Unidad 3.2: Administración de identidad y acceso

Introducción

Piense en la gestión del acceso a los recursos en la nube como en la gestión de un edificio de oficinas concurrido. Necesita que algunas personas tengan llaves maestras (administradores), otras que accedan solo a pisos específicos (equipos de departamentos) y visitantes que necesiten tarjetas temporales para áreas limitadas. Sin un sistema para controlar quién entra en qué habitaciones, la seguridad se desmorona. La gestión de identidad y acceso (IAM) proporciona exactamente este tipo de control para su entorno en la nube.

En esta unidad, usted aprenderá cómo IONOS Cloud implementa IAM a través del Control de Acceso Basado en Roles (RBAC), la gestión de usuarios y grupos, tokens de autenticación API y la federación de identidades. Ya sea que esté asegurando los recursos de un pequeño equipo o gestionando el acceso en múltiples organizaciones, entender IAM es esencial para mantener la seguridad, el cumplimiento normativo y la eficiencia operativa.

1. Modelo de Control de Acceso Basado en Roles de IONOS (RBAC)

IONOS Cloud utiliza un modelo de Control de Acceso Basado en Roles (RBAC) para gestionar quién puede realizar qué acciones dentro de un contrato de cloud. El acceso se concede a través de roles, privilegios y grupos, lo que le permite implementar el Principio de Mínimo Privilegio en toda su plataforma.

1.1 Los Tres Roles Principales

IONOS Cloud define tres roles principales, cada uno con diferentes niveles de acceso:

Rol	Nivel de Acceso	Capacidades Clave	Restricciones
Propietario de la Cuenta	Acceso total (sin restricciones)	- Tiene todos los privilegios y permisos (no pueden ser revocados)<br>- Recibe todas las comunicaciones legales y facturas<br>- Puede agregar o eliminar a cualquier otro usuario<br>- Puede cambiar los métodos de pago	- No puede ser eliminado del contrato<br>- Este rol se asigna automáticamente al usuario que crea el contrato
Administrador	Acceso total (casi sin restricciones)	- Mismos derechos que el Propietario para la gestión de recursos<br>- Puede agregar o eliminar usuarios (excepto el Propietario)<br>- Puede gestionar todos los recursos de cloud (VDC, servidores, almacenamiento, etc.)	- No puede cambiar los métodos de pago<br>- No puede eliminar al Propietario
Usuario	Acceso limitado (concedido explícitamente)	- Puede realizar solo acciones asignadas explícitamente a través de privilegios<br>- Puede acceder solo a recursos compartidos con sus grupos<br>- Ideal para aplicar el Principio de Mínimo Privilegio	- No hay permisos predeterminados<br>- Debe ser concedido permisos explícitos para cada acción

El rol de Propietario se crea automáticamente cuando se registra por primera vez en IONOS Cloud y no puede ser transferido o eliminado. Esto garantiza que siempre haya un titular de la cuenta responsable de los asuntos de facturación y legales.

1.2 Cómo Funcionan los Privilegios

Los privilegios son concesiones de nivel de acción que definen qué puede hacer un usuario o grupo. Ejemplos incluyen "crear un Centro de Datos Virtual", "leer copias de seguridad", "gestionar Network File Storage" o "compartir instantáneas". En lugar de dar a alguien un acceso administrativo amplio, se asignan solo los privilegios específicos que necesitan para realizar su trabajo.

Los privilegios se pueden asignar de dos maneras:

Directamente a usuarios individuales - Útil para requisitos de acceso únicos o especiales
A grupos - Recomendado para la gestión escalable de equipos con responsabilidades compartidas

Por ejemplo, un administrador de bases de datos puede recibir privilegios para "Acceder y gestionar Database as a Service" y "Crear instantáneas", mientras que un especialista en monitorización recibe solo "Acceder y gestionar recursos de monitorización" sin la capacidad de modificar la infraestructura.

1.3 El Principio de Mínimo Privilegio (PoLP)

El Principio de Mínimo Privilegio significa conceder a los usuarios solo los permisos mínimos requeridos para realizar sus tareas. Esta práctica de seguridad reduce la superficie de ataque limitando qué puede acceder o dañar una cuenta comprometida.

IONOS permite la implementación de PoLP a través de:

Perfiles de grupo personalizados - Conjuntos predefinidos de privilegios granulares adaptados a funciones de trabajo específicas
Permisos de nivel de recurso - Conceder acceso a VDC, imágenes, instantáneas o bloques de IP específicos en lugar de todos los recursos
Revisión de acceso regular - Auditoría periódica de cuentas de usuario y revocación de privilegios innecesarios
Autenticación de Múltiples Factores (MFA) - Requerir un segundo factor de autenticación para cuentas con privilegios

Al implementar PoLP, comience por asignar cada función de trabajo al conjunto mínimo de acciones requeridas. Utilice el rol de Usuario con privilegios explícitos en lugar del rol de Administrador siempre que sea posible, y realice revisiones trimestrales para identificar y eliminar derechos de acceso obsoletos.

2. Administración de usuarios y grupos

Administrar el acceso para decenas o centenares de usuarios de forma individual sería laborioso y propenso a errores. IONOS Cloud proporciona la funcionalidad de usuarios y grupos para simplificar la administración de permisos a gran escala.

2.1 ¿Qué son los usuarios?

Un usuario es una identidad individual que puede iniciar sesión en la consola de IONOS Cloud Data Center Designer (DCD). Cada usuario se identifica por una dirección de correo electrónico única y puede asignársele privilegios específicos que definen qué acciones puede realizar.

Cuando crea un usuario, proporciona:

Nombre y apellido
Dirección de correo electrónico única (esta se convierte en el identificador de inicio de sesión)
Contraseña inicial (el usuario debe cambiarla en el primer inicio de sesión)

Independientemente de si un usuario se crea a través de la interfaz de DCD o mediante API, comienza con permisos predeterminados mínimos y no puede ver ningún recurso a menos que se compartan explícitamente con un grupo al que pertenece.

Solo el propietario del contrato y los administradores pueden crear y administrar usuarios.

2.2 ¿Qué son los grupos?

Un grupo es una colección lógica de usuarios que le permite aplicar permisos colectivamente en lugar de individualmente. Los grupos simplifican la administración de RBAC para equipos grandes o dinámicos al permitirle definir privilegios una vez y que todos los miembros del grupo hereden esos derechos automáticamente.

Por ejemplo, podría crear grupos como:

Usuarios de Network File Storage - Los miembros pueden acceder y administrar recursos de NFS
Operadores de bases de datos - Los miembros pueden administrar bases de datos de PostgreSQL, MariaDB y MongoDB
Observadores de Monitoring Service - Los miembros tienen acceso de solo lectura a los paneles de monitoreo

Cuando agrega un usuario a un grupo, hereda inmediatamente todos los privilegios asignados a ese grupo. Cuando lo elimina del grupo, pierde esos privilegios con la misma rapidez.

2.3 Creación y administración de grupos

Para crear un grupo en IONOS Cloud:

Navegue a Menú → Administración → Usuarios y grupos
Cambie a la pestaña Grupos
Haga clic en Crear y proporcione un nombre de grupo descriptivo
Agregue usuarios al grupo a través de la pestaña Miembros
Asigne privilegios a través de la pestaña Privilegios (los cambios se aplican de inmediato)
Opcionalmente, conceda al grupo acceso a recursos específicos a través de Conceder acceso

Los grupos son particularmente útiles cuando la composición del equipo cambia con frecuencia. En lugar de modificar los privilegios para cada usuario individual, simplemente agrega o elimina a los usuarios del grupo correspondiente. Este enfoque se recomienda para cualquier permiso que será compartido por dos o más usuarios.

2.4 Control de acceso a nivel de recurso

IONOS Cloud le permite controlar el acceso a nivel de recurso, lo que significa que puede especificar qué grupos pueden ver, editar o compartir recursos específicos como VDC, imágenes, instantáneas y bloques de IP.

Los recursos pueden tener tres niveles de permiso:

Ver - Los miembros del grupo pueden ver el recurso pero no pueden modificarlo
Editar - Los miembros del grupo pueden modificar la configuración del recurso
Compartir - Los miembros del grupo pueden compartir el recurso con otros grupos, otorgándoles derechos de visualización

Cuando crea un recurso como propietario del contrato, está oculto para otros usuarios por defecto. Para hacerlo visible, debe compartirlo con al menos un grupo. Esto garantiza que los recursos sensibles (como imágenes de producción o instantáneas de copia de seguridad) permanezcan confidenciales a menos que se compartan explícitamente.

2.5 Cuándo usar grupos versus permisos individuales

Situación	Enfoque recomendado	Por qué
Roles estándar compartidos por varias personas (por ejemplo, desarrolladores, operadores)	Crear un grupo y asignar privilegios al grupo	Escalable, coherente, fácil de auditar
Cambio en la composición del equipo (personas se unen/dejan con frecuencia)	Usar grupos: agregar o eliminar miembros sin cambiar privilegios	Reduce la carga administrativa
Acceso único o muy específico (por ejemplo, acceso de lectura temporal a un recurso único)	Asignar permisos directamente al usuario individual	Evita crear grupos innecesarios para casos únicos
Administradores y propietarios del contrato	No se necesita grupo: tienen acceso completo automáticamente	Los administradores heredan todos los permisos por defecto
Compartir recursos de gran escala (por ejemplo, VDC específico o Snapshot)	Asignar el recurso a un grupo a través de Conceder acceso	Solo los miembros del grupo pueden ver o administrar el recurso

En general, use grupos para cualquier permiso compartido por dos o más usuarios, y use permisos individuales solo para requisitos únicos, temporales o de una sola vez.

3. Token Manager para la autenticación de API

Muchas operaciones de IONOS Cloud se pueden realizar de forma programática utilizando el API de IONOS Cloud. Para autenticar las solicitudes de API de forma segura sin enviar su contraseña, IONOS proporciona Token Manager.

3.1 ¿Qué es Token Manager?

Token Manager es un servicio que genera tokens Bearer (tokens web JSON o JWT) que representan su sesión de usuario. Estos tokens se pueden utilizar en lugar de su nombre de usuario y contraseña al realizar llamadas a API.

Un token es una credencial de vida corta que incluye en el encabezado de autorización de cada solicitud de API. En lugar de autenticarse con su contraseña cada vez, se autentica una vez generando un token y luego utiliza ese token para todas las llamadas a API posteriores hasta que expire.

3.2 ¿Por qué utilizar Token Manager?

Token Manager proporciona varios beneficios sobre la autenticación basada en contraseña:

Requerido para cuentas de 2FA - Si su cuenta tiene habilitada la autenticación de dos factores (2FA), no puede utilizar la autenticación solo con contraseña para las llamadas a API. Token Manager proporciona la única forma de autenticar las solicitudes de API en este escenario.
Seguridad mejorada - Los tokens tienen un límite de tiempo y se pueden revocar inmediatamente si se comprometen, mientras que cambiar una contraseña afecta a todos sus métodos de acceso.
Separación de preocupaciones - Puede crear varios tokens para diferentes aplicaciones o scripts de automatización y revocar tokens individuales sin afectar a otros.
Registro de auditoría - El uso de tokens se puede rastrear por separado de los registros de inicio de sesión interactivos de la consola.

3.3 Cómo funciona Token Manager

Para utilizar Token Manager:

En el Data Center Designer, navegue a Menú → Administración → Token Manager
Haga clic en Generar token
Seleccione un tiempo de vida (TTL) para el token (las opciones van desde 1 hora hasta 365 días)
Haga clic en Crear: el valor del token se muestra una vez y no se puede recuperar de nuevo
Copie el valor del token y guárdelo de forma segura

Una vez que tenga un token, inclúyalo en el encabezado de autorización de sus solicitudes de API:

Authorization: Bearer <your-token-value>

Cada usuario puede tener hasta 100 tokens activos. Puede eliminar un token en cualquier momento a través de la interfaz de Token Manager, lo que lo invalida inmediatamente, incluso si el TTL no ha expirado.

3.4 Atributos del token

Cada token tiene los siguientes atributos:

ID de token - Utilizado para hacer referencia al token en el API (por ejemplo, al eliminarlo)
Fecha de creación - Cuando se generó el token
Fecha de expiración - Cuando el token expirará automáticamente (basado en el TTL seleccionado)
TTL (Tiempo de vida) - La duración del token (seleccionable desde 1 hora hasta 365 días)
Valor del token - La cadena secreta real utilizada para la autenticación (mostrada solo una vez al crearla)

Por razones de seguridad, se recomienda utilizar TTLs más cortos (como 1 día o 1 semana) para tokens utilizados en entornos de producción, y rotar tokens regularmente.

4. IAM Federation y inicio de sesión único (SSO)

Para las organizaciones que ya utilizan un proveedor de identidad de empresa (IdP) como Azure Active Directory, Okta o OneLogin, IONOS Cloud admite IAM Federation. Esta función permite a los usuarios autenticarse utilizando sus credenciales corporativas en lugar de mantener contraseñas de IONOS separadas.

4.1 ¿Qué es IAM Federation?

IAM Federation es un servicio que permite a los usuarios autenticarse en IONOS Cloud utilizando credenciales de un proveedor de identidad externo. Admite dos protocolos estándar de la industria:

SAML 2.0 - Un protocolo basado en XML ampliamente utilizado para el inicio de sesión único en la web
OpenID Connect (OIDC) - Un protocolo moderno basado en JSON construido sobre OAuth 2.0

Cuando se habilita IAM Federation, los usuarios pueden iniciar sesión en el panel de control de IONOS Data Center Designer haciendo clic en "Iniciar sesión con una cuenta vinculada" y ser redirigidos al IdP de su organización. Después de la autenticación exitosa con el IdP, se les asigna automáticamente el inicio de sesión en IONOS Cloud sin necesidad de ingresar una contraseña específica de IONOS.

4.2 Ventajas de IAM Federation

IAM Federation ofrece varias ventajas:

Ventaja	Descripción
Inicio de sesión único (SSO)	Los usuarios inician sesión una vez y obtienen acceso a varios servicios de IONOS (DCD, Panel de control, Portal de revendedores) sin inicios de sesión repetidos
Seguridad mejorada	La autenticación se realiza mediante el IdP de confianza de su organización, que suele tener autenticación de varios factores y políticas de acceso condicional ya implementadas
Riesgo de phishing reducido	Las contraseñas de los usuarios nunca se almacenan en IONOS Cloud, lo que elimina un vector de ataque para el robo de credenciales
Autenticación centralizada	El inicio de sesión se gestiona mediante el IdP de confianza de su organización, por lo que los usuarios se autenticarán a través de un sistema central en lugar de un inicio de sesión de IONOS separado
Control de credenciales centralizado	Deshabilitar la cuenta de un usuario en su IdP bloquea inmediatamente su inicio de sesión federado en IONOS Cloud. La cuenta de IONOS Cloud y sus privilegios asignados siguen existiendo y se gestionan dentro de IONOS
Experiencia de usuario mejorada	Inicio de sesión fluido con credenciales corporativas familiares, sin necesidad de recordar varias contraseñas
Menos contraseñas separadas	Los usuarios inician sesión con sus credenciales corporativas existentes, por lo que no necesitan crear ni recordar una contraseña de IONOS Cloud separada

4.3 Cómo funciona IAM Federation

Configurar IAM Federation implica los siguientes pasos:

Verificación de propiedad de dominio - Usted demuestra la propiedad de su dominio de organización (como sucompany.com) creando un registro TXT en su DNS
Integración del proveedor de identidad - Usted proporciona a IONOS la información del punto de descubrimiento de su IdP (como la URL de metadatos SAML o los puntos de configuración de OIDC)
Vinculación de cuenta de usuario - Cada usuario vincula su cuenta de IONOS Cloud existente a su identidad corporativa a través del menú IAM Federation en el DCD
Inicio de sesión con SSO - Los usuarios pueden iniciar sesión en IONOS Cloud introduciendo su dirección de correo electrónico corporativa y seleccionando "Iniciar sesión con una cuenta vinculada"

Después de vincular, el usuario es redirigido a la página de inicio de sesión del IdP de su organización, se autentica allí (a menudo con MFA) y luego regresa al panel de control de IONOS Data Center Designer completamente autenticado.

4.4 Privilegios de IAM y federación

Es importante entender que IAM Federation solo gestiona la autenticación (verificando quién es el usuario), no la autorización (determinando qué puede hacer el usuario). Los privilegios de IONOS RBAC asignados a un usuario siguen sin cambios cuando se vincula a un IdP externo.

Por ejemplo, si un usuario tiene el privilegio "Acceso y administración de Database as a Service" antes de vincularse a la federación, seguirá teniendo ese mismo privilegio después de vincularse. La federación proporciona un método de inicio de sesión alternativo, pero no cambia los permisos subyacentes.

5. Implementación de las Mejores Prácticas de IAM

La implementación efectiva de IAM va más allá de la comprensión de las características técnicas. Requiere seguir las mejores prácticas de seguridad para proteger su entorno en la nube.

5.1 Lista de Verificación de Mejores Prácticas de Seguridad

Al implementar IAM en IONOS Cloud, siga estas pautas:

Aplicar el Principio de Mínimo Privilegio (PoLP) - Otorgue a los usuarios solo los permisos mínimos requeridos para sus funciones laborales. Utilice el rol de Usuario con privilegios explícitos en lugar del rol de Administrador siempre que sea posible.
Utilizar Grupos para el Acceso Basado en Equipos - Cree grupos que reflejen los roles organizacionales (como desarrolladores, operadores, auditores) y asigne privilegios a grupos en lugar de usuarios individuales. Esto simplifica la administración y garantiza la coherencia.
Habilitar la Autenticación de Múltiples Factores (MFA) - Requiera MFA para el propietario del contrato, todos los Administradores y cualquier usuario con privilegios elevados. Esto agrega una capa de seguridad crítica.
Realizar Revisión Regular de Accesos - Al menos trimestralmente, revise las cuentas de usuario, las membresías de grupos y los privilegios asignados. Revoque el acceso inmediatamente cuando los empleados cambien de roles o abandonen la organización.
Rotar Tokens de API Regularmente - Utilice TTLs cortos para tokens de producción (se recomiendan 1-7 días) y rotúlelos en un calendario regular. Elimine los tokens que ya no estén en uso.
Utilizar IAM Federation Cuando Esté Disponible - Si su organización ya tiene un IdP empresarial, utilice IAM Federation para centralizar la autenticación y aprovechar los controles de seguridad existentes.
Documentar las Políticas de IAM - Mantenga documentación escrita que defina roles, estructuras de grupos, asignaciones de privilegios y calendarios de revisión. Esto garantiza la coherencia y ayuda con las auditorías de cumplimiento.
Supervisar Activity Logs - Utilice el servicio Activity Logs (cubierto en la Unidad 3.4) para rastrear quién realizó qué acciones y cuándo. Esto proporciona un registro de auditoría para propósitos de seguridad y cumplimiento.

5.2 Errores Comunes de IAM que Debe Evitar

Varios errores comunes pueden socavar la seguridad de IAM:

Otorgar demasiados privilegios a los usuarios - Otorgar derechos de Administrador cuando se podrían conceder privilegios específicos aumenta el riesgo si una cuenta es comprometida
Compartir credenciales - Cada individuo debe tener su propia cuenta de usuario y credenciales, nunca compartidas con compañeros de equipo
Ignorar cuentas inactivas - No eliminar a los usuarios que han abandonado la organización o cambiado de roles deja acceso innecesario en su lugar
Utilizar tokens de larga duración - Los tokens con TTLs de 365 días son convenientes pero crean riesgos de seguridad a largo plazo si se comprometen
Olvidar habilitar MFA - Confiar solo en contraseñas deja las cuentas vulnerables a ataques de phishing y stuffing de credenciales
No documentar las estructuras de grupos - Sin documentación, las asignaciones de privilegios se vuelven poco claras con el tiempo, lo que hace que las auditorías sean difíciles

Casos de uso comunes

Escenarios del mundo real donde la gestión de identidad y acceso es esencial:

Entorno de desarrollo de equipo múltiple: Una empresa de software tiene equipos separados para frontend, backend y DevOps. Utilizando IONOS Groups, crean "Desarrolladores de frontend" con privilegios para gestionar Compute Engine y Load Balancers (cubiertos en la Unidad 2.2 y 2.4), "Desarrolladores de backend" con acceso a Database as a Service y Object Storage (Unidad 2.5 y 2.3), y "Ingenieros de DevOps" con privilegios de infraestructura completos. Cuando los desarrolladores cambian de equipo, los administradores simplemente los mueven al grupo correspondiente en lugar de reconfigurar los permisos individuales.
Acceso federado para empresa: Una gran corporación ya utiliza Azure Active Directory para la autenticación de empleados en todos los sistemas internos. Al implementar IAM Federation (Sección 4), permiten que los empleados inicien sesión en IONOS Cloud utilizando sus credenciales corporativas y políticas MFA. Cuando un empleado abandona la empresa, deshabilitar su cuenta de Azure AD bloquea su inicio de sesión federado en IONOS Cloud. La cuenta de IONOS Cloud del empleado aún debe ser eliminada como parte de su proceso normal de desaprovisionamiento.
Automatización de API con Token Manager: Una plataforma de comercio electrónico utiliza scripts automatizados para provisionar entornos de prueba cada mañana y desmantelarlos cada tarde para ahorrar costos. Utilizando Token Manager (Sección 3), generan un token API de 7 días con los privilegios mínimos requeridos ("Crear VDC", "Crear Servidores", "Eliminar Recursos") y lo utilizan en sus scripts de automatización. El token se rota semanalmente y proporciona un registro de auditoría separado de las cuentas de usuario individuales.

Resumen

La administración de identidad y acceso es la piedra angular de la seguridad en la nube, determinando quién puede acceder a sus recursos y qué pueden hacer con ellos. IONOS Cloud proporciona un marco de IAM integral basado en el control de acceso basado en roles, lo que le permite implementar políticas de seguridad granulares que se escalan desde equipos pequeños hasta grandes empresas.

Ha aprendido cómo el sistema de tres niveles de roles de IONOS (Propietario, Administrador, Usuario) proporciona flexibilidad en el control de acceso, cómo los Usuarios y Grupos permiten la gestión de permisos escalable, y cómo Token Manager asegura la autenticación de API. También ha explorado cómo IAM Federation y el inicio de sesión único pueden integrar IONOS Cloud con su infraestructura de identidad empresarial existente, simplificando la autenticación mientras mejora la seguridad.

Una implementación efectiva de IAM requiere más que una configuración técnica. Exige un compromiso con el Principio de la Menor Privilegio, revisiones de acceso regulares, aplicación de Autenticación de Múltiples Factores y documentación clara de políticas y procedimientos. Al seguir estas mejores prácticas, puede reducir significativamente los riesgos de seguridad mientras mantiene la eficiencia operativa.

Puntos clave:

IONOS Cloud utiliza un modelo de Control de Acceso Basado en Roles (RBAC) con tres roles: Propietario (acceso sin restricciones), Administrador (acceso total excepto cambios de pago) y Usuario (privilegios otorgados explícitamente)
Los Grupos permiten la gestión de permisos escalable al permitirle asignar privilegios colectivamente a varios usuarios en lugar de individualmente
Token Manager genera tokens Bearer para la autenticación segura de API, requerida para cuentas con Autenticación de Dos Factores habilitada
IAM Federation admite SAML 2.0 y OpenID Connect, lo que permite a los usuarios autenticarse con Proveedores de Identidad externos para el inicio de sesión único
El Principio de la Menor Privilegio significa otorgar a los usuarios solo los permisos mínimos requeridos para sus funciones de trabajo, reduciendo el riesgo de seguridad
Las mejores prácticas incluyen habilitar MFA, realizar revisiones de acceso trimestrales, rotar tokens de API regularmente y documentar las políticas de IAM

Terminología importante:

RBAC (Control de Acceso Basado en Roles): Un modelo para gestionar el acceso basado en roles predefinidos con privilegios específicos
Privilegio: Una concesión de nivel de acción que define qué puede realizar un usuario o grupo (por ejemplo, crear centros de datos virtuales, gestionar bases de datos)
Grupo: Una colección lógica de usuarios que heredan privilegios colectivamente
Token Manager: Un servicio para generar tokens Bearer (JWT) utilizados para la autenticación de API
IAM Federation: Un servicio que permite a los usuarios autenticarse con Proveedores de Identidad externos utilizando SAML 2.0 u OIDC
SSO (Inicio de sesión único): Método de autenticación que permite a los usuarios iniciar sesión una vez y acceder a varios servicios sin ingresar credenciales repetidamente
Principio de la Menor Privilegio (PoLP): Práctica de seguridad que consiste en otorgar a los usuarios solo los permisos mínimos requeridos para sus tareas

Próximos pasos

Continúe aprendiendo: Unidad 3.3: Gestión de costes y facturación

Temas relacionados:

Objetivos de aprendizaje