Credenciales y política de contraseñas

Qué es: las credenciales son lo que prueba quién eres ante AWS. Un usuario de IAM puede tener tres tipos:

• Contraseña: para la consola.
• Claves de acceso (access keys): un identificador y un secreto para la CLI, los SDK o la API. Son de larga duración: valen hasta que las borras. AWS recomienda evitarlas y, si no hay alternativa, rotarlas y borrar las que no se usan.
• Credenciales temporales: las que entrega STS al asumir un rol o al usar aws login. Caducan solas.
• Secretos de una aplicación, como la contraseña de otro sistema que usa: no van en el código; un servicio los guarda y los rota por ti (AWS Secrets Manager, Sesión 14).

La política de contraseñas de la cuenta fija las reglas de las contraseñas de los usuarios de IAM. Si no la cambias, AWS exige al menos 8 caracteres y tres de cuatro tipos (mayúsculas, minúsculas, números y símbolos), sin caducidad. Puedes pedir de 6 a 128 caracteres, caducidad de 1 a 1.095 días e impedir repetir hasta 24 contraseñas anteriores. No aplica al usuario raíz.

Úsalo cuando: definas cómo entra cada identidad: contraseña para la consola y credenciales temporales para lo demás. Un desarrollador que sube sus claves de acceso a un repositorio público le da su identidad a cualquiera; con credenciales temporales, el daño caduca solo. No lo uses cuando: te tiente crear claves de acceso para trabajar desde tu equipo; aws login o un rol te dan credenciales temporales sin ese riesgo.