Esta es la guía para desarrolladores de AWS CDK v2. La primera versión del CDK pasó a la etapa de mantenimiento el 1.° de junio de 2022 y no cuenta con soporte desde el 1.° de junio de 2023.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Gestión de identidades y accesos para el AWS Cloud Development Kit (AWS CDK)

AWS La gestión de identidad y acceso (IAM) es un AWS servicio que ayuda al administrador a controlar de forma segura el acceso a los recursos. AWS Los administradores de IAM controlan quién puede autenticarse (iniciar sesión) y quién puede autorizarse (tener permisos) para usar los recursos. AWS La IAM es un AWS servicio que puede utilizar sin coste adicional.

Público

La forma de utilizar AWS Identity and Access Management (IAM) varía según el trabajo al que se dedique. AWS

Usuario del servicio: si utiliza AWS los servicios para realizar su trabajo, el administrador le proporcionará las credenciales y los permisos que necesita. A medida que vaya utilizando más AWS funciones para realizar su trabajo, es posible que necesite permisos adicionales. Entender cómo se administra el acceso puede ayudarle a solicitar los permisos correctos al administrador.

Administrador de servicios: si está a cargo de AWS los recursos de su empresa, es probable que tenga acceso total a AWS los recursos. Su trabajo consiste en determinar a qué AWS servicios y recursos deben acceder los usuarios del servicio. Luego, debe enviar solicitudes a su gestionador de IAM para cambiar los permisos de los usuarios de su servicio. Revise la información de esta página para conocer los conceptos básicos de IAM.

Administrador de IAM: si es administrador de IAM, puede que desee obtener información detallada sobre cómo redactar políticas para administrar el acceso a AWS los servicios.

Autenticación con identidades

La autenticación es la forma en que inicias sesión AWS con tus credenciales de identidad. Debe estar autenticado (con quien haya iniciado sesión AWS) como usuario raíz de la AWS cuenta, como usuario de IAM o asumiendo una función de IAM.

Puede iniciar sesión AWS como una identidad federada mediante las credenciales proporcionadas a través de una fuente de identidad. AWS Los usuarios del IAM Identity Center (IAM Identity Center), la autenticación de inicio de sesión único de su empresa y sus credenciales de Google o Facebook son ejemplos de identidades federadas. Al iniciar sesión como una identidad federada, su gestionador habrá configurado previamente la federación de identidades mediante roles de IAM. Cuando accedes AWS mediante la federación, estás asumiendo un rol de forma indirecta.

Según el tipo de usuario que sea, puede iniciar sesión en la consola de AWS administración o en el portal de AWS acceso. Para obtener más información sobre cómo iniciar sesión en su cuenta AWS, consulte Cómo iniciar sesión en su AWS cuenta en la Guía del usuario de AWS inicio de sesión.

Para acceder AWS mediante programación, AWS proporciona la AWS CDK, los kits de desarrollo de software (SDKs) y una interfaz de línea de comandos (CLI) para firmar criptográficamente sus solicitudes con sus credenciales. Si no utiliza AWS herramientas, debe firmar las solicitudes usted mismo. Para obtener más información sobre cómo usar el método recomendado para firmar las solicitudes usted mismo, consulte el proceso de firma de la versión 4 en la Referencia AWS general.

Independientemente del método de autenticación que use, es posible que deba proporcionar información de seguridad adicional. Por ejemplo, le AWS recomienda que utilice la autenticación multifactor (MFA) para aumentar la seguridad de su cuenta. Para obtener más información, consulte Autenticación multifactorial en la Guía del usuario del AWS IAM Identity Center y Uso de la autenticación multifactorial (MFA) AWS en la Guía del usuario de IAM.

AWS usuario raíz de la cuenta

Al crear una AWS cuenta, comienza con una identidad de inicio de sesión que tiene acceso completo a todos los AWS servicios y recursos de la cuenta. Esta identidad se denomina usuario raíz de la AWS cuenta y se accede a ella iniciando sesión con la dirección de correo electrónico y la contraseña que utilizó para crear la cuenta. Recomendamos encarecidamente que no utilice el usuario raíz para sus tareas diarias. Proteja las credenciales del usuario raíz y utilícelas solo para las tareas que solo el usuario raíz pueda realizar. Para ver la lista completa de las tareas que requieren que inicie sesión como usuario raíz, consulta Tareas que requieren credenciales de usuario raíz en la Guía del usuario de IAM.

Identidad federada

Como práctica recomendada, exija a los usuarios humanos, incluidos los que requieren acceso de administrador, que utilicen la federación con un proveedor de identidad para acceder a AWS los servicios mediante credenciales temporales.

Una identidad federada es un usuario del directorio de usuarios empresarial, un proveedor de identidades web, AWS Directory Service, el directorio Identity Center o cualquier usuario que acceda a los AWS servicios mediante credenciales proporcionadas a través de una fuente de identidad. Cuando las identidades federadas acceden a AWS las cuentas, asumen funciones y las funciones proporcionan credenciales temporales.

Para la administración centralizada del acceso, le recomendamos que utilice el Centro de identidades de AWS IAM. Puede crear usuarios y grupos en el Centro de identidades de IAM, o puede conectarse y sincronizarse con un conjunto de usuarios y grupos de su propia fuente de identidad para usarlos en todas sus AWS cuentas y aplicaciones. Para obtener información sobre el Centro de identidades de IAM, consulte ¿Qué es el Centro de identidades de IAM? en la Guía del AWS usuario del IAM Identity Center.

Usuarios y grupos de IAM

Un usuario de IAM es una identidad de su AWS cuenta que tiene permisos específicos para una sola persona o aplicación. Siempre que sea posible, recomendamos emplear credenciales temporales, en lugar de crear usuarios de IAM que tengan credenciales de larga duración como contraseñas y claves de acceso. No obstante, si tiene casos de uso específicos que requieran credenciales de larga duración con usuarios de IAM, recomendamos rotar las claves de acceso. Para más información, consulte Rotar las claves de acceso periódicamente para casos de uso que requieran credenciales de larga duración en la Guía del usuario de IAM.

Un grupo de IAM es una identidad que especifica un conjunto de usuarios de IAM. No puede iniciar sesión como grupo. Puede usar grupos para especificar permisos para varios usuarios a la vez. Los grupos facilitan la administración de los permisos para grandes conjuntos de usuarios. Por ejemplo, puede asignar un nombre a un grupo IAMAdminsy concederle permisos para administrar los recursos de IAM.

Los usuarios son diferentes de los roles. Un usuario se asocia exclusivamente a una persona o aplicación, pero la intención es que cualquier usuario pueda asumir un rol que necesite. Los usuarios tienen credenciales de larga duración permanentes; no obstante, los roles proporcionan credenciales temporales. Para obtener más información, consulte Casos de uso para usuarios de IAM en la Guía del usuario de IAM.

Roles de IAM

Un rol de IAM es una identidad de tu AWS cuenta que tiene permisos específicos. Es similar a un usuario de IAM, pero no está asociado a una persona específica. Puede asumir temporalmente una función de IAM en la consola AWS de administración cambiando de función. Puede asumir un rol llamando a una operación de AWS CLI o AWS API o utilizando una URL personalizada. Para más información sobre los métodos para el uso de roles, consulte Uso de roles de IAM en la Guía del usuario de IAM.

Los roles de IAM con credenciales temporales son útiles en las siguientes situaciones:

Para obtener información sobre el uso de los roles de IAM, consulte Cuándo crear un rol de IAM (en lugar de un usuario) en la Guía del usuario de IAM.