Crear un usuario admin en AWS
Cuando creamos nuestra primera cuenta cloud con AWS, lo que nos interesa de primer momento es aprender a desplegar los cientos de servicios que este proveedor ofrece. Sin embargo, es de suma importancia emprender el proceso de aprendizaje tomando en cuenta las buenas prácticas para así, evitar acostumbrarnos a levantar servicios en la nube, sin tomar en cuenta factores tan importantes como la seguridad de nuestras credenciales.
Es por ello que a través de este sencillo tutorial, explicaremos la manera de generar un usuario diferente al root, a través del cual administraremos nuestros servicios cloud en AWS tanto en la consola como de manera programática.
Prerrequisitos:
- Cuenta AWS (capa gratuita).
Crear usuario:
En este punto se asume que se tiene ya creada la cuenta root de AWS y su respectivo MFA activo. Esta cuenta root solo será utilizada para esencialmente tres cosas:
- IAM: servicio para administrar usuarios, roles, grupos y políticas de acceso.
- AWS Organizations: servicio utilizado para administrar diferentes cuentas AWS.
- Billing: seguimiento de gastos y facturación de las cuentas AWS.
Para todos los demás procesos operativos referentes al despliegue de entornos y servicios, se generará un usuario con permisos de administrador. Para esto ingresamos a la consola AWS como root y escribimos en el buscador IAM, entramos en ese servicio y en el panel izquierdo hacemos clic en la opción Usuarios:
Luego, en la esquina superior izquierda, hacemos clic en el botón Agregar Usuarios:
En esta pantalla le damos nombre a nuestro usuario, que en este caso es aws.admin. También seleccionamos los checkbox de credenciales de AWS para poder acceder programáticamente a través del CLI, el SDK y la API y a su vez creamos la contraseña para acceder también a la consola AWS y la opción de restablecer la contraseña para permitir a este usuario cambiar su contraseña:
El siguiente paso lo omitimos, ya que los permisos los heredara el usuario del grupo de usuarios al que pertenezca, el grupo de usuarios lo crearemos más adelante. El siguiente paso en la creación del usuario es añadir etiquetas, se considera una buena práctica añadir etiquetas descriptivas al usuario tal como se explica en la pantalla:
Revisamos que todo este correcto y damos clic al botón Crear un usuario:
AWS nos confirma la correcta creación del usuario, ahora solo nos queda guardar en un sitio seguro las credenciales, podemos descargarnos un .csv que las contiene o simplemente copiarlas. Finalmente, hacemos clic en el botón Cerrar:
Aún no hemos finalizado de configurar nuestro usuario. Por razones de seguridad, AWS recomienda siempre activar el MFA (Multi-Factor Authentication) que es lo que haremos a continuación. En la pantalla de Usuarios hacemos clic en el usuario que acabamos de crear:
Seleccionamos la pestaña Credenciales de seguridad y allí nos ubicamos en el parámetro Dispositivo MFA asignado y hacemos clic en la opción Administración:
Aparecerá una ventana emergente con las diferentes opciones de dispositivos MFA, en este punto hemos de seleccionar el que nos corresponda. En este caso, seleccionaremos el más habitual que es el MFA virtual:
Nuevamente, nos aparece una ventana emergente indicándonos las instrucciones para configurar el MFA virtual, en nuestro caso utilizamos Microsoft Authenticator, pero hay una lista bastante variada de aplicaciones compatibles con esta opción. Luego de escanear el código QR e incluir los códigos, hacemos clic en el botón Asignar MFA:
El sistema nos confirmará la asignación exitosa del MFA virtual:
Crear el grupo de usuarios:
En el panel izquierdo hacemos clic en la opción Grupos de usuarios:
Ahora en la parte superior izquierda hacemos clic en el botón, Crear un grupo:
Asignamos un nombre al grupo, en este caso GroupAdmin:
Asignamos nuestro usuario aws.admin al grupo que vamos a crear:
Como la idea de crear este usuario es implementar de manera práctica cualquier hands-on para el cloud de AWS, es correcto crearlo con unos permisos tan amplios. Si estuviéramos generando un usuario para un entorno real, lo correcto sería crearlo con un mínimo de permisos y a medida que se requiera, ir ampliando los permisos del mismo.
Get John Ramirez’s stories in your inbox
Join Medium for free to get updates from this writer.
Aclarado lo anterior, asignamos la política de permisos AdministratorAccess la cual da acceso administrativo a todos los servicios y recursos AWS y al final de la página hacemos clic en Crear un grupo:
Validamos que el grupo esté creado:
Accedemos también al usuario para revisar que la política aplicada al grupo este asociado a este:
Finalmente, nos salimos de la sesión root en la consola AWS y entramos nuevamente, pero esta vez con las nuevas credenciales de aws.admin:
Nos pedirá la contraseña que hemos creado para acceder a la consola (no confundir con las claves programáticas):
Solicitará el código del MFA:
Como es la primera vez que entramos, nos pedirá que cambiemos la contraseña. Hacemos el proceso y confirmamos el cambio de password:
Entramos a la consola AWS y confirmamos que estamos registrados con el usuario creado:
Ya podemos crear recursos y levantar servicios con nuestro usuario administrador, tanto en la consola AWS como programáticamente. Cualquier duda o corrección, por favor, en la caja de comentarios debajo.
