Políticas de recurso y confianza entre cuentas

Un rol tiene dos políticas con papeles distintos. La política de permisos (de identidad) dice lo que el rol puede hacer una vez asumido. La política de confianza es una política de recurso adjunta al rol: su Principal dice quién tiene permitido asumirlo, con la acción sts:AssumeRole. Una sin la otra no sirve: el rol más limitado, si cualquiera puede asumirlo, es una puerta; y el rol más estricto en confianza, con permisos de administrador, entrega todo a quien entre.

Revisar un rol es revisar las dos: quién entra y qué puede hacer cuando está dentro.

El elemento Principal es el que hay que mirar con más cuidado. Un ARN concreto nombra a una identidad o a una cuenta; un asterisco en el principal significa cualquiera. En una política de confianza, un principal * sin ninguna condición permite que cualquier identidad de AWS, de cualquier cuenta, intente asumir el rol; lo que lo frena es solo lo que el rol permita hacer. Abre los cuatro archivos confianza-*.json y lee cada principal.

Cuando un tercero asume un rol en tu cuenta, el principal que lo identifica es la cuenta del tercero. Eso crea un riesgo conocido como el problema del delegado confundido (confused deputy): si el proveedor atiende a muchos clientes, otro cliente suyo podría conseguir que el proveedor actúe en tu cuenta con ese rol. La defensa documentada es un identificador externo (sts:ExternalId): un valor acordado solo entre tu empresa y el proveedor, que la política de confianza exige como condición. Quien asume el rol tiene que presentarlo. No es una contraseña: es una comprobación de que la petición se hace en nombre de ti y no de otro cliente.

Un rol para un tercero debería nombrar su cuenta y exigir el identificador externo.

La lista cuentas-conocidas.txt recoge las tres cuentas que la empresa reconoce: la propia, la de analítica y el proveedor aprobado. Cualquier otra cuenta nombrada en una política de confianza o de recurso es un acceso que nadie decidió. Cruza las políticas de confianza con la lista.

La política del bucket compartido contiene una sentencia con Principal: "*", que a simple vista parece abrir el bucket al mundo. Pero lleva una condición: aws:PrincipalOrgID igual al identificador de la organización. Esa clave de condición compara con la organización a la que pertenece el principal que hace la solicitud. Con ella, el asterisco no significa cualquiera sino cualquier miembro de esa organización. Esa es la forma de compartir con todas las cuentas propias sin listarlas una por una.