c1.5 Protege la cuenta root

Evita usar root

El usuario root tiene acceso irrestricto y no puede limitarse con políticas de IAM, así que úsalo solo para las pocas tareas que realmente lo requieren. Para todo lo demás usa acceso federado de menor privilegio desde una fuente de identidad centralizada. Nunca crees access keys para root — son credenciales durables e irrestrictas.

Gestiona de forma central o elimina root en las cuentas miembro

Con AWS Organizations puedes gestionar el acceso root de forma central: eliminar por completo las credenciales de root de las cuentas miembro y realizar las raras tareas privilegiadas de root de forma central cuando haga falta. Así solo tienes un usuario root que proteger (el de la cuenta de administración) en vez de uno por cuenta — una gran reducción de la superficie de ataque privilegiada. Como alternativa, deniega las acciones de root en las cuentas miembro con AWS Control Tower o una SCP como:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RestrictRootOnMemberAccounts",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
    }
  ]
}

Protege el root que conserves

El root de la cuenta de administración no está sujeto a SCPs, así que necesita la protección más fuerte:

• Habilita MFA (ahora obligatorio) — prefiere un dispositivo de hardware/FIDO2 y considera el control de dos personas (una sabe la contraseña, otra tiene el dispositivo MFA).
• Nunca asocies access keys a root.
• Alerta ante cada inicio de sesión de root (CloudTrail hacia una notificación de SNS), ya que el uso de root debe ser raro y deliberado.
• Mantén vigentes los contactos de seguridad de la cuenta para preservar la vía de recuperación.