Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# Administración de identidades y accesos en AWS Control Tower
<a name="auth-access"></a>

Para realizar cualquier operación en su zona de destino, como aprovisionar cuentas en Account Factory o crear nuevas unidades organizativas (OU) en la consola de AWS Control Tower, ya sea AWS Identity and Access Management (IAM) o AWS IAM Identity Center exigirle que autentique que es un usuario aprobado. AWS Por ejemplo, si utiliza la consola de AWS Control Tower, debe autenticar su identidad proporcionando las credenciales de AWS , tal como las ha proporcionado su administrador.

Tras autenticar su identidad, IAM controla su acceso a AWS un conjunto definido de permisos sobre un conjunto específico de operaciones y recursos. Si es un administrador de la cuenta, puede utilizar IAM para controlar el acceso de otros usuarios de IAM a los recursos que están asociados a dicha cuenta.

**Topics**
+ [Autenticación](#authentication)
+ [Control de acceso](#access-control)
+ [Trabajando con AWS IAM Identity Center y AWS Control Tower](sso.md)
+ [Información general sobre la administración de los permisos de acceso a los recursos de AWS Control Tower](access-control-overview.md)
+ [Prevención de la suplantación entre servicios](prevent-confused-deputy.md)
+ [Uso de políticas basadas en identidad (políticas de IAM) para AWS Control Tower](access-control-managing-permissions.md)

## Autenticación
<a name="authentication"></a>

Tienes acceso a cualquiera AWS de los siguientes tipos de identidades:
+ **AWS usuario raíz de la cuenta**: cuando creas una AWS cuenta por primera vez, comienzas con una identidad que tenga acceso completo a todos los AWS servicios y recursos de la cuenta. Esta identidad recibe el nombre en la cuenta de AWS de usuario raíz. Obtiene acceso a esta identidad cuando inicia sesión con la dirección de correo electrónico y la contraseña que usó para crear la cuenta. Recomendamos encarecidamente que no utilice el usuario raíz en sus tareas cotidianas, ni siquiera en las tareas administrativas. En lugar de ello, siga la [práctica recomendada de utilizar el usuario raíz únicamente para crear su primer usuario de IAM Identity Center (recomendado) o usuario de IAM (no es una práctica recomendada en la mayoría de los casos de uso)](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#create-iam-users). A continuación, guarde las credenciales del usuario raíz en un lugar seguro y utilícelas tan solo para algunas tareas de administración de cuentas y servicios. Para obtener más información, consulte [Cuándo iniciar sesión como usuario raíz](root-login.md).
+ **Usuario de IAM**: un usuario de [ IAM ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) es una identidad dentro de tu AWS cuenta que tiene permisos específicos y personalizados. Puedes usar las credenciales de usuario de IAM para iniciar sesión en AWS páginas web seguras, como la consola de AWS gestión, los foros de AWS debate o el centro de asistencia. AWS AWS Las mejores prácticas recomiendan crear un usuario del IAM Identity Center en lugar de un usuario de IAM, ya que existe un mayor riesgo de seguridad cuando se crea un usuario de IAM con credenciales de larga duración.

  Si debe crear un usuario de IAM para un propósito determinado, además de las credenciales de inicio de sesión, puede generar claves de acceso para cada usuario de IAM. Puede utilizar estas claves cuando llame a AWS los servicios mediante programación, ya sea mediante uno de los diversos SDK o mediante la interfaz de línea de AWS comandos (CLI). El SDK y las herramientas de CLI utilizan claves de acceso para firmar criptográficamente una solicitud. Si no usa AWS herramientas, debe firmar la solicitud usted mismo. AWS Control Tower es compatible con Signature Version 4, un protocolo para autenticar solicitudes de API entrantes. Para obtener más información sobre la autenticación de las solicitudes, consulte el proceso de [ firma de la versión 4 de Signature ](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html) en la referencia AWS general.
+ **Rol de IAM**: un [rol de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) es una identidad de IAM que puede crear en su cuenta con permisos específicos. Una función de IAM es similar a la de un usuario de IAM en el sentido de que es una AWS identidad y tiene políticas de permisos que determinan lo que la identidad puede y no puede hacer. AWS No obstante, en lugar de asociarse exclusivamente a una persona, la intención es que cualquier usuario pueda asumir un rol que necesite. Además, un rol no tiene asociadas credenciales a largo plazo estándar, como una contraseña o claves de acceso. En su lugar, cuando se asume un rol, este proporciona credenciales de seguridad temporales para la sesión de rol. Los roles de IAM con credenciales temporales son útiles en las siguientes situaciones:
  + **Acceso de usuarios federados**: en lugar de crear un usuario de IAM, puede usar las identidades existentes de Directory Service, el directorio de usuarios de su empresa o un proveedor de identidades web. Estos se conocen como usuarios * federados. * AWS asigna un rol a un usuario federado cuando se solicita el acceso a través de un proveedor de identidad. Para obtener más información acerca de los usuarios federados, consulte [Usuarios federados y roles](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_access-management.html#intro-access-roles) en la *Guía del usuario de IAM*.
  + **AWS acceso al servicio**: un rol de servicio es un rol de IAM que asume un servicio para realizar acciones en tu cuenta en tu nombre. Cuando configuras algunos entornos AWS de servicio, debes definir el rol que asumirá el servicio. Este rol de servicio debe incluir todos los permisos necesarios para que el servicio acceda a los AWS recursos que necesita. Los roles de servicio varían de servicio a servicio, pero muchos le permiten elegir sus permisos, siempre y cuando se cumplan los requisitos documentados para dicho servicio. Las funciones del servicio ofrecen acceso solo dentro de su cuenta y no se pueden utilizar para otorgar acceso a servicios en otras cuentas. Puede crear, modificar y eliminar un rol de servicio desde IAM. Por ejemplo, puede crear una función que permita a Amazon Redshift obtener acceso a un bucket de Amazon S3 en su nombre y, a continuación, cargar los datos de ese bucket en un clúster de Amazon Redshift. Para obtener más información, consulte [ Crear un rol para delegar permisos a un AWS servicio ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) en la Guía * del usuario de * IAM.
  + **Aplicaciones que se ejecutan en Amazon EC2**: puede usar una función de IAM para administrar las credenciales temporales de las aplicaciones que se ejecutan en una instancia de Amazon EC2 y que realizan solicitudes de AWS CLI o API. AWS Es preferible hacerlo de este modo a almacenar claves de acceso en la instancia de Amazon EC2. Para asignar un AWS rol a una instancia de Amazon EC2 y hacer que esté disponible para todas sus aplicaciones, debe crear un perfil de instancia adjunto a la instancia. Un perfil de instancia contiene el rol y permite a los programas que se encuentran en ejecución en la instancia de Amazon EC2 obtener credenciales temporales. Para obtener más información, consulte [Uso de un rol de IAM para conceder permisos a aplicaciones que se ejecutan en instancias de Amazon EC2](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html) en la *Guía del usuario de IAM*.
+ **Usuario de IAM Identity Center**: la autenticación al portal del usuario de IAM Identity Center se controla mediante el directorio que ha conectado a IAM Identity Center. Sin embargo, la autorización de AWS las cuentas que están disponibles para los usuarios finales desde el portal de usuarios depende de dos factores:
  + A quién se le ha asignado el acceso a esas AWS cuentas en la consola del AWS IAM Identity Center. Para obtener más información, consulte Sign-On Acceso [ único ](https://docs.aws.amazon.com/singlesignon/latest/userguide/useraccess.html) en la Guía * del *AWS IAM Identity Center usuario.
  + Qué nivel de permisos se ha otorgado a los usuarios finales en la consola de AWS IAM Identity Center para permitirles el acceso adecuado a esas cuentas de AWS . Para obtener más información, consulte la sección [Permission Sets](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsets.html) en la *Guía del usuario de AWS IAM Identity Center *.

## Control de acceso
<a name="access-control"></a>

Para crear, actualizar, eliminar o enumerar los recursos de la Torre de Control de AWS u otros AWS recursos en su zona de aterrizaje, necesita permisos para realizar la operación y para acceder a los recursos correspondientes. Además, para realizar la operación mediante programación, necesita claves de acceso válidas.

En las secciones siguientes se describe cómo administrar los permisos de AWS Control Tower:

**Temas**
+ [Información general sobre la administración de los permisos de acceso a los recursos de AWS Control Tower](access-control-overview.md)
+ [Uso de políticas basadas en identidad (políticas de IAM) para AWS Control Tower](access-control-managing-permissions.md)