GuíaIntermedio

Guía de Seguridad Cloud y Guardrails

Toma el proyecto Terraform y el pipeline de Andes Cargo que las tres guías anteriores dejaron funcionando, y enseña que un pipeline en verde no es un pipeline seguro. Arranca con modelado de amenazas usando el framework STRIDE aplicado al inventario real de infraestructura de Andes Cargo, y produce un documento de modelo de amenazas que gobierna el resto de la guía. Construye de verdad la infraestructura de identidad federada OIDC (el identity provider, la trust policy de mínimo privilegio) contra LocalStack, siendo honesta sobre el límite exacto de lo que un laboratorio gratuito puede validar de un token real, y endurece a mínimo privilegio los roles IAM que Andes Cargo ya tiene. Migra los secretos de un archivo plano a SSM Parameter Store y Secrets Manager, y escanea el repositorio en busca de credenciales filtradas. El núcleo ejecutado de la guía es policy-as-code preventivo: escribe políticas Rego con `conftest`/OPA que evalúan el `plan` de Terraform antes de que exista la posibilidad de aplicarlo, reemplazando el guardrail artesanal construido a mano en la guía de CI/CD. Suma escaneo estático de infraestructura como código con Trivy y Checkov, y cadena de suministro de software real: genera un SBOM y firma/verifica un artefacto de despliegue con `cosign`, 100% offline, demostrando que la firma detecta manipulación de verdad. Cierra distinguiendo guardrails preventivos de detectivos y encadenando `conftest` → Trivy → `cosign` como un security gate real dentro del pipeline heredado, probado con un cambio que pasa y uno que se detiene antes de aplicar.