AWS Primeros Pasos
IdiomaEspañol
Seguridad

Autorización granular con Amazon Verified Permissions - Control de acceso con políticas Cedar

Presentamos la técnica de externalizar la lógica de autorización del código de la aplicación con el lenguaje de políticas Cedar, y lograr decisiones de autorización basadas en tokens con la integración de Cognito.

Unos 7 min de lectura

Descripcion general de Verified Permissions

Verified Permissions es un servicio que proporciona autorización granular de aplicaciones de forma gestionada. Tradicionalmente, la logica de autorizacion se implementaba con sentencias if dentro del codigo de la aplicacion, requiriendo despliegues de codigo para cambios de politicas. Verified Permissions externaliza las reglas de autorizacion con el lenguaje de politicas Cedar, permitiendo cambios de politicas sin despliegues de codigo. Cedar es un lenguaje de politicas de autorizacion de codigo abierto desarrollado por Amazon, disenado para soportar verificacion formal. La evaluación de políticas es determinista - la misma entrada produce la misma decisión de autorización, lo que sirve para la depuración y la auditoría.

Politicas Cedar e integracion con Cognito

Las politicas Cedar se componen de sentencias permit (permitir) y forbid (denegar). Se escriben reglas de forma declarativa como "el usuario A tiene permiso para la accion read en el documento X" o "el rol de administrador tiene permiso para todas las acciones en todos los recursos". Las políticas forbid tienen prioridad sobre permit, por lo que se puede implementar la denegación de acceso bajo condiciones específicas. Las clausulas condicionales (when/unless) permiten condiciones dinamicas como "permitir acceso solo durante el horario laboral" o "permitir solo cuando la IP esta dentro del rango de la red corporativa". Con la integración de Cognito, se utilizan los claims del token de ID (grupos, atributos personalizados) como atributos del principal en las políticas Cedar para decisiones de autorización basadas en tokens. Se puede colocar una función Lambda como autorizador de API Gateway que llama a la API IsAuthorized de Verified Permissions.

Policy Store y autorizacion por lotes

El Policy Store es una coleccion de politicas Cedar que se crea por aplicacion. Se definen tipos de entidad (User, Document, Folder) y acciones (Read, Write, Delete) en el esquema y se valida con él la sintaxis de las políticas. Definir un esquema previene la creacion de politicas que referencien tipos de entidad o acciones inexistentes. La API IsAuthorized autoriza una única solicitud, y la API BatchIsAuthorized autoriza varias solicitudes a la vez. Usar la API por lotes para determinar de una vez los derechos de acceso a múltiples recursos en pantallas de listas puede reducir el número de llamadas en comparación con llamadas individuales repetidas. Las plantillas de politicas definen patrones comunes con marcadores de posicion, y las politicas vinculadas a plantillas enlazan dinamicamente usuarios y recursos. Las llamadas a la API registradas con CloudTrail se pueden usar para auditar el acceso.

Mejores practicas de diseno y errores comunes

Para el diseño de políticas, un enfoque es combinar RBAC (basado en roles) y ABAC (basado en atributos). Los permisos basicos se gestionan mediante roles, y las condiciones granulares como "solo el propietario del documento puede eliminar" se expresan mediante atributos. Un error comun es la dificultad de depuracion a medida que crece el numero de politicas. Cuando las políticas se acumulan en un solo Policy Store, rastrear qué política evaluó una decisión de autorización específica se vuelve difícil. La solucion es usar plantillas de politicas para abstraer patrones comunes y mantener controlable el numero de politicas concretas. Además, las herramientas de verificación formal de Cedar integradas en pipelines CI detectan conflictos de políticas (donde tanto permit como forbid se aplican a la misma solicitud) antes del despliegue. Al implementar cache de resultados de autorizacion, el TTL del cache implica un compromiso con los requisitos de reflejo inmediato de cambios de politicas. Las aplicaciones que requieren respuesta en tiempo real usan TTLs cortos, mientras que las aplicaciones con alta frecuencia de lectura y cambios de políticas raros usan TTLs más largos.

Comparacion con otros enfoques de autorizacion

Existen multiples enfoques para la autorizacion de aplicaciones, seleccionados segun los requisitos. Las políticas IAM son para el control de acceso a recursos AWS y no cubren la autorización basada en lógica de negocio dentro de aplicaciones (ej: "solo el creador del documento puede editar"). Verified Permissions maneja esta autorizacion a nivel de aplicacion. Open Policy Agent (OPA) permite descripciones de politicas de proposito general en el lenguaje Rego, pero requiere alojamiento y gestion de disponibilidad del motor de politicas por cuenta propia. Verified Permissions es un servicio gestionado, por lo que no hay que alojar un motor de políticas por cuenta propia. La autorizacion basada en grupos de Cognito es adecuada para RBAC simple pero no soporta control granular a nivel de recurso ni gestion declarativa de politicas. Para SaaS multi-tenant, se pueden aislar los Policy Stores por tenant para que las políticas no interfieran entre tenants.

Precios de Verified Permissions

Los precios de Verified Permissions se basan en el número de solicitudes de autorización única, autorización por lotes y gestión de políticas. Con la integracion de Cognito, se separa la autenticacion de usuarios (Cognito) y la autorizacion (Verified Permissions), externalizando la logica de autorizacion del codigo de la aplicacion. Para aplicaciones con alto volumen de solicitudes, cachear resultados de autorización para reducir el número de solicitudes puede bajar los costos. Cada llamada a la API BatchIsAuthorized se cuenta como una solicitud, independientemente del número de autorizaciones que incluya.

Resumen

Verified Permissions es un servicio que externaliza la autorizacion de aplicaciones con el lenguaje de politicas Cedar. Separa la autenticación de usuarios y la autorización con la integración de Cognito, y valida la sintaxis de las políticas con el esquema del Policy Store. La API BatchIsAuthorized autoriza múltiples solicitudes de forma masiva, y las plantillas de políticas gestionan patrones comunes. Al combinar RBAC y ABAC, se pueden manejar tanto la gestión de roles como el control de acceso condicional granular.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Compartir

Servicios relacionados

Amazon Verified Permissions NuevoServicio de autorización detallada para aplicaciones personalizadas usando el lenguaje de políticas CedarAmazon Cognito PopularUn servicio que proporciona autenticación, autorización y gestión de usuarios para aplicaciones web y móvilesAmazon API Gateway PopularUn servicio completamente administrado para crear, publicar, gestionar y monitorear APIs

Artículos relacionados

Acceso de confianza cero con AWS Verified Access - Conexión a aplicaciones sin necesidad de VPNSe elimina la VPN y se logra un acceso de confianza cero que verifica en cada ocasión la identidad del usuario y el estado de seguridad del dispositivo. Se presenta el control detallado mediante políticas de Cedar.Autenticación de usuarios con Amazon Cognito - Diseño de User Pool e Identity PoolExplicamos la autenticación de usuarios con Cognito User Pool, el acceso a recursos AWS con Identity Pool y la integración de inicio de sesión social.Patrones de diseño de Amazon API Gateway - Criterios de selección entre REST API y HTTP APIClarificamos los criterios de selección entre HTTP API y REST API, y presentamos patrones de autenticación con Cognito y Lambda Authorizer, así como métodos prácticos de diseño de throttling.

Más sobre este tema

Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizadosDetecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.Gestión automatizada de certificados SSL/TLS con AWS Certificate Manager - De la emisión a la rotaciónExplicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB / CloudFront.Obtención de informes de cumplimiento con AWS Artifact - Respuesta a auditorías y gestión de contratosPresenta cómo obtener informes de auditoría SOC, PCI DSS e ISO bajo demanda, y aplicar BAA y GDPR DPA de forma masiva a toda la organización con Organizations.Automatización de auditorías - Recopilación continua de evidencias de cumplimiento con AWS Audit ManagerExplica la recopilación automática de evidencias de auditoría con AWS Audit Manager. Presenta la evaluación automática basada en frameworks (SOC 2, PCI DSS, GDPR, etc.), gestión centralizada de evidencias y generación de informes de auditoría.La estructura oculta de los 12 dígitos del ID de cuenta de AWS - Por qué son 12 dígitos y qué se puede inferirUna exploración curiosa de por qué los ID de cuenta de AWS son números de 12 dígitos, la intención de diseño incorporada en la estructura ARN, y las consideraciones de seguridad sobre lo que se puede inferir a partir de un ID de cuenta.Por qué el usuario root de una cuenta AWS es peligroso - Filosofía de diseño de separación de privilegios y práctica de selladoExplicamos por qué el usuario root de AWS tiene privilegios que IAM no puede restringir, la lista de operaciones que solo el usuario root puede realizar, cómo configurar MFA y la estrategia de sellado mediante la gestión de acceso root de Organizations.Gestión de certificados y HTTPS - Operaciones automatizadas de certificados TLS con AWS Certificate ManagerAprenda sobre la emisión de certificados TLS/SSL, renovación automática y despliegue usando AWS Certificate Manager (ACM). Cubre la integración con CloudFront, ALB y API Gateway, validación DNS y uso de Private CA.Gestión dedicada de claves con AWS CloudHSM - Cifrado compatible con FIPS 140-3 Level 3Logre gestión de claves compatible con FIPS 140-3 Level 3 con instancias HSM dedicadas. Aprenda cuándo elegir CloudHSM sobre KMS y cómo integrar ambos mediante almacenes de claves personalizados de KMS.

Artículos y servicios similares

Amazon Verified PermissionsServicio gestionado que externaliza la lógica de autorización de aplicaciones usando el lenguaje de políticas Cedar, habilitando control de acceso granularAWS Verified AccessServicio que proporciona acceso seguro a aplicaciones corporativas sin VPNAWS Verified AccessServicio de acceso de red zero-trust que verifica la identidad del usuario y la postura del dispositivo antes de conceder acceso a aplicaciones corporativas sin necesidad de VPNAcceso de red Zero Trust - Lograr un acceso seguro sin VPN con AWS Verified AccessExplicación del acceso Zero Trust sin VPN con AWS Verified Access. Se presentan la integración con proveedores de identidad, la confianza en los dispositivos, el control de acceso basado en políticas y la comparación con la VPN tradicional.