Come garantire l'accesso del team di sviluppo ai…

Applichiamo il principio del minimo privilegio. Creiamo utenti o ruoli IAM separati per ogni membro del team o gruppo, concedendo solo le autorizzazioni necessarie per svolgere i loro compiti.

Per i processi automatizzati (CI/CD), utilizziamo ruoli IAM con permessi limitati, assegnati ai servizi (ad esempio EC2, Lambda) o alle entità (ad esempio GitHub Actions OIDC).

Memorizziamo le credenziali (che siano chiavi di accesso o token temporanei) in modo sicuro. Per le credenziali utilizzate manualmente, incoraggiamo l'uso della console del provider tramite Accesso Federato o Azure AD / Google Identity Platform. Per i processi automatizzati, integriamo sistemi di gestione dei segreti (ad esempio HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) con pipeline CI/CD.

Applichiamo l'autenticazione a più fattori (MFA) a tutti gli utenti interattivi.

Configuriamo audit delle azioni degli utenti (ad esempio, AWS CloudTrail, Azure Activity Logs, GCP Audit Logs) e le analizziamo per individuare attività sospette.

Utilizziamo gruppi di sicurezza (Security Groups in AWS, Network Security Groups in Azure, Firewall Rules in GCP) per controllare l'accesso di rete alle risorse.

Se necessario, utilizziamo VPN o sistemi di Privileged Access Management (PAM) per l'accesso a risorse sensibili.

Revisioniamo e aggiustiamo periodicamente i diritti di accesso.

# Esempio di politica IAM in AWS per un utente sviluppatore
Version: "2012-10-17"
Statement:
  - Effect: Allow # Permetti l'accesso
    Action: # Lista di azioni consentite
      - ec2:Describe* # Visualizza informazioni EC2
      - s3:ListBucket # Visualizza contenuto bucket S3
      - s3:GetObject # Leggi oggetti da S3
    Resource: "*" # Si applica a tutte le risorse di questo tipo
  - Effect: Deny # Vietiamo l'accesso
    Action: # Lista di azioni vietate
      - ec2:TerminateInstances # Vietato terminare EC2
      - s3:DeleteObject # Vietato eliminare oggetti S3
    Resource: "*"

# Esempio di comando AWS CLI per creare un utente e assegnare una politica
aws iam create-user --user-name developer-user
aws iam attach-user-policy --user-name developer-user --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess # Politica predefinita di esempio

Come garantire l'accesso del team di sviluppo ai provider cloud?