Cómo dar acceso a una herramienta externa con un rol IAM entre cuentas (sin claves)

Cuando una herramienta externa necesita entrar en tu cuenta de AWS hay dos caminos. El conocido: crear un usuario IAM y darle una clave de acceso, que es una contraseña que no caduca y que puede acabar en un fichero de configuración, un repositorio o un correo. El bueno: crear un rol que la herramienta asume desde su propia cuenta de AWS. No hay clave que guardar ni filtrar; AWS entrega credenciales temporales que caducan solas, y tú puedes cortar el acceso en un segundo borrando el rol.

Para esto la herramienta tiene que soportarlo (te pedirá "acceso por rol", "cross-account role" o "ARN del rol") y darte dos datos: el número de su cuenta de AWS y un identificador externo (external ID). Con eso, en diez minutos está hecho.

Paso a paso

1. Reúne los datos del proveedor

   Apunta el ID de cuenta de la herramienta (doce dígitos) y el external ID que te asigna, una cadena única para ti. El external ID evita el llamado "problema del ayudante confuso": que otro cliente de la misma herramienta pueda hacer que esta use tu rol. No lo compartas ni lo reutilices.

2. Crea la política de permisos mínimos

   En la consola de IAM, Políticas, Crear política, pestaña JSON. Pega solo las acciones que la herramienta necesita; el proveedor serio te da la lista exacta. Por ejemplo, para ver y manejar máquinas Lightsail:

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:CreateInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }

   Dale un nombre reconocible, como PanelExterno-Maquinas. Si te piden AdministratorAccess, pregunta por qué.

3. Crea el rol con la otra cuenta como entidad de confianza

   IAM, Roles, Crear rol. Tipo de entidad de confianza: Cuenta de AWS, opción Otra cuenta de AWS, y escribe el ID de cuenta del proveedor. Marca Requerir ID externo y pega el external ID. No marques "Requerir MFA": la herramienta es un programa, no una persona. Siguiente.

4. Adjunta la política y da nombre al rol

   Busca la política que creaste en el paso 2, márcala y continúa. Nombre del rol: algo que diga para qué sirve y de quién es, por ejemplo PanelExterno-Simplio. Revisa el resumen: la política de confianza debe mostrar la cuenta del proveedor y la condición sts:ExternalId. Crea el rol.

5. Entrega el ARN del rol

   Abre el rol recién creado y copia su ARN, con la forma arn:aws:iam::123456789012:role/PanelExterno-Simplio. Es lo único que la herramienta necesita; pégalo donde te lo pida. No es un secreto en sí mismo (sin el external ID y sin estar en la cuenta de confianza no sirve de nada), pero tampoco hace falta publicarlo.

6. Comprueba el acceso y el registro

   La herramienta debería conectar al momento. Para ver qué hace, en CloudTrail, historial de eventos, filtra por el nombre del rol: cada acción que ejecute aparece con el rol como identidad. Si algún día quieres cortar el acceso, borra el rol o cambia el external ID; el efecto es inmediato en cuanto caducan las credenciales temporales en curso, que duran como máximo una hora salvo que lo hayas ampliado.

Qué puede salir mal