"Te paso mi usuario y contraseña de AWS, entra y míralo". Es lo que hace todo el mundo y es la peor idea posible: esa persona lo puede todo, no sabrás qué hizo, y cuando deje de colaborar tendrás que cambiar tu contraseña y esperar que no la apuntara. AWS está pensado para que cada persona tenga su propio usuario con los permisos justos: el técnico externo que solo debe ver, la gestoría que solo necesita las facturas, el compañero que opera dos máquinas. Esta guía crea uno de esos usuarios y lo deja bien cerrado.
Antes de empezar: qué significa cada cosa
- IAM
- El servicio de AWS donde se crean usuarios y se les asignan permisos.
- Usuario IAM
- Una identidad propia dentro de tu cuenta, con su nombre, su contraseña y sus permisos. No es otra cuenta de AWS: es una persona dentro de la tuya.
- Política
- La lista de permisos que se asigna a un usuario. AWS trae muchas ya hechas (solo lectura, facturación, administrador...) y puedes escribir las tuyas.
- Grupo
- Un conjunto de usuarios que comparten las mismas políticas. Más cómodo que asignar permisos uno a uno.
- Doble factor (MFA)
- El código del móvil al entrar. Puedes exigirlo a cada usuario.
- Alias de cuenta
- Un nombre fácil para la dirección de inicio de sesión de tu cuenta, en lugar del número de doce dígitos.
- IAM Identity Center
- El sistema más moderno de AWS para gestionar personas, pensado para empresas con varias cuentas. Para una cuenta y unas pocas personas, los usuarios IAM bastan.
Paso a paso
Decide qué debe poder hacer
Tres perfiles cubren casi todo: solo mirar (un técnico que diagnostica, un auditor): política
ReadOnlyAccess; facturación (la gestoría): políticaAWSBillingReadOnlyAccessoBilling, y tendrás que activar en Cuenta el "acceso de usuarios IAM a la facturación"; operar unas máquinas (un compañero): una política propia con las acciones de ver, arrancar y parar, como la de la guía de permisos mínimos. NuncaAdministratorAccesssalvo que de verdad sea un administrador.Pon un alias a la cuenta
En IAM, en el panel principal a la derecha, Alias de cuenta, Crear:
miempresa. La dirección de entrada de tus usuarios pasa a serhttps://miempresa.signin.aws.amazon.com/console, mucho más fácil de dar que un número.Crea un grupo con los permisos
IAM, Grupos de usuarios, Crear grupo: nombre
solo-lectura(o el perfil que sea), y en la lista de políticas marca la que corresponda. Crear. Los permisos se asignan al grupo; a las personas, solo las metes en el grupo. Cuando haya que cambiar un permiso, se cambia una vez para todos.Crea el usuario
Usuarios, Crear usuario. Nombre: el de la persona (
ana.garcia), no "externo1". Marca Proporcionar acceso a la consola, elige contraseña generada automáticamente y deja marcado el usuario debe crear una contraseña nueva al iniciar sesión. Siguiente: Agregar usuario al grupo y marca el grupo. Crear. La última pantalla muestra la dirección de entrada, el usuario y la contraseña temporal: envíaselos por dos canales distintos (la dirección y el usuario por correo, la contraseña por mensaje), nunca juntos.Exige el doble factor
Pídele que al entrar vaya a su nombre arriba a la derecha, Credenciales de seguridad, y asigne un dispositivo MFA con la aplicación de su móvil. Para hacerlo obligatorio de verdad, hay una política conocida de AWS que deniega todo hasta que el usuario configura MFA; la documentación de IAM la trae lista para copiar ("Permitir a los usuarios administrar sus propias credenciales con MFA"). Añádela al grupo.
Quítale el acceso cuando termine
Cuando la colaboración acabe: IAM, Usuarios, selecciona a la persona, Eliminar. Si prefieres conservarlo por si vuelve, Credenciales de seguridad, Deshabilitar el acceso a la consola. Y una vez al trimestre, mira la columna Última actividad de la lista de usuarios: quien lleve meses sin entrar, probablemente ya no lo necesita.
Qué puede salir mal
El usuario entra pero no ve nada o le salen errores de permiso
Es lo esperado fuera de lo que su política permite. Si le falta algo legítimo, el mensaje de error dice qué acción, y la añades a la política del grupo. Si es solo lectura y ve "no autorizado" en la facturación, falta activar el acceso de IAM a la facturación en la configuración de la cuenta.
Necesita hacer una cosa concreta que no está en ninguna política de AWS
Escribe una política propia con esa acción (guía de permisos mínimos). Suele ser más fácil de lo que parece: el nombre de la acción está en el mensaje de error.
Somos más de diez personas y varias cuentas
Es el momento de IAM Identity Center: un único inicio de sesión para todas las cuentas, con permisos por conjunto. Más montaje al principio, mucho menos trabajo después.
Un externo me pide una clave de acceso en lugar de usuario de consola
Si va a usar programas, es razonable; dale un usuario sin contraseña de consola y con clave de acceso y permisos mínimos, o mejor un rol entre cuentas (guías en esta sección). Y que la rote.
En Simplio
En Simplio invitas a una persona por correo y marcas con casillas qué puede hacer (ver, arrancar y parar, instantáneas, ficheros, terminal) y sobre qué máquinas, buckets o bases de datos; ella entra con su propio usuario y su doble factor obligatorio, sin tocar nunca tu cuenta de AWS ni saber ninguna clave. Cuando deje de colaborar, la desactivas con un clic y todo lo que hizo queda en el registro de actividad.
Lo mismo, en AWS y en Simplio
| En la consola de AWS | En Simplio | |
|---|---|---|
| Dar acceso limitado a una persona | Alias, grupo, política, usuario, MFA, dos canales: 6 pasos, 15 minutos sabiendo qué política | Invitar por correo y marcar casillas: ver, arrancar/parar, instantáneas, terminal, y qué máquinas. 1 minuto |
| Doble factor | Pedirlo y confiar, o una política avanzada | Obligatorio para todos los usuarios de Simplio |
| Quitar el acceso | IAM, buscar, eliminar | Desactivar el usuario; sus acciones quedan en el registro de actividad |