FácilOpción múltiple

Pregunta de práctica de CLF-C02

Una empresa está configurando su cuenta de AWS por primera vez. ¿Qué acción de seguridad debe realizar inmediatamente después de crear la cuenta?

Elige la mejor respuesta.

Respuesta correcta

BHabilitar MFA en la cuenta raíz y crear un usuario administrador de IAM para las operaciones diarias

Explicación

El usuario raíz tiene acceso sin restricciones a la cuenta de AWS, y habilitar la autenticación multifactor (MFA) en la cuenta raíz añade una segunda capa crítica de seguridad para prevenir el acceso no autorizado. Crear un usuario administrador de IAM para las operaciones diarias sigue el principio de privilegio mínimo, garantizando que las tareas administrativas rutinarias se realicen utilizando roles o usuarios de IAM con permisos controlados, en lugar del usuario raíz altamente privilegiado. Esta es una práctica recomendada de seguridad fundamental recomendada por AWS inmediatamente después de crear la cuenta.

Por qué cada opción es correcta o incorrecta

Incorrecta

Crear usuarios de IAM para todos los empleados inmediatamente

Aunque los usuarios de IAM son necesarios para el acceso diario, crearlos inmediatamente en una nueva cuenta deja el usuario raíz sin cambios y aún vulnerable al compromiso de contraseñas. Un atacante que comprometa la raíz puede modificar las políticas de IAM, eliminar usuarios o tomar el control total de la cuenta, anulando cualquier beneficio de haber creado inicialmente usuarios de IAM. La secuencia correcta es asegurar primero la raíz con MFA, luego crear un usuario administrador de IAM para las operaciones diarias y finalmente aprovisionar usuarios o roles de IAM usando IAM Identity Center para los empleados.

Correcta

Habilitar MFA en la cuenta raíz y crear un usuario administrador de IAM para las operaciones diarias

Habilitar MFA en la cuenta raíz añade un segundo factor de autenticación crítico, protegiendo la cuenta incluso si la contraseña raíz se filtra accidentalmente o se fuerza por ataque de fuerza bruta, y es la primera práctica recomendada de seguridad que prescribe Amazon. Crear un usuario administrador de IAM con una política delimitada como AdministratorAccess permite a los administradores realizar tareas diarias sin iniciar sesión nunca como raíz, reduciendo el riesgo de acciones destructivas no intencionadas. Este enfoque aborda directamente la credencial más sensible de la cuenta y establece una base segura para toda la configuración posterior de IAM.

Incorrecta

Crear claves de acceso raíz para acceso programático

AWS desaconseja explícitamente las claves de acceso raíz porque conceden acceso completo e incondicional a todos los recursos de AWS y no se pueden restringir con límites o políticas de permisos de IAM. Una vez creada una clave de acceso raíz, no hay forma de limitar sus acciones y debe eliminarse manualmente si se ve comprometida, lo que la convierte en un riesgo de seguridad persistente. Para el acceso programático, debe crear en su lugar usuarios de IAM con permisos de privilegio mínimo o asignar un rol de IAM a una instancia EC2 o servicio de AWS, lo que admite credenciales temporales y rotación automatizada.

Incorrecta

Habilitar AWS Config en todas las regiones

AWS Config es un servicio de detección que registra los cambios de configuración de los recursos y evalúa el cumplimiento, pero no protege la cuenta raíz frente a compromisos. En una cuenta de AWS recién creada, la prioridad de seguridad urgente es asegurar el usuario raíz con MFA y evitar las claves de acceso raíz, ya que las credenciales raíz tienen acceso sin restricciones que IAM no puede limitar. Habilitar Config en todas las regiones es valioso para auditorías y gobernanza más adelante, pero no es la primera acción para prevenir el control administrativo no autorizado.

Para profundizar

La cuenta raíz es la dirección de correo electrónico utilizada para crear la cuenta de AWS y tiene acceso completo y sin restricciones a todos los recursos de AWS y a la información de facturación. AWS recomienda no utilizar el usuario raíz para tareas cotidianas y crear en su lugar un usuario administrador de IAM con una política de IAM que conceda privilegios administrativos (por ejemplo, la política administrada AdministratorAccess). El MFA para la cuenta raíz se puede implementar utilizando un dispositivo MFA virtual (por ejemplo, Google Authenticator) o una llave MFA de hardware (por ejemplo, YubiKey) y, una vez habilitado, cualquier acción realizada a través de AWS Management Console o API como usuario raíz requerirá el código MFA, lo que reduce significativamente el riesgo de vulneración de la cuenta.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.