Federación de identidades y SSO
Si ya sabes qué son la federación de identidades, SAML y el SSO, salta a AWS IAM Identity Center.
Qué es: la federación hace que AWS confíe en un proveedor de identidad (identity provider, IdP) externo, como el directorio de empleados de tu empresa. La persona entra allí, y AWS le da un rol con credenciales temporales, sin crearle un usuario de IAM. El inicio de sesión único (single sign-on, SSO) es su consecuencia: entras una vez y accedes a varias aplicaciones y cuentas. Para entenderse, el IdP y AWS usan estándares abiertos: SAML 2.0, típico de directorios corporativos como Microsoft Active Directory, y OpenID Connect (OIDC), típico de proveedores web.
Analogía: el pasaporte y la visa. Tu país emite el pasaporte (el IdP te identifica) y el otro país confía en él y te da una visa temporal (el rol). Dónde falla la analogía: la visa la decide el país que te recibe, y aquí también: los permisos salen del rol de AWS, no del IdP.
Ejemplo real: Grupo Cumbre tiene 800 empleados en su Active Directory. Si crea 800 usuarios de IAM, cada baja exige borrar un usuario más, y alguno se olvida. Con federación, desactivar a alguien en el directorio le corta también el acceso a AWS.
Úsalo cuando: la empresa ya tiene un directorio de identidades o varias cuentas de AWS. No lo uses cuando: se trata de los clientes de tu aplicación web o móvil; para ellos existe Amazon Cognito, en el catálogo de esta sesión.
En el examen: “usar las credenciales corporativas existentes”, “Active Directory” o “SAML” para entrar a AWS apuntan a federación, y casi siempre a IAM Identity Center.
Trampa común: federar no crea usuarios de IAM. La persona existe solo en el IdP; en AWS recibe un rol con credenciales temporales.