Detecta recursos AWS expuestos con Access Analyzer

Curso de AWS Certified Solutions Architect Associate

Contenido del curso

Fundamentos de AWS

Identidad, Acceso y Gobernanza Multicuenta

Servicios de Computo en AWS

Contenedores en AWS

Redes en AWS

Escalamiento y balanceo en AWS

Almacenamiento en AWS

Bases de datos en AWS

Migración en AWS

Monitoreo y Auditoria en AWS

DNS y CDN en AWS

Servicios de Seguridad

Serverless

Servicios de Datos en AWS

Servicios de AI y ML em AWS

64
Servicios de IA y ML en AWS
04:09 min

Servicios de Backup y Recuperación ante desastres

Architect Solutions Certificate

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:004:38

Detecta recursos AWS expuestos con Access Analyzer

Curso de AWS Certified Solutions Architect Associate

Clase 8 de 69

Clase 8 / 69

Recursos

¿Sabrías identificar si un recurso de tus cuentas AWS está expuesto de forma insegura, como un bucket de S3 de tu banco? Para responder a esa pregunta existe AWS IAM Access Analyzer, la herramienta que te ayuda a definir, verificar y afinar tus políticas de IAM aplicando el principio de privilegio mínimo.

¿Qué es AWS IAM Access Analyzer y dónde se encuentra?

Access Analyzer vive dentro del servicio IAM, en el menú lateral bajo Access reports. Al entrar verás un panel inicial con el funcionamiento, beneficios y secciones de precios.

¿Qué hace IAM Access Analyzer? Detecta recursos de tu cuenta AWS compartidos con entidades externas y permisos que no estás utilizando, para que ajustes tus políticas con privilegio mínimo.

Lo primero que harás dentro de la consola es crear un analizador, cuyos hallazgos se llaman findings. Existen dos tipos de análisis disponibles, cada uno con un objetivo distinto.

¿Qué tipos de analizadores puedes crear?

Los dos tipos de detección que ofrece la herramienta son:

Accesos externos: identifican recursos de tu cuenta que están siendo compartidos con cuentas distintas a la tuya.
Accesos no utilizados: detectan roles, usuarios, claves y contraseñas que no se han usado, ideales para eliminar permisos innecesarios.

El análisis de accesos no utilizados conlleva costos adicionales, así que conviene revisar la sección de precios de AWS antes de habilitarlo.

¿Cómo se ve un finding de acceso externo en la consola?

Al crear un analizador de accesos externos en una región, por ejemplo Virginia, la herramienta empieza a generar detecciones de cross account access. Cada hallazgo aparece con un identificador único en el panel.

Al hacer clic en el identificador, la consola te muestra información detallada y accionable:

El recurso afectado, por ejemplo un IAM role específico.
La cuenta externa con la que se está compartiendo.
El propietario del recurso, es decir, tu cuenta actual.
Un enlace directo que abre el rol en la consola IAM para revisarlo.

Así confirmas con quién estás compartiendo qué, y decides si ese acceso debe mantenerse o revocarse.

¿Qué es un finding en Access Analyzer? Es una detección automática que señala un recurso compartido con una entidad externa o un permiso sin uso, junto con su identificador, recurso y cuenta involucrada.

¿Para qué sirve el Credential Report en IAM?

Dentro de la misma sección de reportes de acceso encontrarás el Credential Report, un archivo descargable que lista todos los usuarios de tu cuenta y sus credenciales. Es el complemento perfecto para auditar quién tiene acceso y desde cuándo.

Al descargarlo, por ejemplo después de haber creado un usuario administrador y un usuario intern, el reporte te entrega información clave para tomar decisiones:

Fecha de creación de cada usuario.
Si la contraseña está activa.
La última vez que el usuario se utilizó.
Estado de las claves de acceso asociadas.

Esa foto es la que necesitas para limpiar usuarios inactivos y reforzar el principio de privilegio mínimo en cuentas que crecen rápido.

¿Qué información trae un Credential Report de AWS? Lista usuarios IAM con su fecha de creación, estado de contraseña, último uso y claves de acceso, en un archivo descargable desde la consola.

¿Por qué importa esto cuando tu organización escala?

Cuando un banco crece exponencialmente, comparte recursos con otras cuentas y crea múltiples usuarios, perder visibilidad es cuestión de tiempo. Mantener registro de qué se comparte y quién está activo deja de ser opcional.

Imagina que tu banco acaba de adquirir una empresa con más de 200 cuentas AWS. Sin Access Analyzer y sin Credential Report, auditar accesos externos y permisos sin uso en ese volumen sería prácticamente inviable.

Por eso conviene dominar estas herramientas antes del salto de escala: te permiten aplicar privilegio mínimo de forma sistemática y detectar exposiciones inseguras antes de que se conviertan en incidentes. ¿Ya identificaste cuáles de tus recursos están compartidos con cuentas externas? Cuéntame en los comentarios qué hallazgo te sorprendió más.

Fundamentos de AWS

Certificación AWS Solutions Architect Associate: Fundamentos y Preparación

Preparación para certificación AWS Arquitecto de Soluciones

Configuración de presupuestos en AWS para controlar costos

Los 6 pilares del Well-Architected Framework

Identidad, Acceso y Gobernanza Multicuenta

Cómo evitar brechas de seguridad con IAM

Creación de usuarios administrador y practicante en AWS IAM

Gestión de cuentas con AWS Organizations

Detecta recursos AWS expuestos con Access Analyzer

Cómo gestionar múltiples cuentas AWS

Servicios de Computo en AWS

Servicios de cómputo AWS: EC2, procesadores Graviton y AMIs

Compute Savings Plan para EC2 y Lambda

Cómo lanzar tu primera instancia EC2

Optimizar latencia en EC2 con tenencia dedicada

Cómo consultar metadatos de EC2 con IMDSv2

AWS Outposts: ejecutar AWS en tu data center

Despliegue de app web en Elastic Beanstalk

Contenedores en AWS

Contenedores en AWS: ECS, EKS y ECR

Gestión de imágenes de contenedores con ECR y Fargate

Configuración de clusters, tareas y servicios en Amazon ECS

Redes en AWS

Direccionamiento IP y bloques CIDR para redes AWS

NAT Gateway para subredes privadas en AWS

Configuración de instancias públicas y privadas con NAT Gateway

NACL y Security Groups en AWS

Cómo reparar un Security Group en EC2

Conectividad híbrida en AWS: VPC Peering, Transit Gateway y Endpoints

Escalamiento y balanceo en AWS

Tipos de balanceadores de carga en AWS

Configuración de balanceadores de carga en AWS para alta disponibilidad

Autoescalamiento en EC2 con Auto Scaling Groups

Cómo crear un Auto Scaling Group en EC2

Almacenamiento en AWS

Tipos de almacenamiento en AWS: EBS, EFS y S3

Instance Store vs EBS en AWS

EFS vs FSx para compartir archivos en AWS

Creación y configuración de volúmenes EBS en AWS

Transfer Acceleration para datos globales en S3

Configuración de EFS para compartir almacenamiento entre instancias

Recuperar objetos borrados en Amazon S3

Bases de datos en AWS

Bases de datos relacionales vs no relacionales en AWS

Cómo funciona DynamoDB en AWS

Creación y configuración de bases de datos Dynamo en AWS

Elasticache y DAX

RDS vs Aurora: réplicas y alta disponibilidad

Cómo configurar Aurora con alta disponibilidad en RDS

Migración en AWS

Estrategias de migración AWS: las 6 R para trasladar aplicaciones

Cómo migramos 500 TB a AWS sin downtime

Migración de datos con AWS Snow Family: opciones y características

DMS y SCT para migrar bases de datos en AWS

Monitoreo y Auditoria en AWS

CloudTrail y EventBridge en arquitecturas AWS

Monitoreo de AWS con CloudWatch

DNS y CDN en AWS

Zonas locales y de borde en AWS

CloudFront vs Global Accelerator en AWS

Failover en Route 53 para arquitectura activo-pasiva

Configuración de políticas de geoproximidad en AWS Route 53

Servicios de Seguridad

KMS vs CloudHSM para datos regulados

AWS Shield y WAF contra ataques DDoS

Servicios AWS para detectar vulnerabilidades

GuardDuty y Trusted Advisor para detectar amenazas en AWS

Serverless

API Gateway y Lambda en arquitecturas serverless

Creación y configuración de funciones Lambda para automatización

AWS SQS: Tipos de filas y configuración para arquitecturas serverless

AWS SNS y Step Functions para comunicación y workflows visuales

Servicios de Datos en AWS

Servicios de datos en AWS para tu examen

Kinesis, EMR, Glue

Casos de uso de Amazon Redshift en AWS

Servicios de AI y ML em AWS

Servicios de IA y ML en AWS

Servicios de Backup y Recuperación ante desastres