Profundización en IAM

La seguridad en AWS no es solo una cuestión de implementar políticas, sino de comprender cómo estas interactúan entre sí y cómo pueden proteger efectivamente a tu organización. La gestión centralizada de cuentas, la simulación de políticas y el manejo adecuado de secretos son aspectos fundamentales para mantener un entorno seguro en la nube. Veamos cómo Nexia Bank implementa estas prácticas para asegurar sus recursos en AWS.

¿Cómo probar políticas de seguridad antes de implementarlas en AWS?

Cuando trabajamos con AWS, es fundamental verificar nuestras políticas antes de implementarlas en producción. AWS ofrece una herramienta específica para esto: Policy Simulator.

Esta herramienta, ubicada en el módulo IAM, permite probar políticas para determinar qué acciones y servicios permitirán una vez implementadas. Por ejemplo, si hubiéramos usado Policy Simulator con la política mencionada en clases anteriores (donde un usuario pasante pudo cambiar la contraseña del usuario admin), habríamos detectado el error antes de implementarla.

Policy Simulator es extremadamente útil para:

• Verificar los permisos que una política otorgará
• Detectar posibles brechas de seguridad
• Comprensión más clara sobre el alcance de cada política
• Evitar errores de configuración que podrían causar vulnerabilidades

¿Qué es la gestión centralizada en AWS y cómo implementarla?

AWS nos permite implementar una estrategia de gestión centralizada mediante la creación de diferentes cuentas para distintos casos de uso. Esta separación es una buena práctica para prevenir solapamientos y mantener un control más estricto sobre recursos y gastos.

¿Qué herramientas ofrece AWS para la gestión de múltiples cuentas?

AWS proporciona varias herramientas para administrar múltiples cuentas:

1. AWS Organizations: Permite organizar diferentes cuentas en unidades organizacionales
2. SCPs (Service Control Policies): Políticas aplicables a toda la organización
3. AWS Control Tower: Facilita la gestión centralizada de múltiples cuentas

¿Cómo funciona AWS Organizations?

AWS Organizations se basa en tres conceptos fundamentales:

• Cuentas miembro
• Unidades organizativas
• Raíz de la organización

La estructura jerárquica comienza con la raíz de la organización, que es la cuenta principal. Desde allí se desprenden las demás cuentas y unidades organizativas. Esta cuenta raíz puede definir políticas aplicables a toda la organización, como la obligatoriedad del 2FA, y centralizar la facturación para todas las cuentas subordinadas.

Para configurar AWS Organizations:

1. Buscar "organizations" en la barra de búsqueda de AWS
2. Seleccionar "Create organization"
3. Se creará automáticamente la organización con la cuenta actual como raíz
4. Para agregar cuentas, seleccionar "Add AWS account"

Las políticas SCP (Service Control Policies) utilizan la misma sintaxis que las políticas IAM tradicionales, con statements, efectos, recursos y acciones. Estas políticas se aplican a unidades organizativas, cuentas o a la raíz, y se propagan hacia las cuentas subordinadas.

¿Qué ventajas ofrece AWS Control Tower?

AWS Control Tower complementa Organizations al proporcionar:

• Definición de políticas centrales aplicables a todas las cuentas
• Detección de desviaciones de políticas
• Creación de una "landing zone" para que nuevas cuentas vengan preconfiguradas
• Mayor facilidad en la gestión centralizada

Para configurar Control Tower:

1. Buscar "Control Tower" en la barra de búsqueda
2. Crear una landing zone
3. Configurar unidades organizacionales
4. Definir cuentas para logs, auditorías y otros propósitos

¿Cómo gestionar secretos y credenciales en AWS?

Mantener seguros los secretos y credenciales es fundamental para cualquier organización. AWS ofrece dos servicios principales para este propósito.

¿Qué es AWS Secrets Manager y cómo usarlo?

Secrets Manager permite guardar, de forma segura y encriptada, secretos y credenciales, además de actualizarlos y rotarlos automáticamente.

Para crear un secreto en Secrets Manager:

1. Acceder a Secrets Manager
2. Seleccionar "Create secret"
3. Ingresar las credenciales o información a guardar
4. Seleccionar la llave de encripción (predeterminada o personalizada)
5. Asignar un nombre al secreto
6. Configurar rotación automática (si se desea)
7. Revisar y almacenar

Una característica destacada es la rotación automática que se puede configurar con una frecuencia definida (por ejemplo, mensualmente) y una función Lambda que actualice el secreto según las políticas establecidas.

¿Cuál es la diferencia entre Secrets Manager y Parameter Store?

Parameter Store es un servicio más simple que forma parte de AWS Systems Manager. Permite guardar valores, incluidos secretos, pero con menos funcionalidades que Secrets Manager.

Las principales diferencias son:

• Parameter Store no ofrece rotación automática de secretos
• Es más económico que Secrets Manager
• Es ideal para valores que no requieren rotación frecuente

Para crear un parámetro en Parameter Store:

1. Acceder a Systems Manager
2. Seleccionar Parameter Store en la barra lateral
3. Elegir "Create parameter"
4. Asignar un nombre, seleccionar el tipo (estándar o avanzado)
5. Definir el tipo de dato (string, lista o secure string)
6. Ingresar el valor y guardar

¿Cómo mejorar las políticas con condiciones?

Para agregar una capa adicional de seguridad, podemos incluir condiciones en nuestras políticas IAM. Estas condiciones permiten restringir acciones basadas en parámetros específicos:

• Restricción por IP: Permitir acciones solo desde rangos de IP específicos
• Autenticación MFA: Requerir que el usuario tenga 2FA/MFA activo
• Restricción horaria: Limitar acciones a horarios laborales específicos

Por ejemplo, una política puede permitir consultar archivos en S3 solo entre las 9:00 AM y 5:00 PM, bloqueando el acceso fuera del horario laboral.

Estas condiciones hacen que nuestras políticas sean más robustas y adaptadas a las necesidades específicas de seguridad de la organización.

La implementación de estas prácticas de seguridad es fundamental para proteger los recursos en AWS. Desde la simulación de políticas hasta la gestión centralizada y el manejo adecuado de secretos, cada componente juega un papel crucial en la estrategia de seguridad de una organización. Te invitamos a reflexionar sobre cómo podrías implementar estas prácticas en tu propio entorno AWS y compartir tus ideas sobre condiciones de seguridad que podrían beneficiar a tu organización.