Quien consigue entrar en tu cuenta de AWS puede borrar todas tus máquinas, llevarse tus datos o, lo más habitual, crear decenas de máquinas potentes para minar criptomonedas y dejarte la factura. Ocurre a diario, y casi siempre por lo mismo: una contraseña filtrada sin doble factor, o una clave de acceso subida por error a un repositorio público.
Protegerse lleva veinte minutos y no cuesta nada. Son cuatro medidas, y la primera es la que importa de verdad: si solo haces una, que sea esa.
Antes de empezar: qué significa cada cosa
- Cuenta raíz (root)
- El usuario con el que se creó la cuenta de AWS, el que entra con el correo electrónico. Lo puede todo, incluido cerrar la cuenta, y no se le puede limitar. Por eso hay que guardarlo bajo llave y no usarlo a diario.
- Doble factor (MFA)
- Un segundo paso al entrar, además de la contraseña: un código que cambia cada 30 segundos en una aplicación del móvil, o una llave física. Si te roban la contraseña, sin el móvil no entran.
- Aplicación de autenticación
- Una aplicación gratuita del móvil que genera esos códigos (Google Authenticator, Microsoft Authenticator, Authy y otras). Vale cualquiera.
- IAM
- El servicio de AWS donde se crean usuarios y se les dan permisos.
- Usuario IAM
- Una identidad dentro de tu cuenta, con su propio nombre y contraseña, a la que puedes limitar lo que hace. Es con lo que deberías entrar cada día, en lugar de con la cuenta raíz.
- Clave de acceso
- El "usuario y contraseña" que usan los programas para hablar con AWS. La cuenta raíz no debería tener ninguna.
- Contactos alternativos
- Direcciones y teléfonos de facturación, operaciones y seguridad a los que AWS avisa si pasa algo. Si están desactualizados, los avisos no llegan a nadie.
Paso a paso
Activa el doble factor en la cuenta raíz
Entra en AWS con el correo de la cuenta (la cuenta raíz). Arriba a la derecha, menú de tu nombre, Credenciales de seguridad. En el bloque Autenticación multifactor (MFA), pulsa Asignar dispositivo MFA. Elige Aplicación de autenticación, abre la aplicación en tu móvil, escanea el código QR y escribe dos códigos seguidos. Listo: a partir de ahora, entrar con la cuenta raíz pedirá el código del móvil.
Puedes asignar más de un dispositivo. Añade un segundo (el móvil de otro responsable, o una llave física guardada en un cajón) por si pierdes el primero: recuperar una cuenta raíz sin doble factor es un proceso lento con AWS.
Quita las claves de acceso de la cuenta raíz
En la misma pantalla de Credenciales de seguridad, bloque Claves de acceso. Si hay alguna, desactívala y, cuando compruebes que nada deja de funcionar, bórrala. Una clave de la cuenta raíz es una llave maestra que no caduca; nada debería usarla. Los programas que necesiten acceso usan usuarios o roles con permisos limitados (hay guías para ambos en esta sección).
Crea un usuario administrador para el día a día
Abre IAM, Usuarios, Crear usuario. Nombre: tu nombre o
admin-nombre. Marca Proporcionar acceso a la consola y elige una contraseña. En permisos, Adjuntar políticas directamente y marca AdministratorAccess: podrá hacer casi todo, pero no cerrar la cuenta ni cambiar los datos de pago, que quedan para la cuenta raíz. Crea el usuario y apunta la dirección de inicio de sesión que te muestra (lleva el número de tu cuenta).Si sois varios, un usuario por persona. Nunca compartáis uno: cuando algo se rompa querrás saber quién lo hizo.
Pon doble factor también a ese usuario
Entra con el usuario nuevo, menú de tu nombre, Credenciales de seguridad, y asigna un dispositivo MFA igual que en el paso 1. Hazlo obligatorio para todos los usuarios que crees. A partir de ahora, entra siempre con este usuario y guarda la contraseña de la cuenta raíz en un gestor de contraseñas, para usarla solo cuando AWS la exija (cambiar datos de pago, cerrar la cuenta, alguna operación rara).
Actualiza los contactos y pon una alerta de gasto
Con la cuenta raíz, menú de tu nombre, Cuenta: revisa el correo principal y rellena los Contactos alternativos (facturación, operaciones, seguridad) con direcciones que alguien lea. Son las que AWS usa para avisarte de una clave filtrada o de un uso anómalo. Y crea un presupuesto con aviso por correo (hay una guía en esta sección): si alguien entra y empieza a crear máquinas, el aviso de previsión de gasto será probablemente la primera señal.
Revisa de vez en cuando
Una vez al trimestre, en IAM, pestaña Usuarios: ¿sigue trabajando aquí toda esta gente? ¿Tienen todos MFA? ¿Hay claves de acceso que no se usan desde hace meses (columna "Último uso")? Borra lo que sobre. IAM tiene además un informe de credenciales descargable que resume todo esto en una tabla.
Qué puede salir mal
He perdido el móvil con el doble factor de la cuenta raíz
Si registraste un segundo dispositivo, úsalo y da de baja el perdido. Si no, AWS tiene un proceso de recuperación que verifica el correo y el teléfono de la cuenta; es lento y por eso insistimos en tener dos dispositivos.
Un programa ha dejado de funcionar al quitar la clave de la cuenta raíz
Ese programa estaba usando la llave maestra. Crea para él un usuario IAM con solo los permisos que necesite (guía en esta sección) y dale su propia clave. Es exactamente el problema que querías descubrir.
Me pide el doble factor cada vez y es un engorro
Es el precio, y es pequeño comparado con una cuenta robada. Las aplicaciones de autenticación tardan tres segundos. Si de verdad molesta, una llave física USB es aún más rápida.
Recibí un correo de AWS diciendo que mi clave está en un repositorio público
Es real y es urgente: hay programas que buscan claves en internet y las usan en minutos. Entra, desactiva esa clave de inmediato, revisa en EC2 de todas las regiones si han aparecido máquinas que no son tuyas, y responde al caso de soporte que AWS habrá abierto.
En Simplio
Simplio sigue estas mismas reglas por ti: cada usuario entra con su contraseña y su doble factor obligatorio (sin códigos de recuperación por correo que se puedan robar), y las acciones delicadas lo vuelven a pedir. Las claves de AWS que registras se guardan cifradas y nunca se vuelven a mostrar, o directamente no existen si conectas por rol. Y el registro de actividad dice quién hizo qué, cuándo y desde dónde.
Lo mismo, en AWS y en Simplio
| En la consola de AWS | En Simplio | |
|---|---|---|
| Doble factor para todo el equipo | Configurar MFA usuario por usuario en IAM y vigilar que lo hagan | Obligatorio para todos los usuarios de Simplio, sin códigos de recuperación por correo |
| Limitar lo que hace cada persona | Políticas IAM escritas a mano | Permisos por acción y por máquina con casillas |
| Saber quién hizo qué | CloudTrail | Registro de actividad en lenguaje normal |