¿Qué es IAM y cómo funciona IAM en AWS?

IAM (Gestión de Identidad y Acceso) se encuentra bajo el servicio de “Seguridad, Identidad y Cumplimiento” en AWS (Amazon Web Services). Nos permite gestionar el acceso a los servicios y recursos de AWS de manera segura. Usando IAM podemos crear y gestionar usuarios, grupos, roles de AWS y usar permisos para permitir o denegar su acceso a los recursos de AWS.

IAM viene con “ sin cargo adicional” y solo se nos cobra por otros servicios de AWS que utilizamos.

AWS IAM nos ayuda a:

• Gestionar usuarios y su acceso:
  Podemos crear usuarios en IAM, asignarles credenciales de seguridad individuales. Podemos gestionar permisos para controlar qué operaciones puede realizar un usuario y cuáles no.
• Gestionar roles y sus permisos:
  Podemos crear roles en IAM y gestionar permisos para controlar qué operaciones pueden ser realizadas por la entidad, o servicio de AWS, que asume el rol.
• Gestionar usuarios federados y sus permisos:
  Podemos habilitar la federación de identidad para permitir que usuarios, grupos y roles existentes en nuestra empresa accedan a la Gestión de AWS.

Para entender el servicio IAM más en detalle, puedes consultar la documentación oficial de AWS.

En este artículo, veremos cómo crear un usuario IAM, un grupo, un rol IAM, asignar permisos y crear una política personalizada.

Nota: IAM no pertenece a una región particular y abarca toda la cuenta de AWS.

Requisitos previos

1. Cuenta de AWS (Crea una si no tienes una).

Lo que haremos

1. Iniciar sesión en AWS.
2. Crear un usuario IAM.
3. Crear un grupo IAM y agregarle un usuario.
4. Crear un rol IAM.
5. Crear una política IAM.

Iniciar sesión en AWS

1. Haz clic aquí para ir a la página de inicio de sesión de AWS.

Cuando hacemos clic en el enlace anterior, veremos una página web como la siguiente donde se nos requiere iniciar sesión usando nuestros datos de acceso.

Una vez que iniciemos sesión en AWS con éxito, veremos la consola principal con todos los servicios listados como sigue.

Crear un usuario IAM

Un usuario (IAM) es una entidad que creamos en AWS para representar a la persona o aplicación que lo utiliza para interactuar con AWS. Un usuario en AWS consiste en un nombre y credenciales.

Haz clic en “ Servicios ” en la esquina superior izquierda y verás una pantalla con todos los servicios. Busca “ IAM ” bajo “ Seguridad, Identidad y Cumplimiento ” y haz clic en “ IAM ”

Verás un Panel de Control. Esta es la página de inicio para IAM. Haz clic en “ Usuarios ” en el panel izquierdo.

Haz clic en “ Agregar usuario ” para crear un nuevo usuario.

Aquí, dale un nombre al usuario que se va a crear. Podemos crear un usuario con dos tipos de acceso diferentes.

1. Acceso programático:
   Podemos realizar operaciones en la cuenta de AWS desde la API de AWS, CLI, SDK y otras herramientas de desarrollo usando este tipo de acceso.
2. Acceso a la Consola de Gestión de AWS:
   Este tipo de acceso permite a un usuario iniciar sesión en la Consola de Gestión de AWS.

En este artículo, crearemos un usuario con “ acceso a la Consola de Gestión de AWS ”.

Una vez que hagas clic en “ acceso a la Consola de Gestión de AWS ”, obtendrás un campo para asignar una contraseña al usuario.

Podemos tener “ Contraseña autogenerada ” o “ Contraseña personalizada ”. Aquí, seleccionaremos “ Contraseña personalizada ” y asignaremos una contraseña al usuario. Dependiendo del requisito, podemos obligar a un usuario a cambiar la contraseña en su próximo inicio de sesión. Aquí, déjalo como está. Haz clic en “ Siguiente: Permisos ” para continuar y asignar los permisos.

En la siguiente pantalla, haz clic en “ Adjuntar políticas existentes directamente ” y busca “ readonlyaccess ” y selecciona la casilla de verificación como se muestra en la siguiente pantalla. Al dar “ ReadOnlyAccess ”, el usuario no podrá crear ninguno de los recursos de AWS. Puedes revisar la lista de permisos para entenderlos. Haz clic en “ Siguiente: Etiqueta ” para continuar.

Asignar etiquetas es opcional, pero ayuda a organizar, rastrear o controlar el acceso para este usuario. Haz clic en “ Siguiente: Revisar ” para continuar y crear un usuario.

Revisa la configuración y haz clic en “ Crear usuario ” para crear un usuario.

Haz clic en “ Descargar .csv ” que contiene “ enlace de inicio de sesión de la consola ”. En caso de crear un usuario con “ acceso programático ”, este archivo es muy importante ya que contendrá “ ID de clave de acceso ” y “ clave de acceso secreta ” necesarias para obtener acceso. Ahora, puedes hacer clic en “ Cerrar ” ya que hemos creado nuestro primer usuario.

Crear un rol IAM

Un rol IAM es una identidad IAM que podemos crear en nuestra cuenta de AWS que tiene permisos específicos. Es similar a un usuario IAM con políticas de permisos que determinan lo que la identidad puede y no puede hacer en AWS. El rol IAM permite a los servicios de AWS realizar acciones en nuestro nombre.

En la página de inicio de IAM, haz clic en “ Roles ” en el panel izquierdo. Haz clic en “ Crear rol ”.

En este artículo, crearemos un rol para el Servicio Lambda. Haz clic en “ Lambda ” y haz clic en “ Siguiente: Permisos ”.

En el cuadro de búsqueda, busca “ ec2readonlyaccess ” y marca la casilla de verificación para la política “ AmazonEC2ReadyOnlyAccess ”. Esto dará acceso “ solo de lectura ” a la función Lambda en el Servicio EC2. Haz clic en “ Siguiente: Etiquetas ”.

Agregar etiquetas es opcional, pero se puede usar para organizar, rastrear o controlar el acceso para este rol. Haz clic en “ Siguiente: Revisar ” para continuar.

Dale un nombre al rol, agrega una descripción y haz clic en “ Crear rol ”. Esto creará un rol que permitirá a las funciones de Lambda llamar a los servicios de AWS en tu nombre con “ ReadOnlyAccess ” en el servicio “ EC2 ”.

Crear un grupo IAM

Un grupo IAM es una colección de usuarios IAM. Podemos especificar permisos para múltiples usuarios usando roles, lo que puede facilitar la gestión de los permisos para esos usuarios.

En la página de inicio de IAM, haz clic en “ Grupos ” en el panel izquierdo. Haz clic en “ Crear nuevo grupo ”.

Especifica un nombre y haz clic en “ Siguiente paso ”.

Busca “ readonlyaccess ”, desplázate hacia abajo y marca la casilla de verificación. Haz clic en “ Siguiente paso ”.

Revisa la configuración y haz clic en “ Crear grupo ”.

Ahora, tenemos un grupo con “ ReadOnlyAccess ”, lo que significa que los usuarios que pertenecen a este grupo solo tendrán acceso “ de solo lectura ” a los recursos/servicios de AWS.

Regresa a la página de inicio de IAM y selecciona el grupo que acabamos de crear. Haz clic en “ Agregar usuarios al grupo ” para agregar nuestro usuario a este grupo.

Selecciona el usuario que creamos en el paso anterior y haz clic en “ Agregar usuarios ”. Esto agregará nuestro usuario al grupo que creamos con “ ReadOnlyAccess ”.

Crear una política IAM

Una política IAM es una entidad que se adjunta a una identidad o recurso para definir sus permisos.

En la página de inicio de IAM, haz clic en “ Políticas ” en el panel izquierdo. Haz clic en “ Crear política ”.

Haz clic en “ Servicio ” para seleccionar un servicio para el cual se necesita crear una política. Busca un servicio en el cuadro de búsqueda y selecciona el servicio.

Obtendrás una lista de permisos que se pueden asignar, aquí selecciona