Configuración IAM MFA

Clase 7 de 20 • Curso Práctico de AWS: Roles y Seguridad con IAM

Clase anteriorSiguiente clase

Mariano Levitan

student•

Configuré el MFA usando Authy. No conocía la app, está muy buena la voy a usar para otras cosas de ahora en mas :D

Enrique Alexis Lopez Araujo

student•

Lo uso siempre para mi dia a dia.

David De la Cruz

student•

Consuta, habilitar el MFA Authy con AWs tiene costo?

jaime andres quintero

student•

Yo personalmente uso estas cosas pero de software open source que yo mismo lo pueda montar. Uso mi propio servidor de bitwarden llamado bitwarden rs el cual maneja esta opcion de guardar los tokens de todas nuestras contraseñas, y en aplicacion ios uso tofu

Alfonso Andres Zapata Guzman

student•

Super interesante, las password yo las guardo sticky password, como por 20$ me compre lla licencia de por vida hace años y feliz a la fecha. No configuro nada y los password estan en el servidor de la empresa en copia de seguridad. Todas mis password son de 16 o mas caracteres. Y authy obviamente para complementar.

~ Que tal Platzinauta, ya conectamos en LinkedIn? ~

¡Que estas esperando! Conectemos en LinkedIn, GitHub, Medium, Redes sociales o unete al mejor servidor de Discord sobre Python y ciencia de datos en español.

Jesús David Vega Porras

student•

Si alguno, como yo, trató de crear este MFA en el usuario autoadministrado (no en el de root directamente), probablemente tendrán el mismo mensaje de que no tienen suficientes permisos para crear su propio MFA. Para ello deben crear una nueva politica con el siguiente JSON, y asignarla al grupo al que pertenece su usuario:

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowViewAccountInfo", "Effect": "Allow", "Action": "iam:ListVirtualMFADevices", "Resource": "" }, { "Sid": "AllowManageOwnVirtualMFADevice", "Effect": "Allow", "Action": [ "iam:CreateVirtualMFADevice" ], "Resource": "arn:aws:iam:::mfa/" }, { "Sid": "AllowManageOwnUserMFA", "Effect": "Allow", "Action": [ "iam:DeactivateMFADevice", "iam:EnableMFADevice", "iam:GetUser", "iam:ListMFADevices", "iam:ResyncMFADevice" ], "Resource": "arn:aws:iam:::user/${aws:username}" }, { "Sid": "DenyAllExceptListedIfNoMFA", "Effect": "Deny", "NotAction": [ "iam:CreateVirtualMFADevice", "iam:EnableMFADevice", "iam:GetUser", "iam:ListMFADevices", "iam:ListVirtualMFADevices", "iam:ResyncMFADevice", "sts:GetSessionToken" ], "Resource": "*", "Condition": { "BoolIfExists": {"aws:MultiFactorAuthPresent": "false"} } } ] }

Source: https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_aws_my-sec-creds-self-manage-mfa-only.html

Alfonso Andres Zapata Guzman

student•

En realidad no tuve ningún problema, y eso que aun tengo el usuario administrador que se creo en uno de los cursos anteriores de esta misma saga y profesor con AWS.

Igual tambien ya tengo configurado desde ese mismo curso anterior la alarma de gastos, la alarma la configure con el usuario administrador, luego de darle los permisos necesarios desde el usuario root.

~ Que tal Platzinauta, ya conectamos en LinkedIn? ~

¡Que estas esperando! Conectemos en LinkedIn, GitHub, Medium, Redes sociales o unete al mejor servidor de Discord sobre Python y ciencia de datos en español.

Wilbert J Galano Batista

student•

No me dio ningún error pero esta bueno el dato en el caso de que de como dice en el enlace que compartiste puede ocurrir si empiezas el proceso y no terminas. En fin me guardo el dato para si le sucede a algunos de mis clientes.

Samuel Quintana Tellez

student•

otra alternativa es 1Password, es de pago pero vale la pena cada centavo

DAVID GOMEZ CORTES

student•

Hola. Cual es la diferencia con los otros gestores de contraseña?

Alfonso Andres Zapata Guzman

student•

Super interesante, las password yo las guardo en sticky password, como por 20$ me compre la licencia de por vida hace años y feliz a la fecha. No configuro nada y los password estan en el servidor de la empresa en copia de seguridad. Todas mis password son de 16 o mas caracteres. Y authy obviamente para complementar.

~ Que tal Platzinauta, ya conectamos en LinkedIn? ~

¡Que estas esperando! Conectemos en LinkedIn, GitHub, Medium, Redes sociales o unete al mejor servidor de Discord sobre Python y ciencia de datos en español.

Juan Manuel Hincapié

student•

AWS nos hace unas recomendaciones de apps o dispositivos que nos permitirán acceder a la funcionalidad y protección ofrecida por el servicio de MFA.

Android Twilio Authy Authenticator, Duo Mobile, LastPass Authenticator, Microsoft Authenticator, Google Authenticator, Symantec VIP

iOS Twilio Authy Authenticator, Duo Mobile, LastPass Authenticator, Microsoft Authenticator, Google Authenticator, Symantec VIP

Activar MFA

Acceder a Security
MFA Activate MFA
Seleccionar el tipo de MFA que usaremos (en este caso virtual)
Escanear el QR Code desde la app seleccionada
Agregar nombre en la app
Agregar los códigos de validación

Diego Fernando Ramos Aguirre

student•

Gracias por el aporte.

Santiago Casallas Bohorquez

student•

Si tienes una MAC, tienes la oportunidad de poder autenticarse con la huella dactilar utilizando Apple ID

Iván Frías Gil

student•

Está muy bien esta app de Authy

Darlyn Bravo

student•

Yo uso OTP para esto, está disponible para Android y iPhone.

Jose Ramon Moreno Sanchez

student•

La prueba es con el usuario root y no con el de prueba que se creo hace unas clases, o me equivoco? 🤔 De ser así como se habilita el código MFA en el usuario de prueba?

Leonel Rojas

student•

Hola José. Te logueas con el usuario con el que quieres habilitar el MFA y sigues el mismo procedimiento del video.

Victor Rodriguez

student•

Jose, es valida tu pregunta. Hasta la clase anterior el usuario de prueba creado (no root) se habia sacado del grupo Administrator (que es el tiene permismos suficientes AdministratorAccess) y se incluyó en el nuevo grupo creado Developers (con permisos IAMReadOnlyAccess ).

Yo lo que hice fue asociarlo al usuario de prueba, nuevamente el grupo de AdministratorAccess

Maikel Garcia Chacon

student•

En caso de robo del telefono celular, ¿De que forma se recupera el acceso a la cuenta si ya no tengo el dispositvo para obterner el token?

Enrique Alexis Lopez Araujo

student•

Tendrias que hacer algunos pasos con soporte de aws, si se puede recuperar, pero es necesario hablar con soporte de aws

Wilbert J Galano Batista

student•

Con un ticket a Soporte me paso que se me rompió mi cell y tuve que hacerlo de esa manera. En el caso de authy no seria problema ya que es multi dispositivo, no lo utilizo porque google autenticator me funciona bien y la verdad al tenerlo en varios dispositivos si no tienes todos los steps de seguridad que te da authy puedes correr el riesgo de comprometer las credenciales al dejar ejemplo la session de tu pc abierta con la aplicación de authy corriendo. Para evitar eso y usar authy para el caso de perder tu único dispositivo con (Google Autenticator) y evitarte el ticket a soporte es recomendable que:

Configurar un PIN o Contraseña en Authy:
- Activa el PIN o contraseña maestra para que se solicite cada vez que abras la aplicación Authy. Esto agrega una capa adicional de protección en caso de que alguien acceda a tu dispositivo.
Habilitar el Bloqueo Automático:
- Configura el bloqueo automático en Authy para que la aplicación se bloquee después de un período de inactividad. Esto es especialmente útil si dejas la sesión abierta accidentalmente.
Cerrar Sesiones y Proteger el Dispositivo:
- Asegúrate de cerrar sesión en tu dispositivo o de bloquear tu computadora cuando no la estés usando.
- Protege tus dispositivos con contraseñas seguras y asegúrate de que estén configurados para bloquearse automáticamente después de un corto período de inactividad.
Eliminar Dispositivos No Necesarios:
- Revoca el acceso a cualquier dispositivo que no utilices activamente para evitar que haya más puntos de vulnerabilidad.

Luis Oscar Jaramillo

student•

La configuracion MFA tuve que hacerla obligatoriamente porque aws me la pidio despues de 1 mes creo de haber creado mi usuario root , la hice con google autenticator

Mario Alexander Vargas Celis

student•

🔐 Configuración de IAM MFA en AWS

Habilitar la autenticación multifactor (MFA) en AWS Identity and Access Management (IAM) aumenta la seguridad al requerir un segundo factor de autenticación al iniciar sesión.

✅ Pasos para Configurar MFA en un Usuario IAM

1️⃣ Acceder a la Consola de AWS

🔹 Inicia sesión en la consola de administración de AWS con una cuenta que tenga permisos de administrador.

2️⃣ Ir a IAM (Identity and Access Management)

🔹 En el menú de AWS, busca IAM y selecciona el servicio.

3️⃣ Seleccionar el Usuario IAM

🔹 En la barra lateral izquierda, haz clic en Usuarios. 🔹 Selecciona el usuario IAM al que deseas habilitar MFA.

4️⃣ Configurar MFA

🔹 Dentro del perfil del usuario, ve a la pestaña Seguridad. 🔹 En la sección de Dispositivos de autenticación multifactor, haz clic en Asignar MFA. 🔹 Elige el tipo de MFA a configurar:

Tipo de MFADescripciónDispositivos SoportadosDispositivo virtual MFAUsa una app para generar códigos de 6 dígitos.📱 Google Authenticator, AuthyDispositivo MFA basado en hardwareGenera códigos en un dispositivo físico.🔑 YubiKey, Token MFAMFA con clave de seguridad FIDO2Utiliza una llave de seguridad para autenticación.🖥 USB/NFC (Ej: Titan Security Key)

5️⃣ Configurar MFA con un Dispositivo Virtual (Google Authenticator, Authy, etc.)

Selecciona Dispositivo virtual MFA y haz clic en Siguiente.
Escanea el código QR con una aplicación de autenticación (Google Authenticator, Authy, Microsoft Authenticator).
La app generará un código de 6 dígitos.
Ingresa dos códigos consecutivos para verificar la configuración.
Haz clic en Asignar MFA y confirma.

6️⃣ Finalizar y Probar el Inicio de Sesión con MFA

🔹 Cierra la sesión y vuelve a iniciar. 🔹 Ingresa tu usuario y contraseña de AWS. 🔹 Se te pedirá un código MFA generado por la aplicación. 🔹 Una vez ingresado correctamente, accederás a la consola.

🎯 Recomendaciones de Seguridad

✔ Obliga el uso de MFA para todos los usuarios con permisos administrativos mediante una política de IAM. ✔ Configura múltiples dispositivos MFA en caso de pérdida o robo del principal. ✔ Usa claves de seguridad FIDO2 para mayor protección contra ataques de phishing.

🔐 Conclusión Habilitar MFA en IAM es una práctica esencial para reforzar la seguridad en AWS, asegurando que solo usuarios autorizados accedan a la cuenta. 🚀

Bryan Castano

student•

It has been Done Over my two IAM users Today Dec-17-2024.

Jhon Freddy Tavera Blandon

student•

Gran seguridad de AWS. con autenticación en dos pasos full

Hernán Arica

student•

Vendría muy bien una actualización del curso, LA NECESITA, pero muy bueno lo que se aprende

Jeisson Espinosa

student•

Información resumida de esta clase #EstudiantesDePlatzi

Authy es una buena aplicación
Abrimos Authy en el pc y agregamos la clave que nos genera AWS para conectarnos al servicio de Authy
Agregar seguridad dentro de AWS es fácil e importante

Carlos Eduardo Bracho Rosales

student•

Como alternativas Open Source, les recomiendo que le den un vistazo a Aegis para android y Nitrokey como llave fisica.

Jair Enrique Morales Vidal

student•

Llevo varios años usando Authy, es una excelente app para MFA

Sebastian Camelo

student•

instale en mi celular google authenticator, configure en la cuenta de aws MFA y al logearme nuevamente me pide el código MFA e ingresa a consola de AWS.

Julian David Gomez Londoño

student•

logre instalar el MFA en mi cuenta usando Authy, fue sencillo y esto le agrega una capa de seguridad al ingreso a la cuenta.