Respuestas · Sesión 5 · Políticas, roles y federación

1. Respuesta: C

• C (correcta): AWS evalúa juntas todas las políticas que alcanzan a la identidad, y un Deny explícito en cualquiera de ellas niega la acción aunque otra la permita.
• A: no hay un orden en el que “gane” la primera política; todas se evalúan juntas.
• B: no se cuentan permisos a favor o en contra; un solo Deny explícito basta.
• D: las políticas en línea no anulan a las de grupo por ser en línea; aquí niega porque su efecto es Deny.

Repasa: secciones “Políticas de IAM” y “Tipos de políticas y cómo decide AWS” de la sesión 05.

2. Respuesta: A

• A (correcta): un rol entrega a la aplicación credenciales temporales que AWS renueva, sin guardar ninguna clave en el código ni en la máquina.
• B: las claves de acceso son credenciales de larga duración; si el archivo se filtra, sirven hasta que alguien las borre.
• C: el usuario raíz no debe usarse para el trabajo diario, y menos dentro de una aplicación.
• D: la política de contraseñas regula las contraseñas de la consola; no da credenciales a una aplicación.

Repasa: sección “Roles de IAM” de la sesión 05.

3. Respuesta: D

• D (correcta): cerrar una cuenta que no pertenece a AWS Organizations está en la lista de tareas que solo puede hacer el usuario raíz.
• A: cualquier identidad con permisos de IAM puede crear usuarios, incluso administradores.
• B: adjuntar políticas a un grupo lo hace cualquier identidad con los permisos de IAM necesarios.
• C: crear un rol tampoco es exclusivo del usuario raíz; basta tener permisos de IAM.

Repasa: sección “Usuario raíz” de la sesión 05.

4. Respuesta: B

• B (correcta): IAM Identity Center conecta el Active Directory de la empresa y da a cada empleado inicio de sesión único a las cuentas que le correspondan, con credenciales temporales.
• A: Amazon Cognito es para los usuarios de tus aplicaciones web y móviles, no para el personal que entra a cuentas de AWS.
• C: 2.000 usuarios en cada una de 15 cuentas son 30.000 identidades que mantener, y no reutiliza el directorio existente.
• D: compartir claves de acceso rompe “una identidad por persona” y da credenciales de larga duración.

Repasa: secciones “Federación de identidades y SSO” y “AWS IAM Identity Center” de la sesión 05.

5. Respuesta: C

• C (correcta): las passkeys y llaves de seguridad usan el estándar FIDO y son el tipo de MFA resistente al phishing que AWS recomienda.
• A: AWS ya no permite activar MFA por SMS.
• B: una app de autenticación es MFA válido, pero sus códigos se pueden robar con una página falsa; AWS la considera menos segura que las passkeys.
• D: una contraseña larga no es un segundo factor; sin MFA, quien la robe puede entrar.

Repasa: sección “MFA” de la sesión 05.