Google Cloud IX Soy yo 🙂

Piensa en Google Cloud como un edificio enorme con muchas puertas.
Cada puerta da acceso a algo: datos, máquinas, servicios.
La pregunta clave es siempre la misma: ¿quién puede entrar y hasta dónde?

Ahí es donde entra IAM.

IAM (Identity and Access Management) es el sistema que decide eso. Funciona con una lógica muy simple: una identidad recibe un rol sobre un recurso. Y con eso, ya puede hacer ciertas acciones. Nada más, pero tampoco nada menos.

Las identidades pueden ser personas, grupos o incluso programas. Aquí hay un matiz importante: en cloud, no solo los humanos “hacen cosas”. También las máquinas. Y muchas veces son ellas las que ejecutan la mayoría de acciones reales.

Por eso existen las Service Accounts. Son como usuarios invisibles que usan las aplicaciones. Si una máquina virtual accede a una base de datos, no lo hace “por arte de magia”. Lo hace con los permisos de su Service Account. Ese detalle es clave y suele caer en examen… y en producción.

Luego están los roles. No son permisos individuales, sino paquetes de permisos. Puedes dar acceso total (roles básicos), acceso específico (roles predefinidos) o diseñar el tuyo propio (roles custom). Pero aquí aparece el primer gran riesgo: dar más acceso del necesario.

Por eso existe el principio más importante de todo este sistema: el mínimo privilegio. Dar solo lo justo para que algo funcione. Ni más. Porque en cuanto das acceso de más, pierdes control.

La estructura también importa. Google Cloud tiene una jerarquía: organización, carpetas, proyectos y recursos. Los permisos se heredan hacia abajo. Es cómodo, pero peligroso. Si te equivocas arriba, el error se multiplica.

En la práctica, la forma profesional de trabajar no es asignar permisos a usuarios sueltos. Es usar grupos. Así, cuando alguien entra o sale, solo cambias su pertenencia al grupo, no toda la configuración.

Y cuando algo falla, casi siempre hay una pista clara: un error 403. No es un bug misterioso. Es simplemente que falta un permiso. Ajustas lo mínimo necesario… y sigues.

La idea clave que debes quedarte es esta:

IAM no va de dar acceso. Va de controlar el acceso con precisión.

Humanos usan IAM para entrar.
Las máquinas usan Service Accounts para actuar.
Y tú decides exactamente hasta dónde llega cada uno.

Si entiendes eso, entiendes prácticamente todo Google Cloud.