Creación de usuarios administrador y practicante en AWS IAM

Clase 6 de 69 • Curso de AWS Certified Solutions Architect Associate

Resumen

Dominar la creación y gestión de usuarios en AWS IAM es esencial para administrar permisos y accesos seguros dentro de AWS. En esta ocasión, exploraremos paso a paso cómo configurar dos tipos específicos de usuarios: uno con acceso total de administrador y otro con permisos limitados para practicantes. Aprenderás a asociar políticas gestionadas por AWS y a definir tus propias restricciones mediante un editor visual, garantizando así el nivel adecuado de acceso a tus recursos en la nube.

¿Qué usuarios necesitamos crear en AWS IAM?

Para administrar adecuadamente el acceso a los distintos recursos en AWS, es fundamental entender los tipos de usuarios que necesitamos crear:

Un usuario administrador, que tendrá acceso total y políticas amplias gestionadas directamente por AWS.
Un usuario para practicante, que tendrá acceso limitado y restringido, especialmente al servicio EC2.

Cada usuario requiere políticas específicas, que serán adjuntadas para controlar sus autorizaciones de acceso.

¿Cómo establecer las políticas del usuario administrador?

Para asignar las políticas al usuario administrador, puedes emplear políticas gestionadas directamente por AWS, que ya tienen una estructura definida y ofrecen configuraciones estándar para usuarios con responsabilidades de alto nivel. Al adjuntar una de estas políticas, el usuario administrador obtiene acceso más amplio a distintas secciones y configuraciones de AWS, lo cual facilita las tareas administrativas que necesita ejecutar.

Entre las opciones adicionales que puedes administrar para este usuario se incluyen:

Grupos a los que pertenece.
Etiquetas para organizar y filtrar recursos.
Credenciales de seguridad necesarias para el acceso.
Información sobre el último acceso que realizó a los servicios.

¿Cómo configurar permisos específicos para el usuario practicante?

A diferencia del administrador, el usuario practicante requiere una política personalizada creada por ti desde el editor visual disponible en la consola de AWS IAM. Esta política específica incluirá restricciones precisas:

Negar todas las acciones en el servicio EC2, asegurando que no tenga acceso o capacidad operativa sobre instancias u otros recursos relacionados.

Esta configuración impide operaciones básicas como lanzar instancias, visualizar imágenes de Amazon (AMIs) disponibles y otras funciones asociadas al servicio, mostrando errores o accesos denegados en situaciones en que se intenta efectuar una acción restringida.

¿Cómo validar que las políticas funcionan correctamente?

La validación es una parte crucial del proceso de gestión de usuarios. Para verificar que las políticas creadas funcionan correctamente:

Inicia sesión con las credenciales del nuevo usuario desde una ventana de incógnito.
Observa dentro de la consola los accesos denegados o errores que se producen al intentar realizar operaciones restringidas como lanzar instancias en EC2.

Este proceso garantiza que los permisos funcionan según lo previsto y evita accesos involuntarios que puedan perjudicar la seguridad o integridad de la información y servicios alojados en AWS.

¿Te resultó útil el proceso y aclaró dudas sobre cómo gestionar usuarios y políticas en AWS IAM? Tu opinión es importante para seguir aprendiendo juntos.

Sergio Saavedra

student•

horrible como arruinan el flujo del curso, excelente profesor, excelentes explicaicones, mas quando quiero seguir escuchando mas, lanzas esas clases innecesarias de lectura, deerian ser opcionales o agregarlas a un lado del curso, no hagan eso, arruinan los cursos, lo mismo paso con el de kubernetes

Carlos Mario Mora Restrepo

student•

creo que hay un error de concepto en esta clase, acerca de la denegacion del usuario practicante. No tiene sentido crear una politica de solo denegacion a un recurso, ya que por defecto todo esta denegado al no tener una autorizacion declarada. Ademas, como la denegacion se superpone a la autorizacion, si en un futuro se requiriera que el practicante monitoreara instancias, esta politica de denegacion cancelaria esa opcion.

Juan Osorio

teacher•

Conviene definir Deny explícitos cuando queremos asegurar que, aunque existan otros “Allow” potenciales, nunca se pueda realizar cierta acción. en nuestro escenario actual no existe ningún “Allow” sobre ese recurso, basta con no darle permisos y no necesitamos una política de Deny adicional.

Enrique Alexis Lopez Araujo

student•

En AWS IAM, por defecto, todo está denegado a menos que se establezca una política de permiso explícito. Por lo tanto, si se crea una política que únicamente deniega acceso a un recurso, efectivamente puede limitar futuras autorizaciones. Para un usuario practicante, es mejor establecer permisos específicos que permitan el acceso necesario en lugar de una negación amplia. Esto ofrece más flexibilidad en la gestión de permisos y evita conflictos en el futuro.

Juan Osorio

teacher•

En efecto profe :)

Platzi Team

student•

Hacerlo asi seria una mala practica ? {

"Version": "2012-10-17",

"Statement": [

{

"Sid": "AllowAllExceptEC2",

"Effect": "Allow",

"Action": "*",

"Resource": "*"

{

"Sid": "DenyAllEC2Actions",

"Effect": "Deny",

"Action": "ec2:*",

"Resource": "*"

}

]

}

José Porfirio Carrillo Echenique

student•

AL FINNNN! Un curso que se basa en la vida real. Excelente por eso.

Juan Osorio

teacher•

Isaías Chávez Martínez

student•

Que horror apenas voy empezando el curso y ya me perdí absolutamente, cómo que ya había un usuario creado

Juan Osorio

teacher•

Isaías, lograste crear los usuarios con sus politicas?

Juan David Maldonado Gómez

student•

Vale, pero lo que dices «En la clase anterior», es sólo un texto, si? Porque a mí no me aparece un video de la clase anterior, y por eso creo que este video carece de alguna explicación anterior.

O el texto sería suficiente para tomar esta clase?

Juan Osorio

teacher•

Asi es! es una clase de lectura

Agustina Bussi

teacher•

Si! algunas clases teóricas son de lectura, para que puedan consultar más eficientemente el material y los códigos =)

Juan David Maldonado Gómez

student•

Creo que hay un error ( o estoy mal), pero aquí dice que se han estudiado varias partes del servicio de Amazon, Usuarios, roles…, pero la cosa anterior es sólo un texto, me falta algo?

Juan Osorio

teacher•

Hola!! en efecto en la clase anterior revisamos algunos conceptos fundamentales del servicio de IAM, como usuarios, grupos y roles. En esta clase vemos directamente en la consola un ejercicio con roles!!!

Irving Juárez

student•

Pero el usuario practicante literalmente no puede hacer nada en aws

Ricardo Garzón Medina

student•

Muy buena práctica, gracias. Solo quede un poco despistado cuando se le asignó Deny a un usuario nuevo que no tiene nada de permisos, pero ya vi en otro comentario que es importante cuando se tiene usuarios con accesos y se quiere asegurar que no ingresen a un recurso o servicio específico.

Juan Carlos Quishpe

student•

Asignación de tarea de usuarios IAM Se recibe una instrucción para crear dos usuarios IAM: uno con permisos administrativos completos para un ingeniero senior y otro para un practicante con acceso restringido, especialmente sin permisos sobre el servicio EC2.

Acceso al servicio IAM desde la consola Se accede al servicio IAM desde la consola de AWS, ya sea por la barra de búsqueda o desde los servicios recientes, para gestionar usuarios, roles, permisos y políticas.

Creación de usuarios IAM Se crean dos usuarios: un administrador con una política gestionada por AWS (AdministratorAccess) y un practicante con una política personalizada que se crea desde el editor visual.

Asignación de políticas a usuarios Se asignan políticas a cada usuario. El usuario administrador recibe una política predefinida de AWS con acceso total, mientras que al practicante se le asigna una política personalizada que deniega el acceso a EC2.

Revisión de los usuarios creados Se verifica que ambos usuarios hayan sido creados correctamente con sus respectivas políticas asignadas. La política del administrador es amplia y gestionada por AWS; la del practicante es restrictiva y personalizada.

Prueba del usuario practicante Se accede con el usuario practicante desde una ventana de incógnito para validar que la política restrictiva funciona. Se comprueba que no puede lanzar instancias ni usar APIs de EC2, cumpliendo con lo solicitado.

Validación de denegación en EC2 Durante la prueba, se intentan acciones dentro del servicio EC2 que fallan debido a los permisos denegados, demostrando la efectividad de la política asignada al practicante.

Resumen de conceptos aprendidos Se refuerzan los conceptos clave: creación de usuarios IAM, asignación de políticas administradas por AWS y personalizadas, acceso a la consola, y uso de herramientas como el editor visual y el formato JSON para definir permisos.