¿Cómo garantizar el acceso del equipo de desarrollo a…

Utilizamos el principio de menor privilegio. Creamos usuarios o roles de IAM separados para cada miembro del equipo o grupo, otorgando solo los permisos necesarios para realizar sus tareas.

Para procesos automatizados (CI/CD), usamos roles de IAM con permisos limitados, asignados a servicios (por ejemplo, EC2, Lambda) o entidades (por ejemplo, GitHub Actions OIDC).

Almacenamos las credenciales (ya sean claves de acceso o tokens temporales) de forma segura. Para credenciales utilizadas manualmente, fomentamos el uso de la consola del proveedor a través de Acceso Federado o Azure AD / Google Identity Platform. Para procesos automatizados, integramos sistemas de gestión de secretos (por ejemplo, HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) con pipelines de CI/CD.

Aplicamos autenticación multifactor (MFA) para todos los usuarios interactivos.

Configuramos auditorías de acciones de usuarios (registro, por ejemplo, AWS CloudTrail, Azure Activity Logs, GCP Audit Logs) y las analizamos para detectar actividad sospechosa.

Utilizamos grupos de seguridad (Security Groups en AWS, Network Security Groups en Azure, Firewall Rules en GCP) para controlar el acceso de red a los recursos.

Cuando sea necesario, usamos VPN o sistemas de Gestión de Accesos Privilegiados (PAM) para acceder a recursos sensibles.

Revisamos y ajustamos periódicamente los permisos de acceso.

# Ejemplo de política IAM en AWS para un usuario desarrollador
Version: "2012-10-17"
Statement:
  - Effect: Allow # Permitimos el acceso
    Action: # Lista de acciones permitidas
      - ec2:Describe* # Ver información de EC2
      - s3:ListBucket # Ver contenido del bucket S3
      - s3:GetObject # Leer objetos de S3
    Resource: "*" # Se aplica a todos los recursos de este tipo
  - Effect: Deny # Prohibimos el acceso
    Action: # Lista de acciones prohibidas
      - ec2:TerminateInstances # Prohibición de eliminar EC2
      - s3:DeleteObject # Prohibición de eliminar objetos S3
    Resource: "*"

# Ejemplo de comando AWS CLI para crear un usuario y asignar una política
aws iam create-user --user-name developer-user
aws iam attach-user-policy --user-name developer-user --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess # Ejemplo de política incorporada

¿Cómo garantizar el acceso del equipo de desarrollo a los proveedores de la nube?