Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Autenticación con identidades
La autenticación es la forma de iniciar sesión AWS con sus credenciales de identidad. Debe estar autenticado (con quien haya iniciado sesión AWS) como usuario raíz de la AWS cuenta, como usuario de IAM o asumiendo una función de IAM.
Puede iniciar sesión AWS como una identidad federada mediante las credenciales proporcionadas a través de una fuente de identidad. AWS Los usuarios del IAM Identity Center (IAM Identity Center), la autenticación de inicio de sesión único de su empresa y sus credenciales de Google o Facebook son ejemplos de identidades federadas. Al iniciar sesión como una identidad federada, su gestionador habrá configurado previamente la federación de identidades mediante roles de IAM. Cuando accedes AWS mediante la federación, estás asumiendo un rol de forma indirecta.
Según el tipo de usuario que sea, puede iniciar sesión en la consola de AWS administración o en el portal de AWS acceso. Para obtener más información sobre cómo iniciar sesión en su cuenta AWS, consulte Cómo iniciar sesión en su AWS cuenta en la Guía del usuario de AWS inicio de sesión.
Si accede AWS mediante programación, AWS proporciona un kit de desarrollo de software (SDK) y una interfaz de línea de comandos (CLI) para firmar criptográficamente sus solicitudes con sus credenciales. Si no utilizas AWS herramientas, debes firmar las solicitudes tú mismo. Para obtener más información sobre la firma de solicitudes, consulte Firma de solicitudes API de AWS en la Guía del usuario de IAM.
Independientemente del método de autenticación que utilices, es posible que tengas que proporcionar información de seguridad adicional. Por ejemplo, le AWS recomienda que utilice la autenticación multifactor (MFA) para aumentar la seguridad de su cuenta. Para obtener más información, consulte Autenticación multifactorial en la Guía del usuario del AWS IAM Identity Center y Uso de la autenticación multifactorial (MFA) AWS en la Guía del usuario de IAM.
AWS usuario raíz de la cuenta
Al crear una AWS cuenta, comienza con una identidad de inicio de sesión que tiene acceso completo a todos los AWS servicios y recursos de la cuenta. Esta identidad se denomina usuario raíz de la AWS cuenta y se accede a ella iniciando sesión con la dirección de correo electrónico y la contraseña que utilizó para crear la cuenta. No utilice nunca al usuario root para sus tareas diarias y tome medidas para proteger sus credenciales de usuario root. Úselas únicamente para realizar tareas que solo el usuario root puede realizar. Para ver la lista completa de las tareas que requieren que inicie sesión como usuario raíz, consulta Tareas que requieren credenciales de usuario raíz en la Guía del usuario de IAM.
Identidad federada
Se recomienda exigir a los usuarios humanos, incluidos los que necesitan acceso de administrador, que utilicen la federación con un proveedor de identidades para acceder a AWS los servicios mediante credenciales temporales.
Una identidad federada es un usuario del directorio de usuarios empresarial, un proveedor de identidades web, AWS Directory Service, el directorio Identity Center o cualquier usuario que acceda a los AWS servicios mediante credenciales proporcionadas a través de una fuente de identidad. Cuando las identidades federadas acceden a AWS las cuentas, asumen funciones y las funciones proporcionan credenciales temporales.
Para la administración centralizada del acceso, le recomendamos que utilice el Centro de identidades de AWS IAM. Puede crear usuarios y grupos en el Centro de identidades de IAM, o puede conectarse y sincronizarse con un conjunto de usuarios y grupos de su propia fuente de identidad para usarlos en todas sus AWS cuentas y aplicaciones. Para obtener información sobre el Centro de identidades de IAM, consulte ¿Qué es el Centro de identidades de IAM? en la Guía del AWS usuario del IAM Identity Center.
Usuarios y grupos de IAM
Un usuario de IAM es una identidad de su AWS cuenta que tiene permisos específicos para una sola persona o aplicación. Recomendamos utilizar credenciales temporales en lugar de crear usuarios de IAM con credenciales de larga duración, como contraseñas y claves de acceso. Si tiene un caso de uso específico que requiera credenciales a largo plazo con los usuarios de IAM, le recomendamos que rote las claves de acceso. Para más información, consulta Rotar las claves de acceso periódicamente para casos de uso que requieran credenciales de larga duración en la Guía del usuario de IAM.
Un grupo de IAM es una identidad que especifica un conjunto de usuarios de IAM. No puedes iniciar sesión como grupo. Puedes usar los grupos para especificar permisos para varios usuarios a la vez. Los grupos facilitan la administración de los permisos para grandes conjuntos de usuarios. Por ejemplo, puede asignar un nombre a un grupo IAMAdminsy concederle permisos para administrar los recursos de IAM.
Los usuarios son diferentes de los roles. Un usuario se asocia exclusivamente a una persona o aplicación, pero la intención es que cualquier usuario pueda asumir un rol que necesite. Los usuarios tienen credenciales permanentes a largo plazo y los roles proporcionan credenciales temporales. Para obtener más información, consulte Cuándo crear un usuario de IAM (en lugar de un rol) en la Guía del usuario de IAM.
Roles de IAM
Un rol de IAM es una identidad de tu AWS cuenta que tiene permisos específicos. Es similar a un usuario de IAM, pero no está asociado a una persona determinada. Puede asumir temporalmente una función de IAM en la consola AWS de administración cambiando de función. Puede asumir un rol llamando a una operación de AWS CLI o AWS API o utilizando una URL personalizada. Para más información sobre los métodos para el uso de roles, consulte Uso de roles de IAM en la Guía del usuario de IAM.
Los roles de IAM con credenciales temporales son útiles en las siguientes situaciones:
-
Acceso de usuario federado: para asignar permisos a una identidad federada, debe crear un rol y definir los permisos para el rol. Cuando se autentica una identidad federada, se asocia la identidad al rol y se le conceden los permisos define el rol. Para obtener información sobre los roles para la federación, consulte Creación de un rol para un proveedor de identidades externo en la Guía del usuario de IAM. Si utiliza el Centro de identidades de IAM, configura un conjunto de permisos. IAM Identity Center correlaciona el conjunto de permisos con un rol en IAM para controlar a qué puedes acceder las identidades después de autenticarse. Para obtener información sobre los conjuntos de permisos, consulte los conjuntos de permisos en la Guía del usuario del AWS IAM Identity Center.
-
Permisos de usuario de IAM temporales: un usuario o rol de IAM puede asumir un rol de IAM para adquirir temporalmente diferentes permisos para una tarea específica.
-
Acceso multicuenta: puedes usar un rol de IAM para permitir que alguien (un responsable de confianza) de una cuenta diferente acceda a los recursos de tu cuenta. Los roles son la forma principal de conceder acceso entre cuentas. Sin embargo, con algunos AWS servicios, puedes adjuntar una política directamente a un recurso (en lugar de usar un rol como proxy). Para obtener información acerca de la diferencia entre los roles y las políticas basadas en recursos para el acceso entre cuentas, consulta Acceso a recursos entre cuentas en IAM en la Guía del usuario de IAM.
-
Acceso entre servicios: algunos AWS servicios utilizan funciones de otros AWS servicios. Por ejemplo, cuando realizas una llamada en un servicio, es habitual que ese servicio ejecute aplicaciones en Amazon EC2 o almacene objetos en Amazon S3. Es posible que un servicio haga esto usando los permisos de la entidad principal, usando un rol de servicio o usando un rol vinculado al servicio.
-
Función de servicio: una función de servicio es una función de IAM que un servicio asume para realizar acciones en su nombre. Un administrador de IAM puede crear, modificar y eliminar un rol de servicio desde IAM. Para obtener más información, consulte Creación de un rol para delegar permisos a un servicio de AWS en la Guía del usuario de IAM.
-
Función vinculada al servicio: una función vinculada a un servicio es un tipo de función de servicio que está vinculada a un servicio. AWS El servicio puedes asumir el rol para realizar una acción en su nombre. Los roles vinculados al servicio aparecen en tu AWS cuenta y son propiedad del servicio. Un administrador de IAM puedes ver, pero no editar, los permisos de los roles vinculados a servicios.
-
-
Aplicaciones que se ejecutan en Amazon EC2: puedes usar un rol de IAM para administrar las credenciales temporales de las aplicaciones que se ejecutan en una EC2 instancia y realizan solicitudes de AWS CLI o AWS API. Esto es preferible a almacenar las claves de acceso en la EC2 instancia. Para asignar un AWS rol a una EC2 instancia y ponerlo a disposición de sus aplicaciones, debe crear un perfil de instancia adjunto a la instancia. Un perfil de instancia contiene el rol y permite que los programas que se ejecutan en la EC2 instancia obtengan credenciales temporales. Para obtener más información, consulte Uso de un rol de IAM para conceder permisos a aplicaciones que se ejecutan en EC2 instancias de Amazon en la Guía del usuario de IAM.
Para saber si se deben utilizar funciones de IAM o usuarios de IAM, consulte Cuándo crear una función de IAM (en lugar de un usuario) en la Guía del usuario de IAM.
