Saltar al contenido
CLF-C02Sesión 4 · Acceso, responsabilidad e IAM

Hazlo tú (20 min)

Vas a crear tu identidad de trabajo diario: un usuario de IAM dentro de un grupo de solo lectura. Después lo usarás desde la AWS CLI sin crear claves de larga duración. Costo: $0. AWS indica que IAM y AWS STS, el servicio que responde quién eres, no tienen cargo adicional; la CLI y CloudShell tampoco. Los botones se citan en inglés, como en la consola.

Plan gratuito: AWS incluye IAM, STS, CloudShell y sus herramientas para desarrolladores en la lista de servicios gratuitos de su registro simplificado, pero no lo confirma para toda cuenta del plan gratuito. Si tu cuenta no te deja crear el usuario con contraseña, no pases al plan de pago: haz solo la parte D, en papel. Pasa, por ejemplo, con las cuentas del registro simplificado, que no permiten usuarios de IAM con acceso a la consola.

Por qué un usuario de IAM y no IAM Identity Center. Para personas, AWS recomienda hoy IAM Identity Center, que da credenciales temporales; lo verás en la Sesión 5. En una cuenta suelta, entrar con Identity Center exige agrupar cuentas con AWS Organizations (Sesión 16), y eso pasa tu cuenta al plan de pago. Por eso aquí usas un usuario de IAM, con contraseña y sin claves de acceso.

Seguridad: no compartas la contraseña ni capturas que muestren el número de tu cuenta. No crees claves de acceso (access keys): son credenciales que no caducan y, si se filtran, cualquiera actúa como tú hasta que las borras.

Parte A · Crear el grupo y el usuario (el usuario raíz solo vuelve para cambios puntuales de IAM: en la Sesión 5, para darle MFA y un rol a tu nuevo usuario, en la 9, para el rol de una función, y en la 18, para abrir la facturación a IAM).

  1. Entra en console.aws.amazon.com como Root user, con tu MFA de la Sesión 2.
  2. Busca IAM en el buscador de la consola y ábrelo. Observa que, arriba a la derecha, el selector de Región dice Global: IAM no depende de una Región.
  3. En el panel izquierdo elige Users y luego Create user. En User name escribe estudio-diario.
  4. Marca Provide user access to the AWS Management Console – optional. Si la consola te pregunta si das acceso a una persona, elige I want to create an IAM user.
  5. En Console password elige Custom password y escribe una contraseña larga y única; guárdala en tu gestor de contraseñas. Como el usuario es para ti, puedes desmarcar User must create a new password at next sign-in. Elige Next.
  6. En Set permissions elige Add user to group y luego Create group. En User group name escribe lectura-estudio.
  7. En la lista de permisos busca y marca ReadOnlyAccess: deja ver casi todo, sin cambiar nada. Busca y marca también SignInLocalDevelopmentAccess: deja usar tu sesión de la consola desde la CLI. Elige Create user group.
  8. Marca el grupo lectura-estudio, elige Next y luego Create user.
  9. En Retrieve password, copia el Console sign-in URL: es la dirección de entrada de tu cuenta para usuarios de IAM. No descargues el archivo .csv; si lo haces, bórralo al terminar. Elige Return to users list.

Parte B · Entrar con tu nuevo usuario.

  1. Cierra la sesión del usuario raíz. Abre la URL que copiaste y entra con estudio-diario y su contraseña.
  2. Abre IAM › Users: ves la lista porque tienes permiso de lectura. Arriba a la derecha, el menú muestra estudio-diario en lugar de tu cuenta raíz.

Parte C · La CLI con tu identidad, sin claves.

  1. Instala o actualiza la AWS CLI versión 2 siguiendo la guía oficial de instalación para tu sistema (en el buscador, “Install AWS CLI”). Ejecuta aws --version: necesitas la 2.32.0 o posterior.
  2. Ejecuta aws login. Cuando te pida la Región, escribe el código de la que elegiste en la Sesión 2, como sa-east-1. Se abre el navegador: elige la sesión de estudio-diario o entra con él, y vuelve a la terminal.
  3. Ejecuta aws sts get-caller-identity. La respuesta muestra tu número de cuenta y un identificador que termina en user/estudio-diario: eso es la autenticación.
  4. Ejecuta aws iam list-groups. Aparece lectura-estudio: estás autorizado a leer.
  5. Ejecuta aws iam create-group --group-name prueba-escritura. Recibes un error AccessDenied: autenticado, pero no autorizado. Es el mínimo privilegio funcionando.
  6. Ejecuta aws logout para borrar las credenciales temporales de tu equipo. Si no las borras, caducan solas en 12 horas como máximo.

Si no puedes instalar la CLI: entra como raíz y añade al grupo lectura-estudio el permiso AWSCloudShellFullAccess (IAM › User groups › lectura-estudio › Permissions › Add permissions). Luego entra como estudio-diario, abre CloudShell con su icono junto al buscador y haz los pasos 14 a 16. Si no ves el icono, cambia a otra Región en el selector.

Comprueba: puedes explicar por qué el paso 14 funcionó y el 16 no, con las palabras autenticación y autorización.

Limpieza: conserva estudio-diario y lectura-estudio: desde ahora entras con este usuario, y en la Sesión 5 le añadirás MFA y ajustarás sus permisos. Si añadiste AWSCloudShellFullAccess, quítalo del grupo con Remove. Si una pantalla te ofreció claves de acceso y las creaste, bórralas: en Users › estudio-diario › Security credentials › Access keys, usa Actions › Deactivate y luego Delete. Si abandonas el curso, borra el usuario y el grupo desde sus listas con Delete.

Parte D · Repartir permisos (en papel, 5 min). Para Seguros Atalaya, decide qué grupos crearías y qué podría hacer cada uno. Hay dos desarrolladores que crean y borran entornos de prueba. Un analista solo consulta gastos, y una persona de soporte solo ve el estado de los recursos.

Comprueba: tres grupos, uno por función; ningún grupo con permisos de administrador; nadie comparte usuario; el analista y soporte, solo lectura de lo suyo.

50