Responsabilidad de AWS vs del cliente

Elemento	Máquina virtual que administras (IaaS)	Servicio administrado
Edificios, vigilancia y hardware	AWS	AWS
Red global, Regiones, AZ y ubicaciones perimetrales	AWS	AWS
Software que hace funcionar el servicio	AWS	AWS
Sistema operativo y sus parches	Tú	AWS
Tus aplicaciones y sus parches	Tú	Tú, si el servicio ejecuta tu código
Reglas de firewall y configuración del recurso	Tú	Tú
Tus datos y su cifrado	Tú	Tú
Usuarios y permisos de tu cuenta	Tú	Tú

Principio de mínimo privilegio

Qué es: dar a cada persona o programa solo los permisos que necesita para su tarea, y nada más. Si un permiso no se usa, se quita.

Analogía: la tarjeta de un hotel. Abre tu habitación y el gimnasio, y deja de funcionar el día que te vas; no abre la cocina ni las demás habitaciones. Dónde falla la analogía: el hotel decide solo qué abre tu tarjeta. En AWS nadie lo calcula por ti: lo habitual es empezar con permisos amplios predefinidos e ir recortándolos a medida que sabes qué necesita cada tarea.

Ejemplo real: en Editorial Faro, una diseñadora solo sube portadas a un almacenamiento de imágenes. Su usuario puede subir archivos ahí y nada más. Un día le roban la contraseña: el atacante no puede borrar la base de datos de ventas ni crear servidores para minar criptomonedas, porque esa identidad nunca tuvo esos permisos.

Úsalo cuando: des acceso a cualquier persona, aplicación o servicio, y cuando revises accesos antiguos. No lo uses cuando: pienses que significa “sin permisos”: una identidad que no puede hacer su trabajo empuja a la gente a compartir credenciales con más poder, que es peor.