Tutorial Completo de AWS IAM: Guía Práctica de Seguridad en la Nube para Certificación 2025

1 Acceder a la consola de AWS IAM

1. Inicia sesión en la consola de AWS
2. Busca «IAM» en la barra de búsqueda o navega a través de Servicios > Seguridad, Identidad y Conformidad > IAM

2 Configurar acceso seguro a tu cuenta

1. En el panel IAM, revisa el «Estado de seguridad» en la sección superior
2. Sigue las recomendaciones sobre las prácticas recomendadas:
   • Activar MFA en la cuenta root
   • Crear usuarios IAM individuales
   • Utilizar grupos para asignar permisos
   • Aplicar una política de contraseñas

3 Crear un grupo de IAM

1. En el menú lateral, selecciona «Grupos de usuarios»
2. Haz clic en «Crear nuevo grupo»
3. Proporciona un nombre para el grupo (por ejemplo, «Administradores», «Desarrolladores» o «OperacionesS3»)
4. Haz clic en «Siguiente paso»
5. Adjunta políticas administradas según los permisos necesarios (por ejemplo, «AdministratorAccess» para administradores)
6. Revisa la configuración y haz clic en «Crear grupo»

4 Crear un usuario de IAM

1. En el menú lateral, selecciona «Usuarios»
2. Haz clic en «Añadir usuario»
3. Proporciona un nombre de usuario
4. Selecciona el tipo de acceso:
   • «Acceso programático» para uso con API, CLI, SDK
   • «Acceso a la consola de AWS» para acceso web
5. Si seleccionas acceso a la consola, elige una opción de contraseña
6. Haz clic en «Siguiente: Permisos»
7. Selecciona «Añadir usuario al grupo» y elige el grupo que creaste anteriormente
8. Haz clic en «Siguiente: Etiquetas» (opcional)
9. Agrega etiquetas clave-valor si es necesario para organización
10. Haz clic en «Siguiente: Revisar»
11. Revisa la configuración y haz clic en «Crear usuario»
12. Descarga o guarda las credenciales (esta es la única vez que verás la clave de acceso secreta)

5 Crear una política personalizada

1. En el menú lateral, selecciona «Políticas»
2. Haz clic en «Crear política»
3. Selecciona el servicio (por ejemplo, «S3»)
4. Selecciona las acciones permitidas (por ejemplo, «ListBucket», «GetObject»)
5. Especifica los recursos a los que se aplica la política (ARN del bucket o «*» para todos)
6. Establece condiciones si son necesarias
7. Haz clic en «Revisar política»
8. Proporciona un nombre y descripción para la política
9. Haz clic en «Crear política»

También puedes crear políticas directamente en JSON. Por ejemplo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::nombre-del-bucket"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::nombre-del-bucket/*"
        }
    ]
}

6 Crear un rol de IAM

1. En el menú lateral, selecciona «Roles»
2. Haz clic en «Crear rol»
3. Selecciona el tipo de entidad de confianza:
   • «Servicio de AWS» (para servicios como EC2, Lambda)
   • «Otra cuenta de AWS» (para acceso entre cuentas)
   • «Proveedor de identidad web» (para federación)
4. Si seleccionas «Servicio de AWS», elige el servicio que asumirá el rol
5. Haz clic en «Siguiente: Permisos»
6. Selecciona las políticas que quieres adjuntar al rol
7. Haz clic en «Siguiente: Etiquetas» (opcional)
8. Haz clic en «Siguiente: Revisar»
9. Proporciona un nombre y descripción para el rol
10. Revisa la configuración y haz clic en «Crear rol»

7 Configurar MFA para un usuario

1. En el menú lateral, selecciona «Usuarios»
2. Selecciona el usuario al que quieres añadir MFA
3. Ve a la pestaña «Credenciales de seguridad»
4. En la sección «Autenticación multifactor (MFA)», haz clic en «Administrar»
5. Haz clic en «Asignar dispositivo MFA»
6. Selecciona el tipo de dispositivo MFA:
   • Aplicación de autenticación virtual
   • Llave de seguridad
   • Dispositivo MFA de hardware
7. Sigue las instrucciones para configurar el dispositivo seleccionado
8. Haz clic en «Añadir MFA»

1 Definir los requisitos de acceso

• La aplicación necesita leer y escribir en un bucket de S3 específico
• La aplicación necesita leer y escribir en tablas específicas de DynamoDB
• Los desarrolladores necesitan acceso para depuración
• Los operadores necesitan acceso para monitoreo

2 Crear la política para la aplicación

1. Ve a «Políticas» y haz clic en «Crear política»
2. Usa el editor JSON para crear una política como esta:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::app-bucket-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::app-bucket-name/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:GetItem",
                "dynamodb:PutItem",
                "dynamodb:UpdateItem",
                "dynamodb:DeleteItem",
                "dynamodb:Query",
                "dynamodb:Scan"
            ],
            "Resource": [
                "arn:aws:dynamodb:*:*:table/AppTable1",
                "arn:aws:dynamodb:*:*:table/AppTable2"
            ]
        }
    ]
}

3. Nombra la política «AppServicePolicy» y proporciona una descripción
4. Haz clic en «Crear política»

3 Crear un rol para la aplicación

1. Ve a «Roles» y haz clic en «Crear rol»
2. Selecciona el tipo de entidad de confianza (por ejemplo, EC2 si la aplicación se ejecuta en EC2)
3. Adjunta la política «AppServicePolicy» que creaste
4. Nombra el rol «AppServiceRole»
5. Haz clic en «Crear rol»

4 Configurar grupos para el personal

1. Crea un grupo «AppDevelopers»:
   • Adjunta una política que permita acciones de lectura en S3 y DynamoDB
   • Adjunta permisos para ver logs en CloudWatch
2. Crea un grupo «AppOperators»:
   • Adjunta permisos para ver métricas y logs en CloudWatch
   • Adjunta permisos para describir instancias EC2 relacionadas

5 Crear usuarios y asignarlos a grupos

1. Crea usuarios para cada desarrollador y operador
2. Asigna cada usuario al grupo correspondiente
3. Configura MFA para cada usuario
4. Establece una política de contraseñas fuerte

6 Implementar el rol en la aplicación

1. Si usas EC2, asocia el rol «AppServiceRole» a la instancia
2. Si usas ECS o EKS, configura el rol en la definición de tarea o en el pod
3. Si usas Lambda, asigna el rol a la función