Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizados
Detecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.
Descripción general de Access Analyzer
IAM Access Analyzer es un servicio que detecta problemas de permisos de acceso mediante analizadores que examinan el acceso externo, el acceso no utilizado y otros aspectos. El analizador de acceso externo examina las políticas de recursos como buckets S3 y roles IAM, e identifica configuraciones que permiten el acceso desde cuentas fuera de la organización o desde el público. El analizador de acceso no utilizado cruza los registros de actividad de CloudTrail con los permisos de los roles IAM y detecta los permisos que realmente no se están utilizando. Además, ofrece una función que genera automáticamente políticas IAM de mínimo privilegio basadas en la actividad pasada de CloudTrail y una función de verificación de políticas personalizadas que se incorpora en pipelines CI/CD.
Permisos no utilizados y generación de políticas
El analizador de acceso no utilizado cruza los permisos de los roles y usuarios IAM con la actividad de CloudTrail y detecta las acciones que no se han utilizado durante el período configurado (por ejemplo, 90 días), las claves de acceso no utilizadas y los roles no utilizados. El período de 90 días es el valor predeterminado, y para no generar falsos positivos con procesos por lotes que solo se ejecutan una vez por trimestre, es necesario operar teniendo en cuenta el período de análisis. La generación de políticas crea automáticamente una política IAM de mínimo privilegio que contiene solo las acciones realmente utilizadas, basándose en la actividad de CloudTrail de un período especificado de hasta 90 días. En lugar de aplicar la política generada tal cual, se revisa si incluye las acciones que serán necesarias en el futuro antes de aplicarla. Las verificaciones de políticas personalizadas se incorporan en pipelines CI/CD para verificar automáticamente que los cambios en las políticas IAM no permitan acciones específicas (s3:* o iam:*). Existe un patrón que consiste en colocar una función Lambda en una etapa de CodePipeline y verificar los cambios de políticas con la API CheckNoNewAccess.
Aprovechamiento de la detección de acceso externo
El analizador de acceso externo examina las políticas de buckets S3, las políticas de confianza de roles IAM, las políticas de claves KMS, las políticas de funciones Lambda y las políticas de colas SQS, y detecta los recursos accesibles desde cuentas externas o desde el público. Los hallazgos se clasifican como archivados (uso compartido intencionado) o activos (requieren acción), y se corrige con prioridad la exposición externa no intencionada. Con las verificaciones de políticas personalizadas, puede verificar automáticamente en pipelines CI/CD que los cambios de políticas no permitan nuevo acceso externo. La integración con Organizations permite gestionar de forma centralizada el acceso externo de todas las cuentas y visualizar la postura de seguridad de toda la organización.
Precios de Access Analyzer
El analizador de acceso externo se puede utilizar de forma gratuita. El analizador de acceso no utilizado se factura según el número de roles y usuarios IAM analizados, y cuesta aproximadamente 0.20 USD al mes por rol/usuario (a fecha de agosto de 2026). Las verificaciones de políticas personalizadas cuestan aproximadamente 0.002 USD por verificación. Como el coste del analizador de acceso no utilizado se acumula en entornos de gran escala con muchas entidades IAM, una forma de proceder es habilitarlo de forma gradual empezando por las cuentas prioritarias. El analizador de acceso externo se puede habilitar de forma gratuita en todas las cuentas y puede utilizarse como base de seguridad.
El ciclo para lograr el mínimo privilegio
Un diseño de permisos adecuado no es un trabajo puntual, sino algo que se perfecciona de forma continua. Access Analyzer analiza el historial real de accesos e identifica los permisos que no se utilizan. A partir de esto, puede eliminar los permisos concedidos en exceso y limitarlos a lo que realmente se necesita. Además, existe una función que genera un borrador de política que contiene solo los permisos necesarios, basándose en la actividad pasada. Puede tomarlo como punto de partida y ajustarlo para crear una política de mínimo privilegio. El ciclo de concesión / análisis / reducción se ejecuta de forma periódica para contener la expansión de los permisos y acercarse a un estado de mínimo privilegio.
Validación de políticas antes del despliegue
Los problemas de permisos se pueden comprobar antes de aplicar la política en producción. Access Analyzer ofrece una función que valida, antes de su aplicación, si la política creada permite un acceso excesivo contrario a la intención. Por ejemplo, detecta y advierte sobre configuraciones que expondrían un recurso a cuentas externas y sobre formas de escritura no recomendadas. Si lo incorpora en un pipeline CI/CD, los cambios de políticas se pueden comprobar automáticamente antes de fusionarse en el repositorio, lo que puede reducir la llegada a producción de configuraciones de permisos peligrosas. La validación previa al despliegue se adopta como mecanismo y se incorpora en la gestión continua de permisos.
Resumen
Access Analyzer es un servicio que se utiliza para una gestión de permisos acorde con el principio de mínimo privilegio, mediante la detección de acceso externo y de permisos no utilizados. Los permisos se configuran con la generación automática de políticas basada en la actividad de CloudTrail, y con las verificaciones de políticas personalizadas se incorpora la validación de seguridad en pipelines CI/CD para automatizar el ciclo de vida de la gestión de permisos.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
- IAM Access Analyzer (página oficial)
- AWS IAM (página oficial)
- AWS CloudTrail (página oficial)
- Documentación de AWS (oficial)
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.