Gestión de identidades y accesos (IAM)
Aprende cómo AWS controla quién puede hacer qué: los componentes de IAM (usuarios, grupos, roles y políticas), cómo proteger el usuario raíz con privilegio mínimo, la autenticación y la MFA, y el acceso del personal con IAM Identity Center y la federación.
Gestión de identidades y accesos es el tercer tema del dominio de Seguridad y cumplimiento. Cada acción en AWS se reduce a una pregunta: ¿esta identidad puede hacer esto sobre este recurso? IAM es el servicio que la responde. Controla quién puede iniciar sesión en tu cuenta y qué puede hacer cada persona o aplicación una vez que está dentro.
El tema tiene 4 lecciones. La primera cubre los componentes de IAM (usuarios, grupos, roles y políticas) y cómo se evalúa una solicitud. La segunda cubre el poderoso usuario raíz de la cuenta y el principio de privilegio mínimo. La tercera cubre la autenticación y la autenticación multifactor. La cuarta cubre IAM Identity Center y la federación, la forma recomendada de darle a tu personal acceso a muchas cuentas.
Lo que cubre este tema
- qué es IAM y la diferencia entre autenticación y autorización
- los cuatro componentes: usuarios, grupos, roles y políticas
- cómo AWS evalúa una solicitud, incluida la denegación por defecto y la regla de que un Deny explícito siempre gana
- las políticas basadas en identidad frente a las basadas en recursos
- el usuario raíz de la cuenta, las pocas tareas que solo él puede hacer y cómo blindarlo
- el principio de privilegio mínimo y empezar desde las políticas administradas por AWS
- las formas de autenticarse, la MFA y los tipos de dispositivos MFA que admite AWS
- IAM Identity Center, los conjuntos de permisos y la federación con SAML 2.0 y OpenID Connect
Por qué es importante
Seguridad y cumplimiento es el dominio con más peso del examen CLF-C02, e IAM se lleva una buena parte. Muchas preguntas evalúan si distingues un usuario de un rol, reconoces una tarea solo de raíz, eliges la opción de MFA más fuerte o prefieres IAM Identity Center en lugar de usuarios de IAM regados por las cuentas. Si dominas los componentes, razonas estos escenarios en vez de adivinar entre nombres parecidos.
También importa en cuentas reales. Lo primero que haces en una cuenta nueva de AWS es proteger el usuario raíz y crear identidades propias para el trabajo diario. Hacer bien IAM, con privilegio mínimo, MFA, credenciales temporales e inicio de sesión central, es lo que mantiene segura una cuenta mientras crece de una persona a toda una organización.