Evaluación de políticas, denegación explícita y límites

La evaluación empieza por una denegación implícita: todo lo que ninguna política permite está denegado. Después se buscan permisos (Allow) en las políticas aplicables. Pero antes de aceptar cualquier permiso se mira si alguna política contiene una denegación explícita (Deny) que coincida con la solicitud: si la hay, la solicitud se rechaza, sin importar cuántos Allow la cubran. Una denegación explícita siempre gana. Por eso un Deny bien puesto es el modo de proteger algo aunque otras políticas permitan de más.

Es el único elemento que ningún permiso, por amplio que sea, puede deshacer.

Un límite de permisos es una política que se asocia a un usuario o a un rol y fija el máximo que sus políticas de identidad pueden llegar a conceder: los permisos efectivos son la intersección de las dos. Una política de control de servicio (SCP) hace lo mismo a nivel de la organización o de la cuenta. Ni el límite ni la SCP dan permiso por sí solos: no sustituyen a la política de identidad, solo la recortan. Si la identidad permite una acción y el techo no la incluye, se rechaza; si el techo la incluye pero la identidad no, también.

Para que una solicitud pase hace falta un permiso en la identidad, que esté dentro del techo y que ninguna denegación la alcance.

Abre en la estación politica-identidad.json, limite-de-permisos.json, scp-organizacion.json y solicitudes.txt. Evalúa las seis solicitudes en el orden de la regla: primero busca denegaciones explícitas que coincidan en acción y recurso. Fíjate en el recurso de cada una, no solo en la acción: una denegación sobre un bucket no alcanza a otro.

Ahora busca la solicitud que la política de identidad sí permite, a la que ninguna denegación ni la SCP alcanza, pero que queda fuera del límite de permisos del rol. Hay otra solicitud rechazada por falta de permiso en la identidad: no es esa; aquí la identidad la permite y lo que falla es el techo.

Termina el ejercicio con las seis resueltas. Una solicitud se acepta solo si hay un permiso en la identidad, está dentro del límite, la SCP no la deniega por la región y ninguna denegación explícita coincide. Cuenta cuántas de las seis cumplen todo.