AWS IAM spiegato semplice: utenti, ruoli e policy (2026)

AWS IAM (Identity and Access Management) è il servizio di Amazon Web Services che decide chi può fare cosa su un account AWS. Con IAM crei identità per persone e applicazioni, e assegni a ciascuna solo i permessi di cui ha bisogno: leggere un bucket, avviare un server, modificare un database.

È uno dei servizi più importanti di tutto AWS: quasi ogni incidente di sicurezza nel cloud nasce da permessi configurati male. In questa guida trovi AWS IAM spiegato in modo semplice: utenti, gruppi, ruoli e policy, un esempio pratico di policy, le best practice di sicurezza e gli errori da evitare.

AWS IAM: cos'è e a cosa serve

IAM risponde a due domande:

Tre caratteristiche da ricordare:

I 4 elementi di IAM

Le policy si assegnano a utenti, gruppi e ruoli. Sono loro a definire, concretamente, cosa ciascuna identità può fare.

L'utente root: la prima cosa da proteggere

Quando crei un account AWS, ottieni l'utente root: l'identità con cui ti sei registrato, che ha accesso illimitato a tutto, fatturazione compresa. Proprio per questo va protetto e usato il meno possibile.

Utenti e gruppi IAM

Un utente IAM rappresenta una persona o un'applicazione, con credenziali proprie: una password per la console e, se serve, delle chiavi di accesso per usare AWS da riga di comando o da codice.

Invece di assegnare i permessi a ogni utente, conviene usare i gruppi: crei un gruppo "Sviluppatori", gli assegni le policy giuste e ci aggiungi le persone. Quando qualcuno cambia ruolo, lo sposti di gruppo.

I ruoli IAM

Un ruolo è un'identità che non ha password né chiavi fisse. Chi ne ha il diritto lo "assume" e ottiene credenziali temporanee, che scadono automaticamente.

I ruoli si usano soprattutto in tre casi:

Le policy IAM: come sono fatte

Una policy è un documento in formato JSON. Ecco un esempio che consente di leggere i file di un bucket S3 specifico:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetObject"],
      "Resource": [
        "arn:aws:s3:::mio-bucket-aziendale",
        "arn:aws:s3:::mio-bucket-aziendale/*"
      ]
    }
  ]
}

Gli elementi principali:

Le policy possono essere gestite da AWS, già pronte per casi comuni, gestite da te, create su misura e riutilizzabili, oppure inline, scritte direttamente dentro una singola identità.

Come AWS decide se consentire un'azione

Quando un'identità prova a fare qualcosa, AWS valuta tutte le policy che la riguardano con tre regole, in quest'ordine:

Questo schema spiega la maggior parte dei problemi di accesso che incontrerai: quasi sempre manca un Allow o c'è un Deny da qualche parte.

Best practice di sicurezza con IAM

• Principio del privilegio minimo: concedi solo i permessi strettamente necessari, e aggiungine altri solo quando servono.
• MFA per tutte le persone, non solo per l'utente root.
• Ruoli e credenziali temporanee al posto delle chiavi di accesso a lungo termine.
• Ruota le chiavi di accesso che sei costretto a usare, ed elimina quelle inutilizzate.
• Usa i gruppi per gestire i permessi delle persone, non le singole identità.
• Controlla periodicamente i permessi con strumenti come IAM Access Analyzer, che segnala accessi troppo ampi o non utilizzati.

Esercizio pratico: configurare IAM su un nuovo account

Se hai appena creato un account AWS, questo è l'esercizio giusto per iniziare:

In meno di un'ora avrai toccato con mano tutti i concetti di questa guida.

Gli errori più comuni

IAM agli esami di certificazione AWS

IAM è uno degli argomenti più presenti negli esami AWS. Trovi tutti i dettagli nella guida alla Cloud Practitioner e nella guida alla SAA-C03.

Domande frequenti

In sintesi

• 1AWS IAM decide chi può fare cosa sul tuo account AWS, ed è gratuito e globale.
• 2I suoi elementi sono utenti, gruppi, ruoli e policy, e tutto è negato per default.
• 3I ruoli, con credenziali temporanee, sono preferibili alle chiavi di accesso fisse.
• 4Le policy sono documenti JSON con Effect, Action, Resource e, facoltativamente, Condition.
• 5Un Deny esplicito vince sempre, e il principio del privilegio minimo è la regola base della sicurezza.