AWS anunció AWS Account Access Manager (AAM) el 5 de noviembre de 2026. El servicio asigna roles IAM existentes de cuentas de AWS a usuarios y grupos de IAM Identity Center, con administración centralizada desde una organización. AWS explica el modelo y la configuración de AAM.
Antes de asignar un rol, revisa su política de confianza: debe permitir que AAM asuma ese rol.
Cómo una asignación vincula identidad, cuenta y rol
Cada asignación, o entitlement, conecta tres elementos: el usuario o grupo de IAM Identity Center, la cuenta de AWS y el ARN del rol IAM existente. AAM permite reutilizar esos roles y asignarlos de forma centralizada. AWS dice que puede utilizarse por sí solo o junto con los conjuntos de permisos (permission sets) de IAM Identity Center, que ofrecen un modelo de acceso más uniforme entre cuentas.
AWS dice que AAM no tiene coste adicional y que está habilitado de forma predeterminada en las regiones comerciales, salvo las regiones comerciales de activación voluntaria, AWS GovCloud (EE. UU.), China y otras regiones no comerciales.
Qué debe preparar una organización
AWS establece esta secuencia para configurar el acceso:
- Tener una instancia organizativa de IAM Identity Center con los usuarios o grupos que recibirán acceso, además de los roles IAM que se asignarán.
- Habilitar AAM desde la cuenta de administración de la organización y contar con los permisos adecuados.
- Preparar la política de confianza de cada rol elegible para que incluya el principal de servicio
account-access.amazonaws.com. El ejemplo de AWS añade condiciones para limitar la cuenta de origen y el ARN de la aplicación, como protección frente al problema del representante confuso. - Crear las asignaciones desde la consola, la API o la CLI. Se pueden asignar roles a grupos; para asignar el mismo rol a varios usuarios individualmente, hay que crear cada asignación por separado o automatizar la tarea mediante API, SDK o CLI.
La consola puede buscar usuarios, grupos y cuentas, pero no descubrir roles IAM en todas las cuentas: la persona administradora debe conocer el nombre del rol. Si las políticas posteriores utilizan etiquetas de sesión propagadas desde afirmaciones SAML, AWS indica que hay que permitir sts:TagSession; sin ese permiso, la sesión puede iniciarse sin propagar esas etiquetas.
Si la organización filtra los servicios de AWS mediante un cortafuegos o una pasarela web segura, debe permitir los puntos de acceso de AAM. AWS indica que son de doble pila y que no hay puntos de acceso solo IPv4. También aconseja revisar la política de la clave KMS gestionada por el cliente de IAM Identity Center antes de habilitar AAM, sobre todo si la instancia está replicada en otras regiones.
Cómo acceden los usuarios a los roles
Los usuarios pueden abrir los roles asignados desde el portal de AAM o desde la pestaña Applications del portal de acceso de IAM Identity Center. Para el acceso por línea de comandos, AWS especifica aws login y AWS CLI 2.36.0 o posterior; los comandos de IAM Identity Center como aws sso configure no funcionan con las asignaciones de AAM.
La duración de cada sesión depende del máximo configurado en el rol IAM subyacente y puede llegar hasta 12 horas. Los enlaces directos de acceso abren cuentas y roles ya asignados; no conceden permisos por sí mismos. AWS señala además que estos enlaces son regionales y muestran en texto sin formato el ID de la cuenta y el nombre del rol.
Qué dicen las fechas y la integración de Lumos
AWS publicó un tutorial de AAM el 17 de agosto de 2026. Una captura de la consola de AWS muestra una instancia con fecha de habilitación del 23 de septiembre de 2026. El 14 de octubre, Lumos dijo que su plataforma incorporaba las asignaciones de AAM a un grafo de identidades humanas y de máquina para mostrar vías de acceso y señalar problemas que debían revisarse. Lumos describió esa integración y sus planes.
En esa publicación, Lumos presentó el aprovisionamiento mediante AAM y la compatibilidad con proveedores de identidad distintos de Microsoft Entra ID como planes futuros. AWS publicó su anuncio de AAM el 5 de noviembre de 2026.
