Usuarios, grupos, roles y políticas de IAM, y el principio de mínimo privilegio

AWS Identity and Access Management (IAM) controla quién puede iniciar sesión en tu cuenta de AWS (autenticación) y qué tiene permitido hacer (autorización). IAM es un servicio global, no ligado a una Región, y está disponible sin cargo adicional. Es el núcleo de la responsabilidad de seguridad del cliente, porque casi todas las fallas de seguridad en AWS se reducen a que alguien tenga un acceso que no debería tener. IAM tiene cuatro bloques básicos. Un usuario de IAM (IAM user) es una identidad para una persona o aplicación, con credenciales de largo plazo: una contraseña para la consola y, de forma opcional, claves de acceso para la interfaz de línea de comandos (CLI) y los kits de desarrollo de software (SDK). Un grupo de IAM (IAM group) es un conjunto de usuarios; adjuntas los permisos al grupo y cada miembro los hereda. Los grupos no pueden contener otros grupos, y un grupo no es una identidad que pueda iniciar sesión. Un rol de IAM (IAM role) es una identidad con permisos pero sin credenciales de largo plazo. En su lugar, una entidad de confianza asume el rol y recibe credenciales temporales de AWS Security Token Service (AWS STS). Las políticas definen los permisos en sí.