Least privilege — выдавать минимум действий на минимум ресурсов, нужный для задачи; избегать * на Action/Resource в проде и регулярно ревьюить неиспользуемые права.
Разбор
- Начинайте с managed policy узкого scope, уточняйте Access Analyzer.
- Condition keys (aws:SourceIp, aws:PrincipalTag) сужают доступ.
- Временные elevation через break-glass роли.
- Широкий AdministratorAccess у приложений — антипаттерн.
Итог
Least privilege снижает blast radius украденных credentials.
