Establecer barandas y monitorear las URL prefirmadas

Ryan Baker, Amazon Web Services (AWS)

Julio de 2024 (historial del documento)

La seguridad es una preocupación fundamental para todas las empresas y un pilar clave del AWS Well-Architected Framework. Como ingeniero de seguridad, querrá implementar barreras administrativas que estén alineadas con los requisitos de control de la organización. En el AWS Well-Architected Framework, las barandas definen los límites que limitan la actividad.

Esta guía proporciona información básica y prácticas recomendadas para el uso de URL prefirmadas, que se utilizan con objetos de Amazon Simple Storage Service (Amazon S3). Las URL prefirmadas permiten a los usuarios o las aplicaciones que tienen acceso a credenciales válidas generar solicitudes que se firman previamente y se aceptan hasta un tiempo de caducidad definido. Un caso de uso habitual de las URL prefirmadas consiste en ampliar el acceso a objetos o recursos mediante el uso compartido de estas solicitudes. Las solicitudes prefirmadas compartidas las generan sistemas o usuarios que tienen los derechos para realizar una solicitud específica y, a continuación, pueden enviarse a otros sistemas o usuarios para ampliar la capacidad de realizar esa misma solicitud.

En esta guía, aprenderá lo siguiente:

• Los conceptos de las URL prefirmadas

• Casos de uso de direcciones URL prefirmadas

• Barandillas recomendadas y opcionales

• Opciones de monitoreo

• Ejemplos de cómo Servicios de AWS utilizar las URL prefirmadas

Destinatarios previstos

Esta guía se ha diseñado para arquitectos e ingenieros de seguridad responsables de implementar los controles de seguridad en la Nube de AWS.

Objetivos

Como ingeniero de seguridad, querrá saber cómo los creadores de soluciones implementan la seguridad y el tipo de acceso que tienen sus usuarios finales. Esta guía cubre un tipo de acceso, las URL prefirmadas, que se utilizan a menudo con Amazon S3. Las URL prefirmadas ofrecen a los creadores opciones para unir de manera eficiente los mecanismos de autenticación.

En Amazon S3, las URL prefirmadas representan una categoría única de solicitudes. Los ingenieros de seguridad pueden supervisar y gestionar estas solicitudes para garantizar que se utilicen únicamente cuando sea adecuado y necesario. El objetivo de esta guía es ayudar a los ingenieros de seguridad a proporcionar este tipo de supervisión de alto nivel.

Después de leer esta guía, debe comprender qué es una URL prefirmada, cuándo se usa normalmente y las motivaciones para su uso.

Requisitos previos

Si su empresa no ha definido una política de seguridad, objetivos de control o estándares, tal como se describe en la guía Implementación de controles de seguridad en AWS, le recomendamos que complete esas tareas de gobierno antes de continuar con esta guía.

Antes de empezar, también debe familiarizarse con las prácticas recomendadas y opcionales de control y supervisión. Para obtener más información, consulte:

• Políticas de control de servicios (AWS Organizations documentación)

• Políticas de bucket para Amazon S3 (documentación de Amazon S3)

• Registro de solicitudes con registro de acceso al servidor (documentación de Amazon S3)

• Registro de llamadas a la API de Amazon S3 mediante AWS CloudTrail (documentación de Amazon S3)