Un permiso por función y no uno para todas

4 tareas · 38 min · Principiante

Asignar un rol IAM compartido a todas las funciones es el error más común en serverless. Se auditan los privilegios excesivos de Factura Guamo y se diseñan roles individuales con permisos mínimos acotados por recurso.

0 de 4 · 0%

Objetivo de la sala

Por rapidez en el despliegue, muchos equipos crean un único rol de ejecución (ej: LambdaBasicExecutionRole extendido con políticas amplias) y lo asignan a todas las funciones del proyecto. Si una función secundaria de envío de correos sufre una inyección de código mediante una biblioteca vulnerable, el atacante hereda permisos para escribir en DynamoDB, borrar buckets S3 o desencadenar pagos, vulnerando todo el ecosistema. Cada función debe poseer su propio rol IAM con permisos exclusivos sobre los recursos que utiliza.

Responde para continuar

¿Cuál es el riesgo de compartir un único rol IAM entre todas las funciones de una aplicación serverless?

Las funciones se ejecutan más lentamente debido al tamaño del rol La cuenta de nube sufre bloqueos por exceso de nombres repetidos El compromiso de una función vulnerable otorga acceso a los recursos de todas las demás funciones del sistema

Ver pista de ayuda

Aplica el principio de compartimentación y contención del radio de explosión.

La auditoría de identidades examina qué políticas están asociadas a cada componente de cómputo.

Abre el laboratorio y lee roles-funciones-iam.txt. Identifica el rol compartido que concede comodines excesivos a múltiples funciones.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué rol IAM compartido figura asignado indiscriminadamente a todas las funciones? Escribe su nombre.

Ver pista de ayuda

Consulta la columna rol_iam_asignado en el inventario.

El dictamen técnico cataloga los riesgos derivados del mal uso de identidades de ejecución.

Examina auditoria-privilegios-serverless.txt y localiza el hallazgo asociado a la existencia de una única credencial maestra compartida.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué código de hallazgo documenta la existencia de un rol compartido único como riesgo crítico? Escribe el código.

Ver pista de ayuda

Revisa la primera columna del informe de auditoría IAM.

La corrección arquitectónica exige crear un rol por función y sustituir los comodines (*) por los nombres de recurso de Amazon (ARNs) específicos de las tablas o colas requeridas.

Responde para continuar

¿Cómo debe estructurarse la política de ejecución de la función fn-notificador-email?

Con permisos de administrador completo sobre toda la infraestructura Compartiendo credenciales de acceso directo con la base de datos de producción Con permiso exclusivo ses:SendEmail acotado al ARN del dominio corporativo verificado

Ver pista de ayuda

Aplica el mínimo privilegio estricto tanto en la acción como en el recurso de destino.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: arquitectura.factura-guamo.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 El antipatrón del rol compartido único

2 Rol sobredimensionado identificado en auditoría Lab

3 Hallazgo crítico en el informe IAM Lab

4 Principio de rol por función y acotamiento de ARNs

Whoami-Labs Pro utiliza cookies