Anatomía de una política, efecto, acción, recurso y condición

Una política es una lista de sentencias (Statement). Cada una responde cuatro preguntas. Effect dice si permite (Allow) o niega (Deny). Action dice qué llamadas cubre, con el formato servicio:Operación; admite comodines como s3:Get*. Resource dice sobre qué objetos aplica, escritos como ARN. Condition, que es opcional, restringe la sentencia a ciertas circunstancias: una dirección de origen, la presencia de un segundo factor, una etiqueta.

El campo Sid es solo un nombre que escribe quien redacta; no afecta a nada. Por eso un Sid engaña con facilidad: lo que cuenta es lo que hay dentro de la sentencia, no cómo se llama.

ls politicas
cat politicas/pol-analisis-datos.json

El comodín * en la acción puede cubrir una operación (s3:Get*), todo un servicio (athena:*) o todo (*). Una sentencia con todo un servicio sobre todos los recursos es un permiso amplio que casi siempre se puede recortar: rara vez la persona necesita crear, modificar y borrar todo lo que ese servicio ofrece.

Busca en la política del equipo de analítica la sentencia que concede todas las acciones de un servicio completo sobre todos los recursos.

Para saber qué concede una política hay que contar acciones con efecto Allow. Una acción que aparece dentro de una sentencia Deny no se concede: se niega, y esa negación gana siempre sobre cualquier permiso. En una política con permisos y negaciones, listar las acciones es solo el primer paso: hay que separar en qué lado de la política está cada una.

Cuenta las acciones concretas de S3 que la política de analítica permite. Una acción concreta es una operación con nombre, no un comodín.

grep -n "s3:" politicas/pol-analisis-datos.json

NotAction invierte la lectura: cubre todo menos lo que enumera. Combinado con Effect: Allow, la sentencia permite todas las acciones de todos los servicios salvo las de la lista. Es un diseño legítimo en algunos casos, pero un lector apurado ve «no incluye IAM» y no se da cuenta de que sobre el resto el permiso es casi total.

Lee la política del soporte interno. Una sentencia lleva un nombre modesto y, en la práctica, permite casi cualquier operación sobre casi cualquier servicio, incluidas las de borrado de almacenamiento.

cat politicas/pol-soporte-interno.json

Una condición compara una clave de la petición con un valor, usando un operador. Bool compara booleanos. El sufijo IfExists cambia lo que pasa cuando la clave no viene en la petición: con BoolIfExists y valor false, la condición se cumple tanto si la clave vale false como si no existe. La clave aws:MultiFactorAuthPresent solo está presente en las sesiones que se autenticaron con segundo factor; en las llamadas hechas con una llave de acceso de larga duración, normalmente no viene.

Lee la última sentencia de la política de analítica y razona qué pasa cuando alguien intenta borrar un objeto sin segundo factor.