AWS IAM Least Privilege 2026: DevOps için Pratik Rehber

Least privilege bir kez yazıp unuttuğun bir politika değil, sürekli bir döngü. Bir workload'un ne yapması gerektiğini CloudTrail'den gördüğün aktivitelerle belirle, tam o kadarını ver, kalanını sil, tekrarla.

Çoğu DevOps mühendisi AdministratorAccess ile başlar "geçici olarak" diye. Sonra bu geçici kalıcı olur ve bir gün bir saldırı olunca hesap tamamen açılmış bulunur. Bunun yerine dar başla; gerçek veriye bakarak genişlet. Dar politikadan geniş politikaya gitmek, olay sonrası dar politikaya gitmekten çok daha güvenlidir.

Roller ve geçici kimlik bilgileri her yerde tercih et. EC2 instance profile'lar, IRSA (EKS için), CI/CD sistemleri için OIDC federasyonu, bunlar standart olmalı. Uzun ömürlü access key'ler borç gibidir; eninde sonunda sızar.

IAM Access Analyzer'ı kullan. CloudTrail kayıtlarından politika oluşturur, kullanılmayan izinleri ve dış erişimi gösterir. Tahmin etmeye çalışma.

Permission boundary'ler ve SCP'ler koruma ağı gibi çalışır. Bir politika çok geniş yazılsa bile, bu guardrail'ler en kötü senaryoyu sınırlar. Niyetler yetmez; teknik kontroller gerekir.

Orijinal yazı DevOps Engineer'da yayımlandı. Pratik örnekler ve adım adım uygulama için kaynağı kontrol et. Kısacası: politika yazma sanatını öğren, sonra otomasyonla ölçekle.