Centralizează gestionarea accesului root pentru conturile membre

Această practică implică eliminarea utilizării directe a contului principal (Root) pentru operațiuni zilnice și centralizarea accesului privilegiat printr-un mecanism controlat, cum ar fi AWS IAM Identity Center sau roluri IAM cu aprobare manuală. Ignorarea acestui principiu expune contul tău la riscuri majore de securitate, deoarece cheia de acces Root oferă control total și necondiționat asupra tuturor resurselor din cont. Dacă aceste credențiale sunt compromise, atacatorul poate șterge date, modifica configurații critice sau crea costuri masive fără a fi detectat imediat. Prin centralizare, creezi un strat suplimentar de siguranță care necesită autentificare multifactorie (MFA) și auditabilitate completă pentru fiecare acțiune privilegiată.

Cum o aplici

1. Activează MFA pe contul Root și dezactivează accesul prin chei de acces (Access Keys) pentru acest cont.
2. Creează un grup IAM separat pentru administratori sau utilizează AWS IAM Identity Center pentru a gestiona identitățile.
3. Atribuie permisiunile necesare (de ex., AdministratorAccess) doar grupurilor sau rolurilor specifice, nu utilizatorilor individuali direct.
4. Configurează alerte CloudWatch sau SNS pentru orice utilizare a contului Root, inclusiv autentificări reușite.
5. Folosește roluri IAM pentru aplicațiile care au nevoie de acces la alte servicii AWS, în loc de credențiale statice.

Exemplu

Varianta greșită: Utilizatorul se loghează direct cu email-ul și parola contului principal pentru a crea un EC2 instance.

# NU face asta:
aws ec2 run-instances --profile root-account ...

Varianta corectă: Utilizatorul se autentifică prin SSO/IAM Identity Center, iar aplicația folosește un rol IAM temporar.

# FACE ASTA:
aws sts assume-role --role-arn arn:aws:iam::123456789012:role/AdminRole --role-session-name Session1

Cum verifici

Verifică periodic raportul AWS Access Advisor pentru a vedea dacă contul Root are activități recente. Configurează AWS Config pentru a monitoriza modificările la politicile de securitate ale contului. Analizează CloudTrail Logs filtrând după eventName care indică acțiuni administrative majore efectuate de root. Asigură-te că nu există chei de acces active asociate direct cu utilizatorul root în secțiunea de securitate a contului.

Greșeli frecvente

• Crearea de chei de acces pentru Root: Mulți dezvoltatori creează accidental Access Keys pentru contul principal pentru a simplifica scripturile de deploy, ceea ce anulează complet beneficiile de securitate.
• Ignorarea alertelor: Setarea alertelor pentru utilizarea Root este inutilă dacă nimeni nu le verifică sau dacă nu există un proces de răspuns la incidente definit.
• Permisiuni prea largi: Atribuirea permisiunii AdministratorAccess la un grup de utilizatori fără o justificare clară sau fără limitări temporale (Just-In-Time access) crește suprafața de atac.