Tanquem el capítol d'IAM amb una llista pràctica de bones pràctiques: les coses que has de fer sempre per mantenir el teu compte d'AWS segur. Considera-ho el teu checklist de seguretat. Moltes ja les hem vist al llarg del capítol; aquí les reunim i ordenem perquè les apliquis des del primer dia.

L'usuari root (el correu amb què vas crear el compte) té poder absolut. És el teu actiu més sensible.

• Activa MFA al root immediatament (subcapítol 7.4).
• No generis claus d'accés per al root. Si en té, esborra-les.
• No el facis servir per al dia a dia. Crea un usuari IAM administrador per a la teva feina.
• Guarda les seves credencials en un lloc molt segur i fes-lo servir només per a les poques tasques que ho requereixen obligatòriament (com tancar el compte o canviar el pla de suport).

Aquesta és la pràctica número u. Un compte root compromès és un compte perdut completament.

• MFA al root (obligatori).
• MFA a tots els usuaris amb permisos rellevants, especialment administradors.
• Per a empreses, considera exigir MFA per política (que no es pugui fer res sensible sense ell).

El principi del subcapítol 7.2, en forma d'accions concretes:

• Dona només els permisos necessaris, no AdministratorAccess per comoditat.
• Sigues específic amb accions i recursos.
• Revisa periòdicament i treu permisos que ja no s'utilitzen.
• Fes servir IAM Access Analyzer (eina gratuïta d'AWS) per detectar permisos excessius o accessos no intencionats des de fora.

• No adjuntis polítiques usuari per usuari. Crea grups per funció (Desenvolupadors, Administradors, Suport…) i assigna permisos al grup.
• Afegir o treure algú és tan simple com posar-lo o treure'l del grup.
• Més fàcil de mantenir i menys propens a errors.

• No incrustis mai claus d'accés dins d'una instància EC2, una Lambda o el codi de la teva aplicació.
• Assigna un rol amb els permisos justos (subcapítols 7.1 i 7.4). El servei obté credencials temporals automàticament, sense claus per robar.
• Això també val per a la teva canalització de CI/CD i per a eines com Terraform.

• Prefereix credencials temporals (STS / rols) sempre que puguis.
• Si necessites claus permanents per a una persona, rota-les regularment (canvia-les cada cert temps).
• No pugis mai claus a un repositori Git. Fes servir un gestor de secrets (Capítol 23) i eines que detectin claus al codi abans de pujar-lo.
• Desactiva les claus que no s'utilitzin.

Recordatori del perill real: els bots escanegen GitHub buscant claus filtrades i les exploten en segons. Una clau permanent filtrada amb molts permisos pot costar-te milers d'euros. Tracta les claus com contrasenyes: secretes, rotades i mínimes.

• Defineix una política de contrasenyes al teu compte: longitud mínima, barreja de caràcters, caducitat raonable, no reutilització.
• Anima a fer servir gestors de contrasenyes.

No pots protegir el que no veus. Activa el registre de qui fa què:

• AWS CloudTrail: registra totes les accions realitzades al teu compte (qui, què, quan). És la teva «càmera de seguretat». Imprescindible i l'hauries d'activar des del principi.
• CloudWatch (Capítol 24) per a alarmes davant d'activitat sospitosa.
• GuardDuty (Capítol 23) per a detecció automàtica d'amenaces.

Veurem aquestes eines a la Part VI; de moment, queda't amb que l'auditoria és part de la seguretat.

• Per a diverses persones o diversos comptes, fes servir AWS IAM Identity Center (abans AWS SSO): accés centralitzat, amb credencials temporals i MFA, sense crear usuaris IAM un a un.
• En entorns grans, combina amb AWS Organizations i Service Control Policies (Capítol 23 i 30) per posar límits a nivell de tota l'organització.

La teva llista mínima de seguretat IAM des del dia u:

Consell: Configura això en crear el compte, abans de començar a construir res. És molt més fàcil partir d'una base segura que «arreglar la seguretat després».

• Protegeix el root (MFA, sense claus, no fer-lo servir a diari): és la prioritat número u.
• MFA a tot arreu i mínim privilegi sempre.
• Grups per a persones, rols per a serveis; evita claus permanents i no les pugis mai a Git.
• Audita amb CloudTrail des del principi: la visibilitat és part de la seguretat.
• Per a equips i multi-compte, centralitza amb IAM Identity Center i Organizations.
• Aplica el checklist en crear el compte, no després.

Amb això tanques el Capítol 7 i domines la identitat i els accessos. Al Capítol 8, l'últim dels serveis essencials, veurem les bases de dades gestionades d'AWS.