Solucionar problemas de IAM - AWS Identity and Access Management
No puedo iniciar sesión en mi cuenta AWSHe perdido mi claves de accesoLas variables de la política no funcionanLos cambios que realizo no están siempre visibles inmediatamenteNo tengo autorización para realizar la operación iam:DeleteVirtualMFADevice¿Cómo puedo crear usuarios de IAM de forma segura?Recursos adicionales de

Solucionar problemas de IAM

Utilice la información que se incluye aquí para diagnosticar y solucionar los problemas comunes cuando trabaje con AWS Identity and Access Management (IAM).

Problemas

No puedo iniciar sesión en mi cuenta AWS

Compruebe que tiene las credenciales correctas y que está utilizando el método correcto para iniciar sesión. Para obtener más información, consulte Solución de problemas de inicio de sesión en la Guía del usuario de AWS Sign-In.

He perdido mi claves de acceso

Las claves de acceso se componen de dos partes:

  • El identificador de la clave de acceso. No es secreto y se puede ver en la consola de IAM en la que hay una lista de claves de acceso, como, por ejemplo, en la página de resumen del usuario.

  • La clave de acceso secreta. Se proporciona cuando crea el par de claves de acceso. Al igual que las contraseñas, no se puede recuperar en otro momento. Si ha perdido su clave de acceso secreta, debe crear un nuevo par de claves de acceso. Si ya ha alcanzado el número máximo de claves de acceso, debe eliminar uno de los pares existentes antes de poder crear otra.

Si pierde su clave de acceso secreta, debe eliminar la clave de acceso y crear una nueva. Para obtener instrucciones adicionales, consulte Actualización de las claves de acceso.

Las variables de la política no funcionan

Si las variables de la política no funcionan, se ha producido uno de los siguientes errores:

La fecha es incorrecta en el elemento de la política Version.

Compruebe que todas las políticas que contengan variables incluyan el siguiente número de versión en la política: "Version": "2012-10-17". Sin el número de versión correcto, las variables no se sustituyen durante la evaluación. En su lugar, las variables se evalúan literalmente. Las políticas que no incluyan variables seguirán funcionando cuando incluya el número de versión más reciente.

El elemento de política Version es diferente de la versión de una política. El elemento de política Version se utiliza en una política y define la versión del lenguaje de la política. Una versión de la política se crea al modificar una política administrada por el cliente en IAM. La política modificada no anula la política existente. En cambio, IAM crea una nueva versión de la política administrada. Para obtener más información sobre el elemento de política Version, consulte Elementos de política JSON de IAM: Version. Para obtener más información sobre las versiones de política, consulte Control de versiones de políticas de IAM.

Los caracteres de la variable se encuentran escritos con mayúsculas y minúsculas incorrectas.

Compruebe que las variables de su política estén escritas respetando mayúsculas y minúsculas. Para obtener más información, consulte Elementos de la política de IAM: variables y etiquetas.

Los cambios que realizo no están siempre visibles inmediatamente

Al ser un servicio al que se obtiene acceso a través de equipos de centros de datos de todo el mundo, IAM utiliza un modelo de computación distribuida llamado consistencia final. Cualquier cambio que realice en IAM (u otros servicios de AWS), incluidas las etiquetas de control de acceso basado en atributos (ABAC), tardará en aparecer en todos los puntos de conexión posibles. Algunos retrasos se deben al tiempo que lleva enviar datos de un servidor a otro, de una zona de replicación a otra y de una región a otra. IAM también utiliza caché para mejorar el rendimiento, pero en algunos casos esto puede agregar tiempo. Es posible que el cambio no sea visible hasta que se agoten los datos previamente almacenados.

Debe diseñar sus aplicaciones globales teniendo en cuenta estos posibles retrasos. Asegúrese de que funcionan según lo previsto, incluso cuando un cambio realizado en una ubicación no sea visible inmediatamente en otra. Estos cambios incluyen la creación o actualización de usuarios, grupos, roles o políticas. Le recomendamos que no incluya esos cambios de IAM en las rutas de código de gran importancia y alta disponibilidad de su aplicación. En su lugar, realice los cambios de IAM en otra rutina de inicialización o configuración que ejecute con menos frecuencia. Además, asegúrese de verificar que los cambios se han propagado antes de que los flujos de trabajo de producción dependan de ellos.

Para obtener más información acerca del modo en que esto afecta a otros servicios de AWS, consulte los siguientes recursos:

No tengo autorización para realizar la operación iam:DeleteVirtualMFADevice

Es posible que reciba el siguiente error cuando intente asignar o eliminar un dispositivo MFA virtual para usted o para otros usuarios:

User: arn:aws:iam::123456789012:user/Diego is not authorized to perform: iam:DeleteVirtualMFADevice on resource: arn:aws:iam::123456789012:mfa/Diego with an explicit deny

Esto podría ocurrir si alguien anteriormente comenzó la asignación de un dispositivo MFA virtual a un usuario en la consola de IAM y después canceló el proceso. Esto crea un dispositivo MFA virtual para el usuario en IAM, pero nunca lo asocia totalmente al usuario. Elimine el dispositivo de MFA virtual existente antes de crear un dispositivo de MFA virtual nuevo con el mismo nombre de dispositivo.

Para solucionar este problema, un administrador no debe editar los permisos de la política. En su lugar, el administrador debe utilizar la AWS CLI o la API de AWS para eliminar el dispositivo MFA virtual existente pero sin asignar.

Para eliminar un dispositivo MFA virtual existente pero sin asignar

  1. Consulte los dispositivos MFA virtuales de su cuenta.

  2. En la respuesta, localice el ARN del dispositivo MFA virtual del usuario que está intentando corregir.

  3. Elimine el dispositivo MFA virtual.

¿Cómo puedo crear usuarios de IAM de forma segura?

Si tiene empleados que requieren acceso a AWS (), puede elegir crear usuarios de IAM o utilizar IAM Identity Center para la autenticación. Si utiliza IAM, AWS recomienda crear un usuario de IAM y comunicar las credenciales a los empleados de forma segura. Si no se encuentra físicamente junto a los empleados, utilice un flujo de trabajo seguro para comunicarles las credenciales.

Utilice el siguiente flujo de trabajo seguro para crear un usuario nuevo en IAM:

  1. Cree un nuevo usuario mediante la AWS Management Console. Elija conceder acceso a la AWS Management Console con una contraseña generada. Si es necesario, seleccione la casilla de verificación Users must create a new password at next sign-in (Los usuarios deben crear una nueva contraseña en el siguiente inicio de sesión). No agregue una política de permisos al usuario hasta después de que haya cambiado su contraseña.

  2. Después de agregar el usuario, copie la dirección URL de inicio de sesión, el nombre de usuario y la contraseña del nuevo usuario. Para ver la contraseña, elija Show (Mostrar).

  3. Envíe la contraseña a su empleado mediante un método de comunicación seguro en su empresa, como email, chat o un sistema de seguimiento de incidentes. Por separado, proporcione a sus usuarios el enlace de la consola de usuario de IAM y su nombre de usuario. Dígale al empleado que confirme si puede iniciar sesión correctamente antes de concederle permisos.

  4. Una vez que el empleado lo confirme, agregue los permisos que necesita. Como práctica recomendada de seguridad, agregue una política que requiera que el usuario se autentique mediante MFA para administrar sus credenciales. Para ver una política de ejemplo, consulte AWS: permite a los usuarios de IAM autenticados por MFA administrar sus propias credenciales en la página Credenciales de seguridad.

Recursos adicionales de

Los recursos relacionados siguientes pueden ayudarle a solucionar problemas cuando trabaje con AWS.