Cómo crear un usuario IAM con permisos mínimos para un panel externo (desde CloudShell)

Tarde o temprano una herramienta externa te pide "una clave de AWS": un panel de control, un sistema de copias, un monitor. La tentación es copiar la clave de tu usuario administrador. No lo hagas nunca. Quien tenga esa clave puede hacer todo lo que puedes hacer tú, incluido borrar la cuenta entera. Lo correcto es crear un usuario IAM aparte con una política que permita solo las acciones concretas que esa herramienta necesita, y darle su clave.

Lo haremos desde AWS CloudShell, la terminal que viene integrada en la consola web, porque son cuatro comandos que se copian y pegan y el resultado es exacto. No hace falta instalar nada en tu ordenador.

Paso a paso

1. Decide qué acciones necesita la herramienta

   Antes de escribir nada, haz la lista. Un panel que gestiona máquinas Lightsail necesitará, por ejemplo: ver las máquinas y su estado, arrancar, parar y reiniciar, y quizá crear y ver instantáneas. No necesita crear ni borrar máquinas, ni ver la facturación, ni tocar usuarios. Cada acción que no está en la lista es una acción que no vas a dar. Si la herramienta es seria, te dirá exactamente qué permisos pide; si te pide "AdministratorAccess", desconfía.

2. Abre CloudShell

   En la consola de AWS, pulsa el icono de terminal de la barra superior (CloudShell) o búscalo por nombre. Tarda unos segundos en arrancar. Ya tienes una terminal Linux con la herramienta aws configurada con tus credenciales actuales, así que todo lo que hagas ahí lo haces como el usuario con el que estás en la consola (que debe tener permiso para gestionar IAM).

3. Escribe la política

   Crea un fichero con la política en formato JSON. Este ejemplo permite ver, arrancar, parar y reiniciar máquinas Lightsail y manejar sus instantáneas, nada más. Pega el bloque entero en CloudShell:

   cat > politica.json <<'FIN'
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:GetInstanceMetricData", "lightsail:GetRegions",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:GetInstanceSnapshot",
         "lightsail:CreateInstanceSnapshot", "lightsail:DeleteInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }
   FIN

   Cada acción se llama servicio:Operación. Si solo quieres que la herramienta vea, quita las líneas de Start, Stop, Reboot, Create y Delete. Para EC2, S3 o RDS las acciones tienen otros nombres, pero la mecánica es idéntica. En Lightsail la mayoría de acciones no se pueden limitar a una máquina concreta, por eso el Resource es *; en EC2 o S3 sí puedes poner el identificador exacto del recurso.

4. Crea la política, el usuario y únelos

   Tres comandos. Cambia el nombre si quieres, pero que diga para qué sirve:

   aws iam create-policy --policy-name PanelMaquinas --policy-document file://politica.json
   aws iam create-user --user-name panel-maquinas
   aws iam attach-user-policy --user-name panel-maquinas \
     --policy-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):policy/PanelMaquinas

   El primer comando devuelve el ARN de la política; el tercero lo reconstruye con el número de tu cuenta para que no tengas que copiarlo. Fíjate en que al usuario no le damos contraseña de consola: solo existirá para la clave de acceso.

5. Genera la clave de acceso

   aws iam create-access-key --user-name panel-maquinas

   La respuesta trae dos valores: AccessKeyId (empieza por AKIA) y SecretAccessKey. El secreto solo se muestra esta vez. Cópialo directamente en la herramienta que lo va a usar. No lo pegues en un correo, en un chat ni en un documento compartido. Si lo pierdes, no pasa nada: borras esa clave y creas otra.

6. Borra el fichero y comprueba

   rm politica.json
   aws iam list-attached-user-policies --user-name panel-maquinas

   Debe aparecer solo PanelMaquinas. Configura la herramienta con la clave y prueba una acción permitida (ver máquinas) y una no permitida (crear una): la segunda debe fallar con "not authorized". Ese error es la prueba de que has hecho bien el trabajo.

Qué puede salir mal