c1.6 Centraliza la identidad y federa el acceso
Da a las personas acceso temporal y gestionado de forma central en lugar de usuarios IAM y access keys de larga vida. Conecta tu proveedor de identidad a AWS IAM Identity Center para conceder y revocar el acceso desde un solo lugar.
Guía de implementación
Usa una fuente de identidad central, no usuarios IAM
Los usuarios IAM de larga vida y sus access keys son secretos durables que se filtran, se comparten y se olvidan. En su lugar, federa el acceso con AWS IAM Identity Center, que entrega credenciales temporales a tus personas y aplicaciones. Conecta tu proveedor de identidad existente — Microsoft Entra ID, Okta, Ping, OneLogin, Google Workspace o AWS Directory Service — como fuente de identidad.
Si apenas empiezas y aún no tienes directorio, usa el almacén de identidades integrado de IAM Identity Center — igual obtienes credenciales temporales y gestión centralizada desde el día uno.
El punto es el desaprovisionamiento
El valor de seguridad está en el ciclo de alta/baja: integra la fuente de identidad con tu proceso de RR. HH. (directamente o vía un sistema de gestión de identidades/SCIM) para que, cuando alguien se va, su acceso a AWS se elimine en todas partes a la vez. Las access keys de larga vida no tienen esa propiedad — siguen funcionando hasta que alguien las borra.
Encuentra las llaves de larga duración a reemplazar
Genera un reporte de credenciales de la cuenta y lista cada usuario IAM que aún tiene una access key activa — estos son los candidatos a migrar a acceso federado y temporal:
aws iam generate-credential-report
aws iam get-credential-report \
--query 'Content' --output text | base64 -d \
| awk -F, 'NR==1 || $9=="true" || $14=="true"'Cómo encaja
Cómo validar
- ¿Dónde autenticas a los empleados y está conectado a IAM Identity Center?
- ¿Aún se aprovisionan usuarios IAM para acceso humano? ¿Con qué frecuencia se rotan sus access keys?
- Cuando alguien se va, ¿su acceso se elimina automáticamente — y cuánto tarda desde el evento de RR. HH. hasta la revocación real?
Amenazas que atiende
- ATT&CK Credential Access un exempleado (o cualquiera que tenga credenciales durables como access keys) puede conservar el acceso tras irse. Con un directorio central y federación, revocar la identidad elimina su acceso a AWS de inmediato.
Servicios AWS
AWS IAM Identity Center 
AWS IAM 
AWS Directory Service Precios
AWS IAM Identity Center se ofrece sin cargo adicional.