AWS IAM: usuarios y grupos

Qué es: AWS Identity and Access Management (IAM) es el servicio que controla quién puede autenticarse en tu cuenta y qué tiene autorizado hacer. No tiene cargo adicional. Hoy ves sus dos primeras piezas:

• Usuario de IAM: una identidad dentro de tu cuenta, para una persona o una aplicación, con su nombre y sus credenciales. Puede tener contraseña para la consola. Nace sin ningún permiso.
• Grupo de IAM: un conjunto de usuarios que reciben los mismos permisos. Un usuario puede estar en varios grupos, pero un grupo no puede contener otros grupos ni iniciar sesión.
• Permisos: se escriben en documentos llamados políticas, que se adjuntan a usuarios o, mejor, a grupos; la Sesión 5 explica cómo se leen y cuáles trae AWS listas.

Analogía: el sistema de credenciales de una empresa. Cada empleado tiene su propia credencial (usuario), y su departamento (grupo) define qué puertas abre. Si cambia de área, se cambia de departamento, no se reprograma su credencial. Dónde falla la analogía: en una empresa la credencial nueva suele abrir al menos la entrada. En IAM un usuario recién creado no puede hacer nada hasta que le das permisos, y los departamentos no se anidan.

Ejemplo real: Seguros Atalaya tiene doce personas en su cuenta. Crea los grupos Desarrolladores, Analistas y Soporte, y les da permisos a los grupos, no a cada persona. Cuando llega alguien nuevo, lo añade a su grupo en un minuto. Cuando alguien se va, borra su usuario sin tocar al resto, y nadie tiene que cambiar una contraseña compartida.

Úsalo cuando: cada persona necesita su propia identidad, y cuando varias comparten funciones: permisos al grupo, personas al grupo. No lo uses cuando: pienses compartir un usuario entre varias personas; pierdes la cuenta de quién hizo qué. Tampoco uses el usuario raíz de la Sesión 2 para el día a día; sus tareas exclusivas llegan en la Sesión 5.