Policy Sentry

Generador de políticas de mínimo privilegio para IAM.

• Tutorial
  • Instalación
    • Gestores de paquetes
    • Completado de shell
  • Paso 1: Crear la plantilla
  • Paso 2: Copiar/pegar ARNs
  • Paso 3: Comando write-policy
• Hojas de referencia
  • Hoja de referencia para escritura de políticas
  • Hoja de referencia para consultas a la base de datos IAM
  • Inicialización local (opcional)
• Otros usos
  • Comandos
  • Uso como librería de Python
  • Docker
  • Terraform
• Referencias

Documentación

Para guías y documentación completa, visite el proyecto en ReadTheDocs.

Consulte la publicación del blog de ingeniería de Salesforce sobre Policy Sentry.

Resumen

Redactar políticas IAM seguras a mano puede ser muy tedioso e ineficiente. Muchos desarrolladores de Infraestructura como Código han experimentado algo así:

• Decidido a esforzarse al máximo para otorgar a usuarios y roles el mínimo privilegio necesario para realizar sus tareas, pasan demasiado tiempo revisando la documentación de AWS IAM sobre [Acciones, Recursos y Claves de Condición para los Servicios de AWS][1].
• El líder del equipo le anima a incorporar seguridad en sus políticas IAM para la calidad del producto, pero al final se frustra debido a los plazos del proyecto.
• No tiene un especialista en seguridad integrado en su equipo que pueda redactar esas políticas IAM por usted, y no existe una herramienta automatizada que detecte mágicamente las llamadas a la API de AWS que realiza y luego las escriba con restricciones de ARN de recursos.
• Después de fantasear con ese nivel de automatización, se da cuenta de que redactar políticas IAM de mínimo privilegio, prácticamente por caridad, pondrá en peligro su capacidad para terminar el código a tiempo y cumplir los plazos del proyecto.
• Utiliza políticas administradas (porque, oye, ¿por qué no?) o mira los nombres de las llamadas a la API y usa comodines para poder seguir adelante con su vida.

Este proceso no es ideal ni para la seguridad ni para los desarrolladores de Infraestructura como Código. Necesitamos facilitar la redacción segura de políticas IAM y abstraer la complejidad de redactar políticas IAM de mínimo privilegio. Por eso creé esta herramienta.

Policy Sentry permite a los usuarios crear políticas IAM de mínimo privilegio en cuestión de segundos, en lugar de redactarlas tediosamente a mano. Estas políticas se delimitan según los niveles de acceso y los recursos. En caso de una violación de seguridad, esto ayuda a limitar el radio de explosión de las credenciales comprometidas, concediendo solo el acceso que las entidades IAM necesitan.

Antes de esta herramienta, podía llevar horas elaborar una política IAM con restricciones de ARN de recursos, pero ahora puede llevar cuestión de segundos. De esta forma, los desarrolladores solo tienen que determinar los recursos a los que necesitan acceder, y Policy Sentry abstrae la complejidad de las políticas IAM de sus procesos de desarrollo.

Redacción de políticas seguras basadas en restricciones de recursos y niveles de acceso

La característica estrella de Policy Sentry es que puede crear políticas IAM basadas en ARN de recursos y niveles de acceso. Nuestra funcionalidad CRUD adopta el enfoque opinado de que los desarrolladores de IAC no deberían tener que entender las complejidades de AWS IAM; nosotros deberíamos abstraer la complejidad por ellos. De hecho, los desarrolladores solo deberían poder decir...

• "Necesito acceso de Lectura/Escritura/Listado a arn:aws:s3:::example-org-sbx-vmimport"
• "Necesito acceso de Administración de permisos a arn:aws:secretsmanager:us-east-1:123456789012:secret:mysecret"
• "Necesito acceso de Etiquetado a arn:aws:ssm:us-east-1:123456789012:parameter/test"

...y nuestra automatización debería crear políticas que correspondan a esos niveles de acceso.

¿Cómo logramos esto? Bueno, Policy Sentry aprovecha la documentación de AWS sobre [Acciones, Recursos y Claves de Condición][1] para buscar las acciones, niveles de acceso y tipos de recursos, y genera políticas según los ARN y niveles de acceso. Considere el fragmento de tabla a continuación:

Acciones	Nivel de acceso	Tipos de recurso
ssm:GetParameter	Lectura	parámetro
ssm:DescribeParameters	Lista	parámetro
ssm:PutParameter	Escritura	parámetro
secretsmanager:PutResourcePolicy	Administración de permisos	secreto
secretsmanager:TagResource	Etiquetado	secreto

Policy Sentry agrega toda esa documentación en una única base de datos y utiliza esa base de datos para generar políticas según acciones, recursos y niveles de acceso.

Tutorial

Instalación

Gestores de paquetes

• Homebrew

brew tap salesforce/policy_sentry https://github.com/salesforce/policy_sentry
brew install policy_sentry

• Pip

pip3 install --user policy_sentry

Completado de shell

Para habilitar el completado de Bash, coloque esto en su .bashrc:

eval "$(_POLICY_SENTRY_COMPLETE=bash_source policy_sentry)"

Para habilitar el completado de ZSH, coloque esto en su .zshrc:

eval "$(_POLICY_SENTRY_COMPLETE=zsh_source policy_sentry)"

Paso 1: Crear la plantilla

• Para generar una política según recursos y niveles de acceso, comience por crear una plantilla con este comando para que solo tenga que rellenar los ARN:

policy_sentry create-template --output-file crud.yml --template-type crud

• Generará un archivo como este: