Al configurar AWS, planifique cómo pretende que las personas accedan a sus recursos y cuenta de AWS para configurar una solución de administración de identidades segura y bien diseñada.
Fuentes de identidad
De acuerdo con las prácticas recomendadas de IAM, los usuarios humanos y las cargas de trabajo deben utilizar credenciales temporales cuando accedan a sus recursos de AWS. Se otorgan credenciales temporales a las identidades que acceden a sus recursos mediante un rol de IAM. Tanto los usuarios federados en IAM como los usuarios de IAM Identity Center (federados o creados en el directorio de IAM Identity Center) utilizan los roles de IAM para acceder a los recursos.
Antes de comenzar a utilizar AWS, planifique cómo configurar sus identidades de una de las siguientes maneras:
-
Habilitar IAM Identity Center con Organizations y agregar usuarios de IAM Identity Center directamente al directorio de la organización.
Para obtener información sobre cómo agregar usuarios directamente al directorio de la organización de IAM Identity Center, consulte Add users.
-
Federar su proveedor de identidades externo existente con IAM Identity Center o IAM.
Para obtener información sobre cómo federar un proveedor de identidades externo al directorio de la organización de IAM Identity Center, utilice el Tutorial de introducción correspondiente.
Administración de accesos
Identifique los servicios y recursos de AWS a los que accederán sus usuarios y defina los permisos y las políticas de acceso necesarios para cada usuario, grupo o rol.
-
Si utiliza IAM Identity Center, se crean de manera automática un proveedor de identidades de IAM, así como las políticas de permisos y roles de IAM en cada cuenta de AWS de su organización. Estos roles y permisos se alinean con los permisos que especifica al asignar personas o grupos a aplicaciones o cuentas de AWS específicas.
Para obtener más información, consulte Assign user access y Set up single sign-on access to your applications.
-
Si federa su proveedor de identidades directamente con IAM en su Cuenta de AWS, tendrá que crear un rol para que lo asuman sus usuarios y dos políticas: una política de confianza que especifique quién puede asumir el rol, y una política de permisos que especifique las acciones y los recursos de AWS para los que se permite o deniega el acceso a la persona que asume el rol.
Para obtener más información, consulte Federación y proveedores de identidades.
