Crear un rol de acceso en AWS
Continuando con los artículos de configuración básica en AWS, esta vez procederemos con la creación de un rol que es una identidad IAM con permisos específicos muy similar a un usuario. Las diferencias con respecto a los usuarios (se diría también que ventajas) son las siguientes:
- Un rol puede ser asumido por cualquier usuario o recurso.
- Los roles no tienen asociadas credenciales a largo plazo estándar. Por tanto, es una manera muy segura de asignar permisos.
Para fines de este artículo, el rol creado será asignado a un usuario dentro de un grupo de usuarios que no va a tener permiso alguno, salvo el de asumir el rol.
Prerrequisitos:
- Cuenta AWS (capa gratuita).
- Usuario/Grupo de usuarios creados según artículo: Crear un usuario Admin en AWS. Tanto grupo de usuarios como el usuario no deben tener ninguna política asignada.
Crear un rol:
Dentro de la consola AWS, buscamos el servicio IAM, allí dentro en el panel derecho seleccionamos la opción Roles y damos clic en Crear rol:
En primer lugar, debemos seleccionar la entidad de confianza entre la cuenta admin y el rol que estamos creando. Lo que permitirá esto es que, la cuenta configurada asignara al rol las credenciales temporales necesarias para autenticarse en AWS. Seleccionamos entonces la opción Cuenta de AWS que en este caso es la misma con la que estamos registrados en la consola y hacemos clic en siguiente:
Ahora nos toca agregar los permisos, en este caso daremos unos permisos bastante abiertos con la política PowerUserAccess. Como esta política está pre configurada en AWS basta con poner en el buscador su nombre, seleccionarla y nuevamente clic en siguiente:
Revisamos los detalles del rol, le asignamos el nombre de PowerUserRole y hacemos clic en el botón Crear rol que está en el extremo inferior izquierdo de la página:
Validamos la creación del rol y tomamos nota de los parámetros ARN y el enlace:
Permisos en grupo de usuarios:
Con el rol ya creado, accedemos al grupo de usuarios configurado como prerrequisito y en la pestaña Permisos damos clic en Añadir permisos opción Crear política insertada:
En la siguiente ventana seleccionamos la pestaña JSON y copiamos la siguiente política:
El valor 7000XXXXXX corresponde al ID de la cuenta AWS sobre la cual creamos el rol. Este valor debe ser cambiado por la cuenta con la que se hubiese configurado el rol. Hecho esto, damos clic en el botón Revisar la política:
Revisamos, asignamos el nombre SwitchPowerUserRole a la política y damos clic en el botón Crear una política:
En la pestaña Access Advisor validamos el servicio y permiso asignado al Grupo de usuarios:
También validamos al usuario creado previamente (debería estar asignado al grupo de usuarios):
Validar el rol:
Para validar que la asignación del rol funcione de manera correcta, debemos ingresar a la consola AWS con el usuario creado, en este caso usaremos el usuario aws.devops que validamos en el paso anterior:
Si intentamos crear un bucket S3 veremos que este usuario no tiene permisos para prácticamente hacer nada en este servicio. Esto es correcto, pues ingresamos con el usuario sin haber cambiado su rol, de momento solo tiene sus permisos por defecto.
Ahora intentemos cambiar el rol del usuario, para ello en la esquina superior derecha, donde está el nombre de usuario y la cuenta AWS, desplegamos la ventana y seleccionamos Cambiar el rol:
En la pantalla de registro que aparece colocamos los valores que correspondan a la cuenta (Account) y Role (Rol). Por supuesto, deben ser los valores que hemos configurado con anterioridad en este artículo. El Display Name puede ser cualquier dato, luego de esto damos clic en Switch Role:
Ahora tenemos permisos para crear el bucket y todos los recursos y servicios que el PowerUserRole tiene configurados.
De esta manera podemos tener un rol para cada caso y sencillamente asignarlo al usuario que corresponda. Lo normal es que los roles sean bastante más restrictivos que en el ejemplo presentado en este tutorial, pero la idea es conocer el concepto y uso de un rol.
Get John Ramirez’s stories in your inbox
Join Medium for free to get updates from this writer.
La recomendación es que en las prácticas de utilización y estudio de AWS, se usen roles, pues esa forma de asignar permisos es la más usada en proyectos reales. Sugerencias, correcciones y demás, por favor en los comentarios.
