Roles federados y condiciones de confianza

Para asumir un rol por SAML intervienen dos piezas. La aserción trae el atributo Role, con una pareja de ARN: el rol que se pide y el proveedor SAML que lo respalda. Del otro lado, el rol tiene una política de confianza que nombra a ese proveedor como principal federado y permite la acción sts:AssumeRoleWithSAML. Si una de las dos no coincide, no hay sesión.

Esto separa dos preguntas de auditoría. ¿Qué roles aceptan a este proveedor? Se responde leyendo las confianzas. ¿Quién recibe cada rol? Se responde leyendo el mapeo de grupos en el proveedor.

La documentación de AWS para crear un rol de SAML indica que la política de confianza debe llevar tres cosas: la acción sts:AssumeRoleWithSAML, el proveedor como principal federado y una condición StringEquals sobre SAML:aud, que compara el destinatario de la aserción con la dirección de inicio de sesión de AWS. Sin la condición, la confianza depende solo de quién firma; con ella, además, la aserción tiene que haber sido emitida para entrar a AWS.

Abre los cuatro confianza-*.json de la carpeta. Tres siguen el patrón de la documentación. Uno se apartó.

El mapeo de grupos a roles vive en el proveedor de identidad: mapeo-grupos-roles.csv dice qué rol nombra la aserción para los miembros de cada grupo, y grupos-idp.csv, cuántos miembros tiene cada uno. Un mapeo se revisa con el mismo criterio que un permiso: cuántas personas lo reciben y si todas lo necesitan. Un grupo general de toda la plantilla no debería abrir ningún rol de administración.

El fallo está en el mapeo, no en la confianza: la política del rol de administración es correcta, pero demasiadas personas reciben el rol. Una corrección que toca otra cosa deja la causa intacta. Acortar la sesión reduce el tiempo de exposición, pero no cambia quién puede entrar, y quitar la condición de audiencia debilita una comprobación que estaba bien.

Para el informe a la gerencia hace falta una cifra, no una impresión. Suma los miembros de los grupos que nombran el rol de administración. La columna de solapamiento indica cuántos miembros de cada grupo están también en otro grupo que abre ese rol, así que puedes sumar sin contar a nadie dos veces.