Credenciales y roles, contención

Una llave de acceso de IAM tiene dos estados, activa e inactiva. Desactivarla corta su uso de inmediato y conserva su registro (cuándo se creó, cuándo y desde dónde se usó por última vez), que sigue siendo evidencia. Borrarla es irreversible y elimina esa trazabilidad de la consola.

Las sesiones temporales de un rol son otro frente: ya existen aunque se cambie la llave, y se cierran añadiendo al rol una política que deniega lo pedido con credenciales emitidas antes de una hora de corte.

Un usuario puede tener hasta dos llaves de acceso, y una segunda llave activa creada de madrugada es una de las huellas clásicas de persistencia. La tabla de llaves muestra para cada una su estado, cuándo se creó y desde qué dirección se usó por última vez.

La llave legítima de la persona se usa desde la oficina; la otra, no.

Añadir la política de revocación al rol no es instantáneo: la documentación advierte de la propagación de los cambios de IAM, y la propia política se calcula con un margen hacia delante. En el registro se ve: unas llamadas siguen saliendo correctas tras la acción, hasta que la primera es rechazada.

La hora que va al informe es la de la última llamada correcta de la sesión antigua, no la hora en que se aplicó la política. La sesión de interés es la emitida a las 13:11:00 UTC.

Una acción de contención deja huella propia en la bitácora: quién la hizo, a qué objeto y con qué detalle. Releerla es parte del cierre, porque el informe tiene que decir qué se cambió exactamente y quién puede deshacerlo.

La política de denegación por hora de corte se añade al rol como política en línea, con un nombre fijo que la identifica.