c2.6 Usar credenciales temporales en lugar de access keys
Los usuarios IAM y las access keys de larga duración son credenciales durables que siguen válidas hasta que alguien las rota. Prefiera roles IAM, que entregan credenciales de corta duración con expiración automática, y reserve AWS Secrets Manager para los secretos que realmente deba almacenar.
Guía de implementación
Prefiera roles sobre keys de larga duración
Los usuarios IAM y las access keys son credenciales de largo plazo: siguen válidas hasta que alguien las rota, y un exempleado o una key filtrada pueden seguir funcionando sin que nadie lo note. Use roles IAM en su lugar: emiten credenciales temporales con expiración.
- Cargas en EC2: adjunte un instance profile para que la aplicación use credenciales de rol, nunca keys embebidas.
- Funciones Lambda: use un rol de ejecución.
- Tareas de Amazon ECS: use un rol de tarea.
- Acceso humano: federe con IAM Identity Center para que las personas obtengan credenciales temporales desde su proveedor de identidad.
Para los secretos que deba almacenar, use Secrets Manager
Cuando una aplicación realmente necesita un secreto (una contraseña de base de datos, una API key de terceros), guárdelo en AWS Secrets Manager y recupérelo en tiempo de ejecución en lugar de codificarlo. Secrets Manager puede rotar automáticamente los secretos compatibles.
Cómo encaja
Cómo validar
- ¿Qué proporción de sus aplicaciones usa roles (instance profiles, roles de ejecución de Lambda/ECS) en lugar de access keys durables?
- ¿Los desarrolladores están capacitados para no almacenar secretos en el código?
- ¿Está evitando que se suban secretos al código (escaneo, verificaciones pre-commit)?
- ¿Usa AWS Secrets Manager para almacenar y rotar secretos como contraseñas de bases de datos?
Amenazas que atiende
- Las access keys compartidas por correo o chat, o dejadas a un exempleado, pueden usarse mucho después de que debieron revocarse.
- Las keys subidas al control de código las copia cualquiera con acceso de lectura y los adversarios las rastrean activamente en repositorios públicos.
- Las keys hardcodeadas son difíciles de rotar con rapidez, algo crítico durante un compromiso conocido.
Servicios AWS
AWS IAM 
AWS Secrets Manager 
AWS IAM Identity Center Precios
AWS Secrets Manager cuesta USD 0.40 por secreto al mes más USD 0.05 por cada 10,000 llamadas a la API, con una prueba gratuita de 30 días. Consulte precios de Secrets Manager.