usuário planejando usar o CloudFormation para criar uma instância do Amazon Elastic Compute Cloud (Amazon EC2). Essa instância exigirá um perfil de instância do IAM para acessar outros Serviços da AWS. A entidade principal do IAM usada para implementar a pilha do CloudFormation exigirá as seguintes permissões:
-
Permissões para acessar o CloudFormation
-
Permissões para criar pilhas no CloudFormation
-
Permissões para criar instâncias no Amazon EC2
-
Permissões para criar os perfis de instância necessários do IAM
O que é privilégio mínimo?
Privilégio mínimo é a prática recomendada de segurança para conceder as permissões mínimas necessárias para executar uma tarefa. O princípio do privilégio mínimo faz parte do pilar Segurança no AWS Well-Architected Framework. Quando você implementa essa prática recomendada, ela pode ajudar a proteger seu ambiente da AWS contra riscos de escalonamento de privilégios, a reduzir a superfície de ataque, a melhorar a segurança dos dados e a evitar erros do usuário (como configurar incorretamente ou excluir um recurso por engano).
Para implementar o privilégio mínimo para seus recursos da AWS, você configura políticas, como políticas baseadas em identidade no AWS Identity and Access Management (IAM). Essas políticas definem as permissões e especificam as condições de acesso. As organizações podem começar com políticas gerenciadas pela AWS, mas geralmente criam políticas personalizadas que limitam o escopo das permissões somente às ações necessárias para a workload ou o caso de uso.
Permissões de privilégio mínimo para o serviço do CloudFormation são uma consideração de segurança importante. Como os usuários e desenvolvedores que interagem com o CloudFormation podem criar, modificar ou excluir recursos rapidamente em grande escala, o privilégio mínimo é extremamente importante. No entanto, o CloudFormation exige as permissões necessárias para criar, atualizar e modificar recursos em suas Contas da AWS. É necessário equilibrar a necessidade de permissões para operar o CloudFormation com o princípio de privilégio mínimo.
Ao aplicar o princípio do privilégio mínimo ao CloudFormation, você precisa considerar o seguinte:
-
Permissões para o serviço do CloudFormation: quais usuários precisam de acesso ao CloudFormation, de qual nível de acesso eles precisam e quais ações podem ser executadas para criar, atualizar ou excluir pilhas?
-
Permissões para provisionar recursos: quais recursos os usuários podem provisionar por meio do CloudFormation?
-
Permissões para recursos provisionados: como você configura as permissões de privilégio mínimo para os recursos que você provisiona por meio do CloudFormation?
Resultados de negócios desejados
Seguindo as recomendações e práticas recomendadas deste guia, você pode:
-
Determinar quais usuários em sua organização precisam de acesso ao CloudFormation e, em seguida, configurr as permissões de privilégio mínimo para esses usuários.
-
Usar políticas de pilha para ajudar a proteger as pilhas do CloudFormation contra atualizações não intencionais.
-
Configurar permissões de privilégio mínimo para usuários e recursos do CloudFormation para ajudar a evitar o escalonamento de privilégios e o problema de confused deputy.
-
Usar o AWS CloudFormation para provisionar recursos da AWS com permissões de privilégio mínimo. Isso ajuda sua organização a manter uma postura de segurança mais robusta.
-
Reduzir proativamente o tempo, a energia e o dinheiro necessários para investigar e mitigar incidentes de segurança.
Público-alvo
Este guia é destinado a arquitetos de infraestrutura de nuvem, engenheiros de DevOps e engenheiros de confiabilidade de sites (SREs) que gerenciam e provisionam recursos usando o CloudFormation.
