Tu cuenta de AWS y el usuario raíz

Todo lo que haces en AWS pasa dentro de una cuenta. La cuenta agrupa tus recursos (servidores, buckets, bases de datos), tus identidades y permisos, y tu factura. Es también un límite de seguridad: por defecto, nada de una cuenta puede tocar lo de otra.

Al crear la cuenta nace una identidad con poder total sobre ella: el usuario raíz. Entra con el correo y la contraseña que usaste al registrarte. Nada en la cuenta puede quitarle permisos con una política de IAM.

Qué contiene una cuenta

• Un identificador de 12 dígitos, como 123456789012. Aparece en los ARN de tus recursos.
• Recursos en las regiones que uses. La cuenta es global; casi todos los recursos viven en una región.
• Identidades: el usuario raíz y lo que crees en IAM (usuarios, grupos, roles).
• Facturación: un método de pago y una factura mensual con todo lo que consumió la cuenta.

Por ser un límite de seguridad y de costos, muchas empresas usan una cuenta por ambiente o por equipo. Eso se ve en Muchas cuentas: Organizations y Control Tower.

Lo que solo el usuario raíz puede hacer

AWS recomienda usar el usuario raíz solo para las tareas que lo exigen. La lista oficial incluye, entre otras:

• Cambiar el correo de la cuenta, la contraseña del raíz o sus llaves de acceso (en cuentas que no están en una organización).
• Cerrar una cuenta independiente y reabrirla durante el periodo posterior al cierre.
• Restaurar permisos si el único administrador de IAM se quitó los suyos por error.
• Activar el acceso de IAM a la consola de Billing and Cost Management y ver ciertas facturas de impuestos.
• Registrarse como vendedor en el Reserved Instance Marketplace.
• Activar MFA Delete en un bucket de S3.
• Editar o borrar una política de bucket de S3 o de cola de SQS que niega el acceso a todos.
• Registrarse en AWS GovCloud (US).

MFA: el segundo cerrojo

La autenticación multifactor (MFA) pide algo que sabes (la contraseña) y algo que tienes (un llavero de seguridad, una passkey o una app de códigos en el teléfono). Si alguien roba la contraseña, sin el segundo factor no entra. AWS exige MFA para el usuario raíz por defecto: si no lo configuraste al crear la cuenta, te lo pide al iniciar sesión.

Para el raíz conviene una llave física o una passkey, y registrar más de un dispositivo para no quedarte afuera si pierdes uno.

Primeros pasos con una cuenta nueva

1. 1

   Asegura el raíz

   Contraseña larga y única, MFA activado y sin llaves de acceso. Usa un correo de grupo que controle la empresa, no el de una persona.
2. 2

   Llena los contactos alternos

   Contactos de facturación, operaciones y seguridad. AWS los usa para avisos importantes.
3. 3

   Crea una identidad administrativa

   Lo recomendado es un usuario en IAM Identity Center (ver Acceso para equipos). Desde ahí trabajas a diario.
4. 4

   Cierra la sesión del raíz

   Guarda las credenciales en un lugar seguro y no vuelvas a usarlas salvo para las tareas que lo exigen.
5. 5

   Activa alertas de costo

   Un presupuesto en AWS Budgets te avisa si el gasto se dispara, por ejemplo por credenciales filtradas.
6. 6

   Enciende el registro de actividad

   Un trail de CloudTrail guarda quién hizo qué. Es la minuta de portería de la cuenta.