Saltar al contenido principal

Agente ITOps - Aprovisionamiento de Cuenta de Servicio AWS IAM

Propósito: Guía paso a paso para aprovisionar una cuenta de servicio (beaksvc-itops) para que el agente IA Beak ITOps realice operaciones básicas de gestión del ciclo de vida de usuarios de AWS IAM.

Alcance: Crear Usuario, Actualizar Información de Usuario, Restablecimiento de Contraseña/Credenciales

Tiempo Estimado de Finalización: 2-3 horas (incluyendo pruebas)

Resumen Ejecutivo​

Este documento proporciona una guía condensada y orientada a la acción para:

  1. Crear una cuenta de servicio AWS IAM (beaksvc-itops)
  2. Adjuntar los permisos mínimos requeridos mediante una política IAM personalizada
  3. Generar claves de acceso a la API para la integración del agente Beak
  4. Habilitar el registro de auditoría mediante CloudTrail
  5. Validar la configuración con pruebas rápidas
  6. Entregar las credenciales al equipo de implementación de Beak

Requisitos Previos​

Antes de comenzar, asegúrese de contar con:

  • ✅ Cuenta AWS con acceso administrativo
  • ✅ Permiso para crear usuarios y políticas IAM
  • ✅ Permiso para habilitar CloudTrail
  • ✅ Almacenamiento seguro para las claves de acceso (AWS Secrets Manager o bóveda de credenciales)
  • ✅ ID de cuenta AWS (número de 12 dígitos): __________________

Paso 1: Crear Cuenta de Servicio IAM​

Tiempo: 15 minutos

1.1 Acceder a la Consola AWS IAM​

  1. Inicie sesión en la Consola de Administración de AWS
  2. Navegue al servicio IAM
  3. En la barra lateral izquierda, haga clic en Users
  4. Haga clic en el botón Create user

1.2 Configurar Detalles del Usuario​

  1. User name: Ingrese beaksvc-itops
  2. Provide user access to the AWS Management Console: Deje DESMARCADO (solo acceso programático)
  3. Haga clic en Next

1.3 Establecer Permisos​

  1. En la página "Set permissions", seleccione Attach policies directly
  2. NO adjunte ninguna política todavía (crearemos una política personalizada en el Paso 2)
  3. Haga clic en Next

1.4 Revisar y Crear​

  1. Revise la configuración
  2. Haga clic en Create user
  3. ✓ Cuenta de servicio beaksvc-itops creada exitosamente

Paso 2: Crear Política IAM Personalizada​

Tiempo: 20 minutos

2.1 Navegar a la Creación de Política​

  1. En la Consola de Administración de AWS, vaya a IAM > Policies
  2. Haga clic en el botón Create policy
  3. Haga clic en la pestaña JSON

2.2 Agregar Documento de Política​

Copie y pegue la siguiente política JSON. Reemplace ACCOUNT_ID con su ID de cuenta AWS de 12 dígitos:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateUser",
            "Effect": "Allow",
            "Action": [
                "iam:CreateUser",
                "iam:CreateAccessKey",
                "iam:CreateLoginProfile"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:user/itops/*"
        },
        {
            "Sid": "AllowUpdateUserAttributes",
            "Effect": "Allow",
            "Action": [
                "iam:UpdateUser",
                "iam:TagUser",
                "iam:UntagUser",
                "iam:GetUser",
                "iam:ListUserTags"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:user/itops/*"
        },
        {
            "Sid": "AllowPasswordReset",
            "Effect": "Allow",
            "Action": [
                "iam:UpdateAccessKey",
                "iam:CreateAccessKey",
                "iam:DeleteAccessKey",
                "iam:GetAccessKeyLastUsed",
                "iam:ListAccessKeys"
            ],
            "Resource": "arn:aws:iam::ACCOUNT_ID:user/itops/*"
        },
        {
            "Sid": "AllowGroupManagement",
            "Effect": "Allow",
            "Action": [
                "iam:AddUserToGroup",
                "iam:RemoveUserFromGroup",
                "iam:GetGroup",
                "iam:ListGroupsForUser"
            ],
            "Resource": [
                "arn:aws:iam::ACCOUNT_ID:user/itops/*",
                "arn:aws:iam::ACCOUNT_ID:group/itops/*"
            ]
        },
        {
            "Sid": "AllowListAndRead",
            "Effect": "Allow",
            "Action": [
                "iam:ListUsers",
                "iam:ListGroups",
                "iam:ListPolicies",
                "iam:GetUserPolicy",
                "iam:ListUserPolicies",
                "iam:ListAttachedUserPolicies"
            ],
            "Resource": "*"
        }
    ]
}

2.3 Revisar y Crear Política​

  1. Haga clic en Next
  2. Policy name: BeakIAMUserManagement
  3. Description: Service account policy for Beak ITOps agent to manage IAM users and credentials
  4. Haga clic en Create policy
  5. ✓ Política BeakIAMUserManagement creada exitosamente

Paso 3: Adjuntar Política a la Cuenta de Servicio​

Tiempo: 10 minutos

3.1 Navegar al Usuario​

  1. Vaya a IAM > Users
  2. Haga clic en beaksvc-itops

3.2 Adjuntar Política​

  1. Haga clic en la pestaña Permissions
  2. Haga clic en Add permissions > Attach policies directly
  3. Busque BeakIAMUserManagement
  4. Seleccione la casilla de verificación junto al nombre de la política
  5. Haga clic en Add permissions

3.3 Verificar​

  1. Confirme que la política aparece en la sección "Permissions"
  2. ✓ Política adjuntada exitosamente

Paso 4: Generar Claves de Acceso​

Tiempo: 10 minutos

4.1 Crear Clave de Acceso​

  1. En la página del usuario beaksvc-itops, haga clic en la pestaña Security credentials
  2. En la sección "Access keys", haga clic en Create access key
  3. Seleccione Application running outside AWS
  4. Haga clic en Next
  5. (Opcional) Descripción: Beak ITOps AI Agent - IAM Management
  6. Haga clic en Create access key

4.2 Guardar Credenciales de Forma Segura​

⚠️ IMPORTANTE: Estas credenciales solo se mostrarán una vez. Guárdelas de inmediato.

  1. Copie el Access Key ID → Guárdelo en un lugar seguro
  2. Copie el Secret Access Key → Guárdelo en un lugar seguro
  3. Recomendado: Almacene en AWS Secrets Manager o una bóveda de credenciales

NO:

  • ❌ Compartir por correo electrónico o chat
  • ❌ Confirmar en repositorios de código
  • ❌ Almacenar en archivos de texto plano
  • ❌ Tomar capturas de pantalla sin cifrar

4.3 Verificar Clave de Acceso​

  1. Compruebe que el estado muestre Active
  2. Anote la fecha de creación
  3. ✓ Claves de acceso generadas y aseguradas

Paso 5: Habilitar Registro de Auditoría con CloudTrail​

Tiempo: 15 minutos

5.1 Navegar a CloudTrail​

  1. Vaya al servicio CloudTrail
  2. Haga clic en Create trail (o utilice un trail existente)

5.2 Configurar el Trail​

  1. Trail name: beaksvc-itops-audit
  2. S3 bucket: Cree un nuevo bucket o utilice uno existente: cloudtrail-logs-ACCOUNT_ID
  3. Enable CloudTrail log file validation: ✅ MARCADO
  4. Include global service events: ✅ MARCADO
  5. Haga clic en Create trail

5.3 Verificar el Estado de CloudTrail​

  1. Navegue a CloudTrail > Trails
  2. Confirme que el trail Status: Logging esté en ON
  3. ✓ CloudTrail habilitado para el registro de auditoría

Paso 6: Pruebas de Validación Rápidas​

Tiempo: 30 minutos

Prueba 1: Verificar que la Clave de Acceso Funciona​

  1. En su máquina local, configure la AWS CLI con la clave de acceso:
aws configure
# Enter: Access Key ID
# Enter: Secret Access Key
# Enter: Region (e.g., us-east-1)
# Enter: Output format (e.g., json)
  1. Ejecute un comando de prueba simple:
aws iam list-users
  1. Resultado Esperado: Lista de usuarios devuelta sin errores
  2. Estado: ✅ APROBADO / ❌ FALLIDO

Prueba 2: Crear Usuario de Prueba​

  1. Ejecute:
aws iam create-user --user-name test-user-itops-001
  1. Verifique en la Consola de AWS: IAM > Users > Confirme que test-user-itops-001 aparece
  2. Estado: ✅ APROBADO / ❌ FALLIDO

Prueba 3: Actualizar Atributos del Usuario​

  1. Ejecute:
aws iam tag-user --user-name test-user-itops-001 --tags Key=Environment,Value=Testing
  1. Verifique: Obtenga los detalles del usuario y confirme que la etiqueta aparece
  2. Estado: ✅ APROBADO / ❌ FALLIDO

Prueba 4: Crear Clave de Acceso (Restablecimiento de Contraseña)​

  1. Ejecute:
aws iam create-access-key --user-name test-user-itops-001
  1. Verifique: Nueva clave de acceso creada con estado "Active"
  2. Estado: ✅ APROBADO / ❌ FALLIDO

Prueba 5: Verificar el Registro de CloudTrail​

  1. Vaya a CloudTrail > Event history
  2. Filtre por Username: beaksvc-itops
  3. Verifique los eventos registrados:
    • ✅ CreateUser
    • ✅ TagUser
    • ✅ CreateAccessKey
  4. Estado: ✅ APROBADO / ❌ FALLIDO

Limpieza​

  1. Elimine el usuario de prueba:
aws iam delete-access-key --user-name test-user-itops-001 --access-key-id <KEY_ID>
aws iam delete-user --user-name test-user-itops-001

Las 5 pruebas deben estar APROBADAS antes de proceder a la entrega

Paso 7: Proporcionar Credenciales al Equipo de Implementación de Beak​

Tiempo: 10 minutos

Recopile y proporcione de forma segura la siguiente información:

Credenciales Requeridas​

AWS Account ID:           __________________
Service Account Username: beaksvc-itops
Access Key ID:            __________________
Secret Access Key:        __________________
Primary AWS Region:       __________________

Información de la Política​

Policy Name:              BeakIAMUserManagement
Policy ARN:               arn:aws:iam::ACCOUNT_ID:policy/BeakIAMUserManagement
User Path Scope:          /itops/*

Auditoría y Cumplimiento​

CloudTrail Trail Name:    beaksvc-itops-audit
S3 Bucket for Logs:       cloudtrail-logs-ACCOUNT_ID
Log File Validation:      Enabled ✓

Detalles Operacionales​

Allowed Operations:       Create User, Update User Info, Reset Credentials
User Path:                /itops/* (only users matching this path)

Método de Entrega:

  • Cifre las credenciales antes de enviarlas
  • Utilice transferencia segura de archivos o documento protegido con contraseña
  • Entregue a través de un canal de comunicación separado de los archivos adjuntos
  • Confirme la recepción con el equipo de Beak

Paso 8: Puntos de Control de Seguridad​

Antes de la entrega, verifique:

  • El usuario IAM beaksvc-itops existe
  • La política BeakIAMUserManagement está adjuntada
  • Las claves de acceso están generadas y almacenadas de forma segura
  • CloudTrail está habilitado y registrando
  • Las 5 pruebas de validación están APROBADAS
  • Las credenciales están almacenadas en un lugar seguro (Secrets Manager, bóveda, etc.)
  • No existen otras claves de acceso para este usuario
  • El acceso a la consola está deshabilitado para esta cuenta
  • La documentación de aprobación está completa

Solución de Problemas​

ProblemaSolución
Acceso denegado al crear usuarioVerifique que la política BeakIAMUserManagement esté adjuntada a beaksvc-itops
No se puede generar la clave de accesoAsegúrese de que beaksvc-itops esté habilitado y no existan restricciones de clave de acceso
CloudTrail no registraVerifique que el bucket S3 exista y tenga permisos de escritura para CloudTrail
La clave de acceso no funcionaVerifique que la clave de acceso esté Activa (no Inactiva) y que la región especificada sea correcta
Error de permisos en la políticaReemplace ACCOUNT_ID con el ID de cuenta de 12 dígitos real en el JSON de la política

Referencia Rápida​

Detalles de la Cuenta de Servicio​

Account Name:        beaksvc-itops
Account Type:        IAM User (programmatic access)
Console Access:      None
CloudTrail Logging:  Enabled

Política IAM​

Policy Name:         BeakIAMUserManagement
Scope:              /itops/* (configurable)
Least Privilege:    Yes
Operations:
  ✓ Create users
  ✓ Update user attributes
  ✓ Reset credentials
  ✓ Manage group membership
  ✗ Create roles
  ✗ Modify role policies

Resumen​

Ha completado exitosamente:

✅ Creación de la cuenta de servicio AWS IAM beaksvc-itops
✅ Creación y adjunto de la política IAM personalizada
✅ Generación de claves de acceso a la API
✅ Habilitación del registro de auditoría con CloudTrail
✅ Validación de la configuración con 5 pruebas
✅ Documentación de credenciales para la entrega

¡El agente Beak ITOps está listo para comenzar la gestión automatizada de usuarios de AWS IAM!