# IAM

> El reglamento que dice quién puede hacer qué en tu cuenta de AWS.

- Nivel: Básico
- Temas: AWS
- URL: https://tidbit.legios.com.ar/es/iam/
- En inglés: [IAM](https://tidbit.legios.com.ar/iam/)

**IAM** (Identity and Access Management) es el servicio de AWS que controla los permisos. Cada acción en AWS (leer un archivo en Amazon S3, prender una instancia de Amazon EC2, borrar una base de datos) pasa primero por IAM: ¿quién pide, y tiene permiso? Por defecto la respuesta es no; los permisos los otorgás vos explícitamente.

Tiene tres piezas principales. Los **usuarios** son personas o programas con sus propias credenciales. Los **roles** son conjuntos de permisos que algo puede asumir por un rato: una función de AWS Lambda, una instancia EC2, una persona de otra cuenta. Las **políticas** son documentos JSON que listan qué está permitido, por ejemplo 'permitir `s3:GetObject` sobre el bucket `facturas` y nada más'. Las políticas se adjuntan a usuarios, grupos o roles.

Por qué importa: la mayoría de los incidentes de seguridad en la nube no son hackeos ingeniosos sino claves filtradas con demasiados permisos. El hábito que IAM fomenta es el **mínimo privilegio**: darle a cada persona y a cada programa exactamente lo que necesita. Un script de reportes tiene que poder leer un bucket, no vaciar la cuenta.

## Una analogía

El sistema de tarjetas de un edificio. Cada tarjeta (un usuario o un rol) abre solo las puertas que tiene listadas (las políticas). La tarjeta del equipo de limpieza abre las oficinas de noche pero no la sala de servidores, y una tarjeta perdida se cancela sin cambiar las cerraduras.

## Para quedarse

- Todo está denegado hasta que una política lo permite explícitamente.
- Preferí roles antes que claves de acceso permanentes; los roles entregan credenciales temporales.
- Protegé al usuario root con MFA y casi nunca lo uses.
- IAM es gratis y viene con toda cuenta de AWS.

## Para seguir leyendo

- [¿Qué es IAM? (documentación oficial)](https://docs.aws.amazon.com/es_es/IAM/latest/UserGuide/introduction.html)
- [AWS IAM](https://aws.amazon.com/es/iam/)

## Términos relacionados

- [Amazon S3](https://tidbit.legios.com.ar/es/amazon-s3/): Un cajón gigante en internet para guardar archivos, alquilado por gigabyte.
- [Amazon EC2](https://tidbit.legios.com.ar/es/amazon-ec2/): Computadoras virtuales que alquilás por hora, del tamaño que quieras, y después apagás.
- [Base de datos](https://tidbit.legios.com.ar/es/database/): Un depósito ordenado de datos que los programas consultan y actualizan sin riesgo.
- [AWS Lambda](https://tidbit.legios.com.ar/es/aws-lambda/): Correr un pedazo de código solo cuando pasa algo, sin ningún servidor que administrar.
- [JSON](https://tidbit.legios.com.ar/es/json/): El formato de texto con el que los programas se pasan datos estructurados.
- [Computación en la nube](https://tidbit.legios.com.ar/es/cloud-computing/): Alquilar computadoras por internet en vez de comprar las tuyas.
- [Zero trust](https://tidbit.legios.com.ar/es/zero-trust/): Seguridad que revisa cada pedido, en vez de confiar en lo que está adentro de la red.
- [Servidor](https://tidbit.legios.com.ar/es/server/): Una computadora cuyo trabajo es responder pedidos de otras computadoras, todo el día.