aws-security

AWS Security

Skill para implementar seguridad en workloads AWS: IAM least privilege, gestión de secretos, cifrado en tránsito y reposo, networking seguro, endurecimiento de servicios y auditoría de configuraciones.

Principios fundamentales

• Least privilege siempre: cada componente tiene solo los permisos mínimos necesarios para funcionar.
• Defense in depth: múltiples capas de seguridad. No depender de un solo control.
• Cifrado por defecto: en tránsito (TLS 1.2+) y en reposo (KMS) para todo recurso que lo soporte.
• Secretos nunca en código: usar SSM Parameter Store (SecureString) o Secrets Manager.
• Auditoría continua: CloudTrail habilitado, Config rules activas, GuardDuty encendido.

IAM: Políticas de mínimo privilegio

Estructura de política IAM

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowDynamoDBReadWrite",
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query"
      ],
      "Resource": [
        "arn:aws:dynamodb:us-east-1:123456789012:table/orders",
        "arn:aws:dynamodb:us-east-1:123456789012:table/orders/index/*"
      ]
    }
  ]
}

Reglas de IAM

• Nunca usar "Resource": "*" salvo para acciones que lo requieran (ej: sts:GetCallerIdentity, logs:CreateLogGroup).
• Nunca usar "Action": "*". Listar acciones específicas.
• Usar conditions cuando sea posible: aws:SourceArn, aws:PrincipalOrgID, aws:RequestedRegion.
• Un rol IAM por Lambda. No compartir roles entre funciones con responsabilidades diferentes.
• Preferir políticas inline en CDK/Terraform sobre políticas managed custom (más fácil de auditar).
• Usar aws:PrincipalTag y ABAC para control de acceso basado en atributos en escenarios multi-tenant.

Ejemplo CDK: permisos mínimos

// ✅ Correcto: permisos específicos
table.grantReadWriteData(fn);
bucket.grantRead(fn);
queue.grantSendMessages(fn);

// ❌ Incorrecto: permisos excesivos
fn.addToRolePolicy(new iam.PolicyStatement({
  actions: ['dynamodb:*'],
  resources: ['*'],
}));