IAM y Seguridad

IAM (Identity and Access Management) controla QUIEN puede hacer QUE en tu cuenta AWS. Es el pilar de seguridad mas importante.

Conceptos clave: • Usuario (User): una persona o aplicacion con credenciales propias • Grupo (Group): coleccion de usuarios con los mismos permisos (ej: "developers") • Rol (Role): identidad temporal que un servicio puede asumir (ej: Lambda accede a S3) • Politica (Policy): documento JSON que define permisos especificos • MFA: autenticacion multifactor (obligatoria para root!)

Principio de menor privilegio: solo da los permisos estrictamente necesarios. Nunca uses * en produccion.

// Ejemplo de politica IAM: solo lectura de S3
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::mi-app-uploads",
        "arn:aws:s3:::mi-app-uploads/*"
      ]
    }
  ]
}

# Crear usuario
aws iam create-user --user-name developer-juan

# Crear grupo y agregar usuario
aws iam create-group --group-name developers
aws iam add-user-to-group --user-name developer-juan --group-name developers

# Adjuntar politica managed al grupo
aws iam attach-group-policy \
  --group-name developers \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

# Crear rol para Lambda
aws iam create-role \
  --role-name lambda-s3-role \
  --assume-role-policy-document '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Principal":{"Service":"lambda.amazonaws.com"},"Action":"sts:AssumeRole"}]}'

# Adjuntar politica al rol
aws iam attach-role-policy \
  --role-name lambda-s3-role \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

# Activar MFA para un usuario
aws iam enable-mfa-device \
  --user-name developer-juan \
  --serial-number arn:aws:iam::123456789:mfa/developer-juan \
  --authentication-code1 123456 \
  --authentication-code2 789012