ACCT.04: asignar permisos

Configure los permisos de usuario en la cuenta al asignar políticas a su identidad de IAM (rol o grupo de usuarios). Puede personalizar los permisos o adjuntar políticas AWS administradas, que son políticas independientes diseñadas AWS para proporcionar permisos en muchos casos de uso comunes. Si personaliza los permisos, siga las prácticas recomendadas de seguridad de conceder privilegios mínimos. El privilegio mínimo es la práctica de conceder el conjunto mínimo de permisos que cada usuario necesita para realizar sus tareas.

Si utiliza identidades federadas, los usuarios acceden a la cuenta al asumir un rol de IAM a través del proveedor de identidades externo. La función de IAM define lo que pueden hacer los usuarios autenticados por el IdP de su organización. AWS Debe aplicar políticas personalizadas o AWS administradas a este rol para configurar los permisos.

Para asignar permisos a las identidades federadas

• Si utiliza IAM Identity Center, consulte Utilizar las políticas de IAM en los conjuntos de permisos (documentación de IAM Identity Center).

  Si utiliza un IdP externo o de terceros, consulte Adición de permisos de identidad de IAM (documentación de IAM).

Si utiliza usuarios de IAM, puede utilizar grupos de usuarios o roles para administrar los permisos de varios usuarios de IAM. Recomendamos los grupos de usuarios para las startups porque son más fáciles de administrar y son menos propensos a errores de configuración, lo que podría suponer un riesgo para la seguridad de su cuenta. Asigne los usuarios a los grupos de usuarios conforme a sus funciones laborales. Algunos ejemplos de grupos de usuarios son los ingenieros de aplicaciones, datos, redes y operaciones de desarrollo (DevOps). También puede dividir los tipos de usuarios en grupos de usuarios más pequeños en función de la autoridad que toma las decisiones, por ejemplo, para ingenieros con o sin experiencia.

Para asignar los permisos de los usuarios de IAM

1. Crear grupos de usuarios de IAM (documentación de IAM).

2. Adjunte una política AWS gestionada a un grupo de usuarios de IAM (documentación de IAM).