Anatomía de una política de identidad

Una política de identidad es un documento JSON con una versión y una lista de sentencias (Statement). Cada sentencia lleva un Effect (Allow o Deny), una o varias Action (la operación de un servicio, como s3:GetObject), uno o varios Resource (el recurso concreto, identificado por su ARN) y, de forma opcional, un Condition que acota cuándo aplica. El Sid es solo una etiqueta para que un humano la reconozca. En una política de identidad no aparece Principal: el principal es la identidad a la que se adjunta. Ese elemento sí vive en las políticas de recurso y en las de confianza de un rol, y se ve en las salas siguientes.

Una sentencia se lee como una frase: permite o deniega, estas acciones, sobre estos recursos, si se cumple esta condición.

El asterisco sustituye cualquier cadena. Puede aparecer en la acción (s3:* concede todas las acciones de S3; s3:Get* concede las que empiezan por Get) o en el recurso (* significa todos). Cuanto más amplio el comodín, más permisos se conceden de los que probablemente se necesitan, y además se conceden los que el servicio añada mañana. Cada comodín merece una pregunta: ¿qué acciones concretas hace falta que cubra? Si la respuesta es una lista corta, la política debería nombrarlas.

Lo que no se pidió no debería estar permitido: un comodín concede también lo que nadie pensó.

Abre politica-rol-reportes.json con cat. El rol lo usa una aplicación de reportes: lee reportes terminados, deja archivos temporales, escribe sus propios registros y consume una cola de trabajo. Compara cada sentencia con esa lista. Dos de ellas usan un comodín en la acción, pero una de las dos limita el recurso a un solo objeto del servicio y la otra no limita nada.

Revisar una política es también medir cuánto está escrito con precisión. Cuenta en politica-rol-reportes.json cuántas acciones concretas, sin comodín, enumera la política en total (cada acción cuenta una vez, aunque aparezca en una lista con otras). Las acciones con asterisco no se cuentan.

En la sentencia de lectura de reportes el recurso aparece dos veces: el ARN del bucket y el mismo con /* al final. No es un descuido. Algunas acciones operan sobre el bucket (como ListBucket, que lista su contenido) y otras sobre los objetos (como GetObject, que lee uno). Con un solo ARN, una de las dos no funcionaría; con * en el recurso, funcionarían además sobre todos los buckets de la cuenta. La política precisa lista exactamente los dos.