La Gestión de Usuarios y Recursos en Amazon AWS es esencial para administrar de forma segura quién tiene acceso a qué servicios y cómo se utilizan los recursos en la nube. Esta gestión gira principalmente en torno a AWS Identity and Access Management (IAM), pero también involucra herramientas como AWS Organizations, AWS Resource Groups y etiquetado (tagging) de recursos.
🧑💼 1. Gestión de Usuarios con IAM (Identity and Access Management)
✅ ¿Qué es IAM?
AWS IAM te permite crear y gestionar usuarios, grupos, roles y políticas para controlar el acceso a los recursos de AWS.
🧾 Elementos clave de IAM:
- Usuarios: Identidades permanentes para personas u otros servicios.
- Grupos: Colecciones de usuarios que comparten permisos.
- Roles: Identidades temporales usadas por servicios o usuarios externos (como federación o acceso entre cuentas).
- Políticas: JSONs que definen permisos (acciones, recursos y condiciones).
🛡️ Buenas prácticas de seguridad en IAM:
PrácticaDescripción🚫 No usar la cuenta raízSolo para tareas excepcionales. Protege con MFA.🔐 Activar MFAObligatorio para usuarios con permisos sensibles.📄 Usar políticas con privilegios mínimos“Menos es más” para evitar accesos indebidos.⏳ Usar roles temporalesEspecialmente en entornos productivos.🧪 Revisar permisos con IAM Access AnalyzerDetecta accesos no intencionales.
🗃️ 2. Gestión de Recursos con Etiquetas (Tags)
¿Qué son las etiquetas?
Son pares clave-valor que puedes asignar a casi cualquier recurso en AWS (EC2, S3, RDS, Lambda, etc.).
¿Para qué sirven?
- Organización por proyecto, entorno, dueño, etc.
- Filtrado y agrupación de recursos en la consola.
- Control de costos (Cost Explorer puede agrupar por tags).
- Aplicar políticas IAM basadas en tags.
{
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*",
"Condition": {
"StringEquals": {
"aws:RequestTag/project": "mi-app"
}
}
}
🏢 3. Gestión de Cuentas con AWS Organizations
¿Qué es AWS Organizations?
Permite agrupar varias cuentas AWS bajo una jerarquía centralizada y aplicar políticas de control (SCPs).
Beneficios:
- Control centralizado de facturación y acceso.
- Separación por entornos (producción, desarrollo, testing).
- Aplicación de políticas restrictivas a nivel de cuenta o unidad organizativa.
- Consolidación de costos.
🧰 4. Resource Groups
Permiten agrupar recursos de distintos tipos (EC2, RDS, Lambda, etc.) bajo un mismo conjunto lógico, usualmente con tags comunes.
- Filtra recursos fácilmente.
- Aplica acciones sobre múltiples recursos.
- Útil para administración a escala.
📊 5. Monitoreo y Auditoría
ServicioUsoCloudTrailAudita toda la actividad (quién hizo qué, cuándo y desde dónde).IAM Access AnalyzerRevisa quién puede acceder a tus recursos desde fuera de tu cuenta.ConfigHistoriza configuraciones de recursos y detecta cambios.CloudWatch LogsMonitorea y genera alertas sobre comportamiento del sistema.
🧠 Ejemplo de flujo para una empresa:
- Se crean cuentas independientes para cada departamento con AWS Organizations.
- En cada cuenta:
- Se crean grupos IAM como "developers", "ops", etc.
- Cada grupo tiene permisos limitados a sus recursos (por tags o por servicios).
- Se crean roles con MFA obligatorio para acciones administrativas.
- Todos los recursos se etiquetan por proyecto, entorno y dueño.
- Se usan SCPs para evitar creación de ciertos servicios fuera de política.
- Se audita actividad con CloudTrail y se revisa mensualmente con Access Analyzer.
