Credenciales de seguridad de AWS

Propietario de la cuenta (usuario raíz): el usuario que creó la Cuenta de AWS y tiene acceso total.

Usuarios AWS IAM Identity Center: usuarios administrados en AWS IAM Identity Center.

Usuarios federados: usuarios de proveedores de identidad externos a los que se concede acceso temporal a AWS mediante la federación. Para obtener más información acerca de las identidades federadas, consulte Federación y proveedores de identidades.

Usuarios de IAM: usuarios individuales creados dentro del servicio de AWS Identity and Access Management (IAM).

Las credenciales de seguridad temporales son a corto plazo, tal como su nombre indica. Se pueden configurar para durar entre unos cuantos minutos y varias horas. Cuando las credenciales caduquen, AWS dejará de reconocerlas o permitirá todo tipo de acceso a las solicitudes realizadas desde API que las utilicen.

Las credenciales de seguridad temporales no se guardan con el usuario, sino que se generan de forma dinámica y se proporcionan al usuario cuando se solicitan. Cuando las credenciales de seguridad temporales caducan (o incluso antes), el usuario puede solicitar nuevas credenciales, siempre y cuando el usuario que las solicite tenga permiso para hacerlo.

No tiene que distribuir ni incrustar credenciales de seguridad de AWS a largo plazo con una aplicación.

Puede proporcionar acceso a sus recursos de AWS a usuarios, sin necesidad de definir una identidad de AWS para ellos. Las credenciales temporales son la base de los roles y las identidades federadas.

Las credenciales de seguridad temporales tienen un ciclo de vida limitado, por lo que no tiene que actualizarlas ni revocarlas de forma explícita cuando ya no las necesite. Cuando las credenciales de seguridad temporales caducan, ya no se pueden volver a utilizar. Puede especificar el tiempo de validez de las credenciales, hasta un límite máximo.

Al crear una Cuenta de AWS, creamos el usuario raíz de la cuenta. Las credenciales del usuario raíz (propietario de la cuenta) permiten el acceso completo a todos los recursos de la cuenta. La primera tarea que debe realizar con el usuario raíz es conceder a otro usuario permisos administrativos para su Cuenta de AWS a fin de minimizar el uso del usuario raíz.

La autenticación multifactor (MFA) proporciona un nivel de seguridad adicional para los usuarios que pueden acceder a su Cuenta de AWS. Para aumentar la seguridad, le recomendamos que exija la MFA en las credenciales de Usuario raíz de la cuenta de AWS y todos los usuarios de IAM. Para obtener más información, consulte Autenticación multifactor de AWS en IAM.

AWS requiere diferentes tipos de credenciales de seguridad, según cómo acceda a AWS y qué tipo de usuario de AWS sea. Por ejemplo, usted usa las credenciales de inicio de sesión para la AWS Management Console, pero usa las claves de acceso para realizar llamadas a AWS mediante programación. Consulte Qué es el inicio de sesión en AWS en la Guía del usuario de AWS Sign-In para obtener ayuda acerca de cómo determinar el tipo de usuario y la página de inicio de sesión.

No puede utilizar las políticas de IAM para denegar al usuario raíz el acceso a los recursos de forma explícita. Solo puede usar una política de control de servicios (SCP) de AWS Organizations para limitar los permisos del usuario raíz.

Si olvida o pierde la contraseña de usuario raíz, debe tener acceso a la dirección de correo electrónico asociada a su cuenta para poder restablecerla.

Si pierde las claves de acceso de usuario raíz, debe poder iniciar sesión en su cuenta como usuario raíz para crear otras nuevas.

No utilice el usuario raíz para las tareas cotidianas. Utilícelo para realizar las tareas que solo puede realizar el usuario raíz. Para obtener la lista completa de tareas que requieren que inicie sesión como usuario raíz, consulte Tareas que requieren credenciales de usuario raíz.

Las credenciales de seguridad son específicas de la cuenta. Si tiene acceso a varias Cuentas de AWS, tiene credenciales independientes para cada cuenta.

Las políticas determinan qué acciones puede realizar un usuario, un rol o un miembro de un grupo de usuarios, en qué recursos de AWS y en qué condiciones. Con las políticas, puede controlar de forma segura el acceso a los recursos y Servicios de AWS de su Cuenta de AWS. Si debe modificar o revocar los permisos en respuesta a un evento de seguridad, elimine o modifique las políticas en lugar de realizar cambios directamente en la identidad.

Asegúrese de guardar las credenciales de inicio de sesión de su usuario de IAM de Acceso de emergencia y cualquier clave de acceso que haya creado para el acceso programático en una ubicación segura. Si pierde sus claves de acceso, debe iniciar sesión en su cuenta para crear otras nuevas.

Le recomendamos que utilice las credenciales temporales proporcionadas por los roles de IAM y los usuarios federados en lugar de las credenciales a largo plazo proporcionadas los usuarios de IAM y las claves de acceso.