Analizador de políticas IAM
Pega una política IAM de AWS y obtén hallazgos ordenados por severidad: comodines, NotAction/NotResource, permisos equivalentes a administrador y rutas conocidas de escalada de privilegios.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Pega una política IAM de AWS (un documento completo, una sola sentencia o un array de sentencias) y obtén hallazgos ordenados por severidad en tu navegador. Marca los patrones de exceso de permisos: acciones comodín ("*" y "servicio:*"), recursos comodín ("Resource":"*"), concesiones equivalentes a administrador ("Action":"*" sobre "Resource":"*"), las trampas de Allow con NotAction o NotResource y las concesiones sensibles sin ninguna Condition. Detecta las acciones y combinaciones conocidas de escalada de privilegios en IAM: iam:PassRole emparejado con la creación de cómputo (lambda:CreateFunction, ec2:RunInstances…), iam:CreatePolicyVersion, iam:AttachUserPolicy / PutUserPolicy, iam:CreateAccessKey, iam:UpdateAssumeRolePolicy y más. Cada hallazgo incluye una explicación del riesgo en lenguaje claro y una corrección concreta de mínimo privilegio. Es un linter heurístico solo sobre el JSON de la política: no evalúa políticas basadas en recursos, límites de permisos, SCP ni el contexto de sesión, así que no puede demostrar que una ruta sea explotable ni que una política sea segura. Funciona 100 % en el lado del cliente: tu política nunca se sube, así que puedes pegar con seguridad una política de producción. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Pega una política IAM de AWS: un documento completo, una sentencia o un array de sentencias.
- Revisa los hallazgos ordenados por severidad (crítica, alta, media o baja).
- Lee la explicación del riesgo y aplica la corrección de mínimo privilegio que se propone.
- Confirma los cambios con IAM Access Analyzer y los datos de último acceso de tu cuenta antes de publicarlos.
Preguntas frecuentes
¿Qué es una política IAM de AWS?
Una política IAM (Identity and Access Management) es un documento JSON que define qué puede o no puede hacer en AWS un principal (un usuario, un grupo o un rol). Cada política tiene una o más sentencias, y cada sentencia tiene un Effect (Allow o Deny), una Action (las operaciones de la API, como s3:GetObject), un Resource (los ARN a los que se aplican las acciones) y cláusulas Condition opcionales que acotan cuándo surte efecto la sentencia. AWS evalúa juntas todas las políticas aplicables: un Deny explícito siempre gana, y todo lo que no está permitido explícitamente queda denegado de forma implícita. Escribir políticas que concedan solo lo que de verdad necesita una carga de trabajo (el mínimo privilegio) es una de las cosas con más impacto que puedes hacer para limitar el radio de impacto de una credencial comprometida.
¿Qué comprueba este analizador?
Analiza el texto de la política y notifica los patrones de exceso de permisos y las rutas de escalada conocidas: acciones comodín ("Action":"*" y comodines de todo un servicio como "s3:*" o "iam:*"), recursos comodín ("Resource":"*"), sentencias equivalentes a administrador ("Action":"*" sobre "Resource":"*"), sentencias Allow que usan NotAction o NotResource (que conceden todo excepto lo listado), concesiones sensibles sin ninguna Condition como barrera, y las acciones y combinaciones documentadas de escalada de privilegios en IAM. Cada hallazgo se clasifica como crítico, alto, medio o bajo y se acompaña de una corrección de mínimo privilegio. Es un linter heurístico solo sobre el JSON de la política: no evalúa políticas de recursos, límites de permisos, SCP ni el contexto de sesión, así que no puede demostrar que una ruta sea o no explotable.
¿Qué es una ruta de escalada de privilegios en IAM?
Una ruta de escalada de privilegios es un conjunto de permisos que, aunque no lleve la etiqueta de «administrador», permite a un principal concederse más acceso y llegar a la larga a un privilegio mayor. El catálogo de referencia procede de la investigación de Rhino Security Labs «AWS IAM Privilege Escalation – Methods and Mitigation». Algunos ejemplos son iam:CreatePolicyVersion (reescribir una política que tienes asociada), iam:AttachUserPolicy / PutUserPolicy (asociarte o incrustarte AdministratorAccess), iam:CreateAccessKey o iam:UpdateLoginProfile (apoderarte de otro usuario), iam:UpdateAssumeRolePolicy (hacer que puedas asumir un rol privilegiado) y, lo más habitual, iam:PassRole combinado con una acción de creación de cómputo como lambda:CreateFunction o ec2:RunInstances, que te permite asociar un rol privilegiado a un recurso que controlas y ejecutar código como ese rol. Esta herramienta detecta esas acciones reales y con nombre y las combinaciones con PassRole.
¿Se sube o se guarda mi política en algún sitio?
No. El análisis se ejecuta por completo en tu navegador con JavaScript del lado del cliente. El JSON de tu política se analiza y evalúa localmente y nunca se envía a PlayCISO ni a terceros: el análisis no hace ninguna llamada de red. Por eso es seguro pegar una política real de producción. Lo único que se registra es en qué herramienta gastó tu cuenta uno de sus usos gratuitos, sin nada del contenido de tu política.
¿Qué diferencia hay entre NotAction y un Deny?
Es fácil confundirlos y se comportan de forma muy distinta. Una sentencia Deny rechaza explícitamente las acciones listadas y siempre prevalece sobre cualquier Allow. NotAction, en cambio, es un elemento de coincidencia que se usa dentro de un Allow o un Deny: un Allow con NotAction concede todas las acciones EXCEPTO las listadas, una lista de permitidos del revés. Es peligroso en una sentencia Allow porque cada nuevo servicio y cada nueva acción de AWS quedan permitidos automáticamente, así que la concesión se amplía en silencio con el tiempo. El patrón seguro es escribir las sentencias Allow con una lista explícita de acciones permitidas y reservar NotAction para las sentencias Deny (por ejemplo, «denegar todo excepto estas acciones de solo lectura»). Este analizador marca cualquier Allow con NotAction (y Allow con NotResource) precisamente por eso.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.