c5.4 Otorga a los agentes roles de mínimo privilegio sin ruta de escalada

Un agente autónomo hereda el alcance de su rol

Un agente actúa en tu nombre usando su rol de IAM. Si ese rol es amplio —o, peor, tiene permisos que le permiten cambiar sus propios permisos—, un agente manipulado o comprometido no solo hace mal uso de lo que tiene; puede escalar a más. Acota el rol solo a las herramientas, recursos y secretos que el agente necesita, y cierra explícitamente la puerta al puñado de permisos que habilitan la escalada de privilegios.

Concede solo lo que requiere la tarea del agente

Parte de cero y añade las acciones específicas y los ARN de recursos que el agente usa: la misma disciplina de mínimo privilegio que los roles de invocación del modelo y de herramientas:

{
  "Sid": "AgentTaskPermissions",
  "Effect": "Allow",
  "Action": ["bedrock:InvokeModel", "dynamodb:GetItem"],
  "Resource": [
    "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0",
    "arn:aws:dynamodb:us-east-1:111122223333:table/AgentState"
  ]
}

Deniega explícitamente las rutas de escalada

Un conjunto corto y bien conocido de acciones de IAM/STS convierte un rol limitado en uno de administrador. Aunque nunca se concedan, un Deny explícito garantiza que una política ampliada no pueda reintroducirlas:

{
  "Sid": "NoPrivilegeEscalation",
  "Effect": "Deny",
  "Action": [
    "iam:CreatePolicyVersion",
    "iam:SetDefaultPolicyVersion",
    "iam:AttachRolePolicy",
    "iam:PutRolePolicy",
    "iam:AttachUserPolicy",
    "iam:CreateAccessKey",
    "iam:UpdateAssumeRolePolicy",
    "iam:PassRole"
  ],
  "Resource": "*"
}

iam:PassRole es el clásico: la capacidad de entregar un rol más poderoso a un servicio que el agente puede invocar. Si el agente legítimamente debe pasar un rol, acota el Allow de iam:PassRole a ese único ARN de rol con una Condition sobre iam:PassedToService, en lugar de dejarlo en el deny.

Sin cadenas de auto-asunción

Mantén ajustadas las relaciones de confianza del agente para que no pueda asumir un rol más amplio. Combina un deny explícito (o un sts:AssumeRole acotado a ARN de rol específicos) con un límite de permisos (consulta el control de roles de herramienta), de modo que la política de identidad Y el límite topen el techo.

Nota de nomenclatura: reemplaza los ARN del modelo y de la tabla. Si el agente necesita iam:PassRole, quítalo del deny y añade en su lugar un allow estrechamente acotado; no concedas PassRole amplio.