Saltar a contenido

PR201 — Usuarios y políticas

Qué es esto

Guía de apoyo al lab. El enunciado y la rúbrica están en el Tema 2. Entrega: Cómo entregar → PR201.md (o ZIP + img/).

Antes de empezar

  • Preferente: lab de IAM de Academy en el Módulo 4 de Cloud Foundations. Se abre desde ese módulo (su propio Start Lab), no desde el Learner Lab.
  • Ese lab ya trae los usuarios user-1, user-2 y user-3, y los grupos S3-Support, EC2-Support y EC2-Admin. No crees usuarios ni grupos nuevos en ese ejercicio.
  • El Learner Lab es otro curso: ahí no puedes crear usuarios, grupos ni roles IAM. Si el lab del Módulo 4 no está disponible, la alternativa es analizar políticas (ver abajo), no crear identidades en el Learner Lab.
  • Región: la que indique el lab del Módulo 4. IAM es global, pero anota en qué región miras el resto de servicios.
  • Entra al lab desde el Módulo 4 de tu clase de Foundations y no uses el usuario raíz (root).
  • No pegues access keys ni capturas con secretos en el .md.
  • Docs de apoyo (lectura): IAM users y policies.

Recorrido orientativo (lab Módulo 4)

  1. Abre el lab del Módulo 4. En tu clase de Cloud Foundations, entra al Módulo 4 y lanza su Start Lab. Abre IAM. Comprueba (esquina superior / identidad) que no eres root. Anótalo en el .md.

  2. Usuarios ya creados. En Users localiza user-1, user-2 y user-3. No pulses Create user.

  3. Grupos ya creados. En User groups localiza S3-Support, EC2-Support y EC2-Admin. Anota qué política o permisos resume cada uno según el guion del lab.

  4. Añade cada usuario a su grupo. Sigue el enunciado del LMS (qué usuario va a qué grupo). Anota la asignación exacta en el .md.

  5. Entra como cada usuario. Con la contraseña o el procedimiento que indique el lab, inicia sesión como user-1, luego como user-2 y como user-3. Prueba una acción permitida (por ejemplo listar o leer según el grupo) y una acción fuera de lo permitido.

  6. Acción denegada (AccessDenied). Deberías ver un error AccessDenied / not authorized. Captura el mensaje (basta con acción + denegación; sin Account ID completo si molesta).

  7. Revisión de evidencias. En el .md: identidad de trabajo (sesión del lab), tabla usuario → grupo, qué pudo hacer cada uno, captura o texto de la denegación.

  8. Cierre. Cierra las sesiones de user-1… No borres usuarios ni grupos del lab (son de Academy). End Lab al terminar.

Alternativa (si el lab del Módulo 4 no está disponible)

No crees usuarios en el Learner Lab (ese entorno no lo permite). Analiza las políticas de los grupos del lab del Módulo 4 (captura o PDF del enunciado) o lee una política JSON dada y explica, en párrafos, qué permite, qué deniega y un ejemplo de acción que fallaría. Esa explicación sustituye la captura de AccessDenied en consola.

Evidencia ↔ rúbrica

Criterio Qué dejar en el .md
Lab / usuarios Asignación user-1… → grupos del Módulo 4 (o análisis alternativo)
Mínimo privilegio Captura o texto del AccessDenied, o explicación de qué deniega la política
Buenas prácticas Sin root; sin access keys en el entregable
Claridad del .md Nombres, capturas o razonamiento legible

Capturas

Las figuras de esta página son de apoyo. En tu .md del lab usa capturas propias del mismo paso; sin Account ID, claves ni contraseñas.

Resultados Denied en IAM Policy Simulator
Policy Simulator con resultados Denied. Fuente: IAM User Guide (AWS).

Errores frecuentes

  • Trabajar como root.
  • Intentar Create user en el lab del Módulo 4 o en el Learner Lab (el ejercicio ya trae los usuarios; el Learner Lab no permite crearlos).
  • Pegar access keys o capturas con secretos en el .md o en el chat.
  • Confundir el rol LabRole (para EC2/Lambda) con «entrar al lab».
  • Entregar solo capturas sin explicar qué pudo hacer cada usuario.

Limpieza

Cierra sesiones de user-1… y haz End Lab. No borres los usuarios ni grupos del ejercicio de Academy.