Analizador de políticas IAM
Pega una política IAM de AWS para detectar permisos demasiado amplios, rutas de escalada de privilegios y riesgos de confused deputy, y simula solicitudes.
Se ejecuta en tu navegador · no se envía nadaAWSNuevo
Todo se ejecuta en tu navegador. No se envía nada, incluidos los ID de cuenta, nombres de rol y ARN de recursos de tu política.
Cómo se usa
- Exporta una política con "aws iam get-policy-version --policy-arn ... --version-id ..." o cópiala desde la consola.
- Pega el JSON en la herramienta.
- Revisa los hallazgos y la tabla de declaraciones.
- Usa "Simular una solicitud" para comprobar una acción y un recurso, y exporta el informe si lo necesitas.
Casos habituales
Comprueba si un rol tiene acciones con comodín, un recurso comodín en acciones sensibles, o permisos de escalada de privilegios antes de adjuntarlo.
Pega la política de confianza de un rol para confirmar que usa sts:ExternalId o aws:SourceArn, no solo un ID de cuenta a secas, antes de confiar en un proveedor externo.
Explicación
Pega uno o más documentos de política IAM de AWS (una sola política, la salida de "aws iam get-policy-version", o un mapa con todas las políticas adjuntas a un rol o usuario) y la herramienta revisa cada declaración en busca de riesgos habituales: acceso de administrador completo, acciones y recursos con comodín, acciones de escalada de privilegios, un Principal con comodín en una política basada en recursos, y confianza entre cuentas sin protección contra confused deputy. La herramienta lista cada declaración en una tabla y permite simular si la política pegada permitiría una acción concreta sobre un recurso concreto. Todo se ejecuta localmente; el JSON de la política nunca sale de tu navegador.
🔒 Tu entrada se queda en tu navegador y no se envía a ningún sitio.
Preguntas frecuentes
¿Esto se conecta a mi cuenta de AWS?
No. No hay credenciales ni llamadas a la API. Tú exportas la política con la CLI o la consola de AWS y pegas el JSON aquí.
¿Qué comprueba exactamente la simulación?
Evalúa solo los documentos pegados según la lógica de evaluación de AWS (un Deny explícito siempre gana, si no se necesita al menos un Allow). No conoce otras políticas, permission boundaries ni service control policies (SCP) adjuntas en otro lugar de la cuenta, así que una solicitud real podría seguir siendo denegada aunque esta herramienta indique "permitido".
¿Qué es un riesgo de confused deputy?
Ocurre cuando un rol confía en otra cuenta de AWS o en un servicio de AWS sin comprobar sts:ExternalId, aws:SourceArn o aws:SourceAccount. Un tercero que descubra la existencia del rol podría conseguir que un servicio lo asuma en su nombre.
¿Por qué se señala una acción con comodín si el recurso está restringido?
Un comodín como "s3:Get*" también permite cualquier acción equivalente que AWS añada a ese servicio en el futuro, lo que es más difícil de auditar con el tiempo que una lista explícita, incluso si el recurso en sí está bien acotado.
Qué hacer después
¿Has encontrado un problema o tienes una sugerencia? Cuéntanoslo