Modificación de un rol (API de AWS)

Para modificar una política de confianza de rol (API de AWS)

1. (Opcional) Si no conoce el nombre del rol que desea modificar, llame a la siguiente operación para ver una lista de los roles de la cuenta:

   • ListRoles

2. (Opcional) Para ver la política de confianza actual de un rol, llame a la siguiente operación:

   • GetRole

3. Para modificar las entidades principales de confianza que pueden obtener acceso al rol, cree un archivo de texto con la política de confianza actualizada. Puede utilizar cualquier editor de texto para crear la política.

   Por ejemplo, la política de confianza siguiente muestra cómo hacer referencia a dos Cuentas de AWS en el elemento Principal. Esto permite a los usuarios de dos Cuentas de AWS independientes asumir este rol.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Allow",
           "Principal": {"AWS": [
               "arn:aws:iam::111122223333:root",
               "arn:aws:iam::444455556666:root"
           ]},
           "Action": "sts:AssumeRole"
       }
   }

   Si especifica una entidad principal de otra cuenta, el hecho de añadir una cuenta a la política de confianza de un rol solo es una parte del establecimiento de una relación de confianza entre cuentas. De forma predeterminada, ningún usuario de las cuentas de confianza puede asumir el rol. El administrador de la cuenta en la que se acaba de establecer la relación de confianza debe conceder a los usuarios permiso para asumir el rol. Para ello, el administrador debe crear o editar una política que esté asociada al usuario para permitirle a este el acceso a la acción sts:AssumeRole. Para obtener más información, consulte el siguiente procedimiento o Conceder permisos de usuario para cambiar de rol.

4. Si desea utilizar el archivo que acaba de crear para actualizar la política de confianza, llame a la operación siguiente:

   • UpdateAssumeRolePolicy

Para permitir que los usuarios de una cuenta externa de confianza utilicen el rol (API de AWS)

Para obtener más información y detalles sobre este procedimiento, consulte Conceder permisos de usuario para cambiar de rol.

1. Cree un archivo JSON que contenga una política de permisos que conceda permisos para asumir el rol. Por ejemplo, la política siguiente contiene los permisos mínimos necesarios:

   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": "arn:aws:iam::ACCOUNT-ID-THAT-CONTAINS-ROLE:role/ROLE-NAME"
     }
   }

   Reemplace el ARN de la instrucción por el ARN del rol que el usuario puede asumir.

2. Llame a la operación siguiente para cargar el archivo JSON que contiene la política de confianza en IAM:

   • CreatePolicy

   La salida de esta operación incluye el ARN de la política. Anote este ARN, ya que tendrá que utilizarlo en un paso posterior.

3. Decida a qué usuario o grupo asociará la política. Si no conoce el nombre del usuario o el grupo en cuestión, llame a una de las operaciones siguientes para mostrar una lista de los usuarios o grupos de la cuenta:

   • ListUsers

   • ListGroups

4. Llame a una de las operaciones siguientes para asociar la política que ha creado en el paso anterior al usuario o al grupo:

   • API: AttachUserPolicy

   • AttachGroupPolicy

Para cambiar los permisos que permite un rol (API de AWS)

1. (Opcional) Para ver los permisos actuales asociados a un rol, llame a las siguientes operaciones:

   1. ListRolePolicies para obtener una lista de políticas insertadas

   2. ListAttachedRolePolicies para obtener una lista de políticas administradas

2. La operación para actualizar los permisos del rol varía en función de si se está actualizando una política administrada o una política insertada.

   Para actualizar una política administrada, llame a la siguiente operación para crear una nueva versión de la política administrada:

   • CreatePolicyVersion

   Para actualizar una política insertada, llame a la siguiente operación:

   • PutRolePolicy

Para cambiar la descripción de un rol (API de AWS)

1. (Opcional) Para ver la descripción actual de un rol, llame a la siguiente operación:

   • GetRole

2. Para actualizar la descripción de un rol, llame a la siguiente operación con el parámetro de descripción:

   • UpdateRole

Para cambiar el valor de la duración máxima de la sesión para los roles que se asumen mediante la API (API de AWS)

1. (Opcional) Para ver el valor actual de la duración máxima de la sesión de un rol, llame a la siguiente operación:

   • GetRole

2. Para actualizar el valor de la duración máxima de la sesión de un rol, llame a la siguiente operación con el parámetro max-sessionduration de la CLI o el parámetro MaxSessionDuration de la API:

   • UpdateRole

   Los cambios no entrarán en vigor hasta la próxima vez que alguien asuma este rol. Para obtener información sobre cómo revocar sesiones existentes para este rol, consulte Revocación de las credenciales de seguridad temporales de un rol de IAM.

Para cambiar la política administrada que se utiliza para establecer el límite de permisos de un rol (API de AWS)

1. (Opcional) Para ver el límite de permisos actual de un rol, llame a la operación siguiente:

   • GetRole

2. Si desea utilizar una política administrada diferente para actualizar el límite de permisos de un rol, llame a la operación siguiente:

   • PutRolePermissionsBoundary

   Un rol solo puede tener una política administrada configurada como límite de permisos. Si cambia el límite de permisos, también cambiará los permisos que puede tener un rol como máximo.