Usuario, grupo, rol y política

Criterio	Usuario	Grupo	Rol	Política
Qué es	Identidad de una persona o aplicación	Conjunto de usuarios	Identidad que se asume	Documento JSON con permisos
Credenciales	Contraseña y, si las creas, claves de acceso (larga duración)	Ninguna	Temporales, entregadas por STS	Ninguna
Para qué	Alguien que entra a la cuenta	Dar los mismos permisos a varios	Servicios, otras cuentas, permisos por un rato	Definir qué se permite o niega
Palabra clave en el examen	“Una identidad por persona”	“Varios usuarios, mismos permisos”	“Temporal”, “entre cuentas”, “servicio”	“Documento JSON”, “Allow/Deny”

Usuario raíz

Qué es: la identidad que se crea con la cuenta, con el correo y la contraseña del registro. Tiene acceso total a todo, y no se le pueden adjuntar políticas de IAM para recortarlo.

Analogía: las escrituras de tu casa. Con ellas puedes venderla, así que las guardas y solo las sacas para los trámites que las exigen. Dónde falla la analogía: si pierdes las escrituras, la casa sigue siendo tuya. Si alguien obtiene la contraseña y el MFA del usuario raíz, puede cerrar la cuenta o dejarte fuera, y ninguna política de IAM lo frena.

Ejemplo real: en Seguros Atalaya, de la Sesión 4, el usuario raíz tiene passkey, contraseña larga y ninguna clave de acceso; el equipo trabaja con usuarios de IAM. Así se responde la pregunta 1 del inicio: el raíz no se usa a diario porque nadie puede limitarlo, y cada uso es un riesgo innecesario.

Úsalo cuando: la tarea está en la lista del bloque siguiente. No lo uses cuando: la tarea la puede hacer un usuario o un rol con permisos, aunque sea más rápido entrar como raíz.