Ingeniero Cloud: pregunta de entrevista
¿Cómo aplicas el principio de mínimo privilegio en IAM?
Concede solo acciones y recursos necesarios para una tarea acotada, prefiere roles temporales, limita condiciones, separa administración, analiza uso real, revisa excepciones y elimina permisos sin uso.
Respuesta directa
Qué debe cubrir una buena respuesta
Cómo funciona
El mínimo privilegio es una práctica, no un ajuste. Cada carga y persona recibe una identidad acotada a una tarea concreta, con políticas que listan acciones y recursos específicos en lugar de comodines, y condiciones como VPC de origen o etiqueta que restringen más. Las cargas asumen roles de corta vida en lugar de tener claves estáticas. La administración se separa del uso diario, y los roles privilegiados exigen autenticación reforzada. Los analizadores de acceso de la nube muestran qué permisos se usaron realmente en 90 días, y los no usados se eliminan; las excepciones tienen caducidad y dueño, y todo el conjunto se recertifica según calendario.
Ejemplo
El rol de un servicio de pedidos permite s3:GetObject en un prefijo de bucket, dynamodb:PutItem y Query en una tabla y sqs:SendMessage en una cola, con una condición que restringe el acceso a S3 a solicitudes desde su endpoint de VPC. Los datos de último acceso de IAM Access Analyzer mostraron que el rol nunca usó un permiso heredado sns:Publish, que se eliminó. El acceso humano a producción pasa por un rol de emergencia que exige MFA y registra un ID de ticket.
Errores frecuentes
- Adjuntar AdministratorAccess a un servicio porque acotarlo era incómodo.
- Usar claves de acceso de larga vida en CI o en servidores.
- Conceder permisos una vez y no revisar nunca qué sigue usándose.
Una estructura útil para responder
Responde desde tu propia experiencia.
No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.
Abre el espacio de trabajo de escritorio y ensaya una respuesta clara con tus propias palabras.