Dar acceso a alguien en AWS es un problema que todo el mundo resuelve mal. La opción fácil es compartir la contraseña de la cuenta, con todo lo que eso implica. La correcta es crear un usuario de IAM y escribirle una política con las acciones y los recursos exactos, en un lenguaje que hay que aprender y que un error convierte en "acceso total" o en "no funciona nada". Y cuando esa persona se va, hay que acordarse de borrarla, en cada cuenta.
En Simplio los permisos son casillas: para cada usuario, qué acciones puede hacer (ver, arrancar y parar, instantáneas, ficheros, bases de datos, dominios, terminal…) y sobre qué objetos: estas máquinas, este bucket, esta cuenta. El colaborador ve una máquina. El cliente de la agencia ve su cuenta y ninguna más. Nadie recibe una clave de AWS, porque la cuenta está conectada una sola vez, por el administrador.
Cómo funciona
Creas el usuario en Simplio
Nombre y correo. La persona recibe su acceso y activa, si quieres obligarlo, su doble factor. No necesita cuenta de AWS.
Marcas qué puede hacer
Las acciones, agrupadas por lo que son: ver, arrancar y parar, cortafuegos, instantáneas, ficheros, bases de datos, correo, dominios, funciones, terminal, costes… Cada una es una casilla.
Marcas sobre qué
Las máquinas, buckets, bases y cuentas a los que llegan esas acciones. Lo que no esté marcado, no existe para esa persona: ni en la lista ni en las búsquedas.
Lo cambias o lo quitas cuando quieras
Si una persona deja la empresa, se desactiva su usuario y pierde todo a la vez, en todas las cuentas. Cada cambio de permisos queda en el registro de actividad.
Qué seguridad tiene
Ninguna clave de AWS circula
La cuenta de AWS se conecta una vez, por el administrador, con un permiso limitado a lo que Simplio hace. Los usuarios usan Simplio, no AWS.
Lo que no se concede, no se ve
Los permisos se aplican en el servidor, en cada consulta: un usuario sin permiso sobre una máquina no la ve, aunque conozca su nombre o su dirección.
Doble factor por usuario
Se activa persona a persona, y las acciones delicadas lo exigen siempre, también a los administradores.
Todo cambio de permisos queda registrado
Quién concedió qué a quién y cuándo. Si alguien tiene acceso a algo, sabes por qué.
Lo mismo, en AWS y en Simplio
| Por tu cuenta en AWS | En Simplio | |
|---|---|---|
| Dar a un técnico una sola máquina | Usuario de IAM, política JSON con el ARN de la instancia, condición por etiqueta, probar que funciona | Casillas: la acción y la máquina |
| Dar a un cliente su cuenta | Un usuario de IAM en esa cuenta, o un rol en la organización | Casilla de la cuenta en su usuario de Simplio |
| Quitar el acceso a quien se va | Buscar sus usuarios en cada cuenta y borrarlos | Desactivar su usuario de Simplio |
| Saber quién tiene acceso a qué | Leer políticas de IAM | La ficha del usuario |
Preguntas frecuentes
¿Los usuarios de Simplio necesitan una cuenta de AWS?
No. Solo el administrador conecta la cuenta de AWS, una vez. El resto entra en Simplio con su usuario y su doble factor.
¿Un usuario puede darse más permisos a sí mismo?
No. Los permisos los concede quien tiene el permiso de gestionar usuarios, y cada cambio queda registrado.