Recortar la política sobredimensionada

Recortar a ciegas rompe cargas de trabajo y enseña a la empresa a no tocar los permisos. El orden razonable es otro. Primero se mide lo que la identidad usó de verdad durante un periodo representativo (el registro de auditoría o la información de último acceso). Luego se escribe la política con lo observado, acotando recursos. Se valida su sintaxis y se prueba en un entorno donde un fallo no cuesta nada. Solo entonces se sustituye y se vigila, con una vía rápida para volver atrás si algo que ocurre rara vez aparece más tarde.

El permiso se gana por el uso comprobado, no por la sospecha.

Abre politica-actual.json y uso-90-dias.txt. Cada sentencia concede un servicio entero sobre todo. Compara con las acciones que aparecen en el registro de uso. Una sentencia cuyo servicio no aparece en ninguna llamada de los 90 días es la primera candidata a desaparecer: nadie va a notar que ya no está.

Para estrechar bien una sentencia conviene saber qué peso tiene. Sumando las llamadas a S3 del resumen se ve que el rol hace un trabajo concreto de lectura y escritura sobre dos buckets, lo que permite sustituir s3:* sobre * por tres acciones y dos recursos.

iam:PassRole permite entregar un rol a un servicio para que actúe con él. Con el recurso en *, el rol de carga podría pasarle a un servicio cualquier rol de la cuenta, incluido uno con más privilegios que el suyo: es una de las rutas de ampliación de privilegios vistas en el módulo 2. El recurso debe ser el ARN del rol que de verdad se pasa.

La política nueva debe quedar con tres cosas a la vez: las acciones que el rol usó, sus recursos concretos (los dos buckets, el trabajo de Glue, la clave y el rol que se pasa) y nada de los comodines de servicio. Después de aplicarla, la prueba no es que no haya errores el primer día: es mirar el registro de auditoría en busca de solicitudes denegadas del propio rol durante un ciclo completo del trabajo que hace.