IAM vs IAM Identity Center vs Cognito vs Directory Service

CLF-C02Sesión 5 · Políticas, roles y federación

Criterio	IAM	IAM Identity Center	Amazon Cognito	AWS Directory Service
Para quién	Usuarios, roles y servicios de una cuenta	Personal de la empresa	Clientes de tus aplicaciones web y móviles	Aplicaciones que necesitan Microsoft Active Directory
Qué resuelve	Quién entra a la cuenta y qué puede hacer	SSO a varias cuentas y aplicaciones	Registro e inicio de sesión de tus clientes	Un Active Directory administrado o conectado al tuyo
Palabra clave en el examen	“Permisos”, “roles”, “políticas”	“Varias cuentas”, “SSO”, “portal”	“Usuarios de la app”, “Google o Facebook”, “registro”	“Active Directory administrado”

Catálogo de la sesión

AWS Directory Service: Microsoft Active Directory administrado por AWS, o un conector a tu Active Directory propio, para aplicaciones y servicios que lo necesitan.
Amazon Cognito: registro, inicio de sesión y gestión de los usuarios de tus aplicaciones web y móviles, incluido el acceso con Google, Apple o Facebook.

Una política de IAM es un JSON con Effect, Action, Resource y, opcional, Condition. Todo está negado por defecto, y un Deny explícito gana a cualquier Allow.
Las políticas pueden ser administradas por AWS, administradas por el cliente o en línea.
Un rol se asume y da credenciales temporales de STS: sirve para servicios de AWS, acceso entre cuentas y permisos por un rato.
El usuario raíz es solo para sus tareas exclusivas, como cerrar la cuenta o cambiar su correo; se protege con MFA y sin claves de acceso.
MFA: passkeys y llaves de seguridad, apps o tokens TOTP, hasta ocho por usuario. La federación y IAM Identity Center dan SSO a tu personal; Cognito, a tus clientes.