Cerramos el capítulo de IAM con una lista práctica de buenas prácticas: las cosas que debes hacer siempre para mantener tu cuenta de AWS segura. Considéralo tu checklist de seguridad. Muchas ya las hemos visto a lo largo del capítulo; aquí las reunimos y ordenamos para que las apliques desde el primer día.

El usuario root (el correo con el que creaste la cuenta) tiene poder absoluto. Es tu activo más sensible.

• Activa MFA en el root inmediatamente (subcapítulo 7.4).
• No generes claves de acceso para el root. Si las tiene, bórralas.
• No lo uses para el día a día. Crea un usuario IAM administrador para tu trabajo.
• Guarda sus credenciales en un lugar muy seguro y úsalo solo para las pocas tareas que lo requieren obligatoriamente (como cerrar la cuenta o cambiar el plan de soporte).

Esta es la práctica número uno. Una cuenta root comprometida es una cuenta perdida por completo.

• MFA en el root (obligatorio).
• MFA en todos los usuarios con permisos relevantes, especialmente administradores.
• Para empresas, considera exigir MFA por política (que no se pueda hacer nada sensible sin él).

El principio del subcapítulo 7.2, en forma de acciones concretas:

• Da solo los permisos necesarios, no AdministratorAccess por comodidad.
• Sé específico con acciones y recursos.
• Revisa periódicamente y quita permisos que ya no se usan.
• Usa IAM Access Analyzer (herramienta gratuita de AWS) para detectar permisos excesivos o accesos no intencionados desde fuera.

• No adjuntes políticas usuario por usuario. Crea grupos por función (Desarrolladores, Administradores, Soporte…) y asigna permisos al grupo.
• Añadir o quitar a alguien es tan simple como meterlo o sacarlo del grupo.
• Más fácil de mantener y menos propenso a errores.

• Nunca incrustes claves de acceso dentro de una instancia EC2, una Lambda o el código de tu aplicación.
• Asigna un rol con los permisos justos (subcapítulos 7.1 y 7.4). El servicio obtiene credenciales temporales automáticamente, sin claves que robar.
• Esto vale también para tu canalización de CI/CD y para herramientas como Terraform.

• Prefiere credenciales temporales (STS / roles) siempre que puedas.
• Si necesitas claves permanentes para una persona, rótalas con regularidad (cámbialas cada cierto tiempo).
• Nunca subas claves a un repositorio Git. Usa un gestor de secretos (Capítulo 23) y herramientas que detectan claves en el código antes de subirlo.
• Desactiva las claves que no se usen.

Recordatorio del peligro real: los bots escanean GitHub buscando claves filtradas y las explotan en segundos. Una clave permanente filtrada con muchos permisos puede costarte miles de euros. Trata las claves como contraseñas: secretas, rotadas y mínimas.

• Define una política de contraseñas en tu cuenta: longitud mínima, mezcla de caracteres, caducidad razonable, no reutilización.
• Anima al uso de gestores de contraseñas.

No puedes proteger lo que no ves. Activa el registro de quién hace qué:

• AWS CloudTrail: registra todas las acciones realizadas en tu cuenta (quién, qué, cuándo). Es tu «cámara de seguridad». Imprescindible y deberías activarlo desde el principio.
• CloudWatch (Capítulo 24) para alarmas ante actividad sospechosa.
• GuardDuty (Capítulo 23) para detección automática de amenazas.

Veremos estas herramientas en la Parte VI; por ahora, quédate con que la auditoría es parte de la seguridad.

• Para varias personas o varias cuentas, usa AWS IAM Identity Center (antes AWS SSO): acceso centralizado, con credenciales temporales y MFA, sin crear usuarios IAM uno a uno.
• En entornos grandes, combina con AWS Organizations y Service Control Policies (Capítulo 23 y 30) para poner límites a nivel de toda la organización.

Tu lista mínima de seguridad IAM desde el día uno:

Consejo: Configura esto al crear la cuenta, antes de empezar a construir nada. Es mucho más fácil partir de una base segura que «arreglar la seguridad después».

• Protege el root (MFA, sin claves, no usarlo a diario): es la prioridad número uno.
• MFA en todas partes y mínimo privilegio siempre.
• Grupos para personas, roles para servicios; evita claves permanentes y nunca las subas a Git.
• Audita con CloudTrail desde el principio: la visibilidad es parte de la seguridad.
• Para equipos y multi-cuenta, centraliza con IAM Identity Center y Organizations.
• Aplica el checklist al crear la cuenta, no después.

Con esto cierras el Capítulo 7 y dominas la identidad y los accesos. En el Capítulo 8, el último de los servicios esenciales, veremos las bases de datos gestionadas de AWS.