El permiso de más

El servicio de pagos de Cauce necesita una identidad en la nube para hacer su trabajo: leer cierto almacenamiento, escribir ciertos registros. Pero su rol está escrito concediendo todas las acciones sobre todos los recursos de la cuenta. No es un error de sintaxis —el archivo se aplica sin quejarse— es un error de diseño: a quien tenga esa identidad, el comodín le entrega el control entero de la cuenta de la nube. Y si esa identidad se ve comprometida, el atacante hereda ese control completo.

Reconocer que un comodín en los permisos no es comodidad sino riesgo —todo el poder de la cuenta en una sola identidad— es el fallo que esta sala enseña a ver.

El arreglo no es quitar el rol: el servicio lo necesita para funcionar. Es acotarlo a las acciones concretas y los recursos concretos que el servicio usa de verdad, y nada más. Eso es el mínimo privilegio: cada identidad con el permiso justo para su trabajo. Su valor se nota cuando algo sale mal: si esa identidad se compromete, el daño queda limitado a lo poco que podía tocar, en vez de abrirse a toda la cuenta. Menos permiso es menos superficie de daño.

Acotar cada identidad a lo que necesita, y revisarlo en el archivo antes de aplicarlo, es lo que contiene el daño de una identidad comprometida.

Como con el almacenamiento, aquí también se decide parar o avisar. Una identidad de servicio con control total de la cuenta de la nube es exposición real de acceso: si se compromete, el daño no tiene techo. Eso se para, no se aplica hasta acotar el permiso. Una regla de severidad baja —una etiqueta descriptiva que falta en el recurso— se registra como excepción documentada, con su motivo, para no bloquear cada despliegue por cuestiones cosméticas. La línea se traza donde hay exposición real de acceso.

Reservar la parada para el acceso realmente excesivo, y documentar lo cosmético, es lo que mantiene el control de permisos encendido sin frenar al equipo.

Abre el laboratorio de permisos de Cauce. Lee el archivo de infraestructura del rol y la salida de Checkov. Distingue el fallo que para —el permiso en comodín sobre la cuenta— del aviso cosmético de la etiqueta que falta.