Tutorial de IAM: delegación del acceso entre cuentas de AWS mediante roles de IAM

Inicie sesión en la AWS Management Console como administrador de la cuenta de origen y abra la consola de IAM en https://console.aws.amazon.com/iam/.

En la consola de IAM, seleccione su nombre de usuario en la parte superior derecha de la barra de navegación. Normalmente tiene el siguiente aspecto: nombre_usuario@número_ID_cuenta_o_alias.

En este caso, puede utilizar el ID de cuenta 111111111111 para la cuenta de origen. Sin embargo, debe utilizar un ID de cuenta válido si utiliza el escenario en su entorno de prueba.

Inicie sesión en la AWS Management Console como administrador de la cuenta de destino y abra la consola de IAM.

Antes de crear el rol, prepare la política administrada que define los permisos para los requisitos del rol. Más tarde, en otro paso, la asociará al rol.

Debe configurar el acceso de lectura y escritura al bucket amzn-s3-demo-bucket-shared-container. Aunque AWS proporciona algunas políticas administradas por Amazon S3, ninguna proporciona acceso de lectura y escritura a un solo bucket de Amazon S3. En su lugar, puede crear su propia política.

En el panel de navegación, elija Policies (Políticas) y, a continuación, seleccione Create policy (Crear política).

Seleccione la pestaña JSON y copie el texto del siguiente documento de política JSON. Pegue este texto en el cuadro de texto JSON y reemplace el ARN del recurso (arn:aws:s3:::shared-container) por el ARN real de su bucket de Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container/*"
    }
  ]
}

La acción ListAllMyBuckets concede permiso para enumerar todos los buckets propiedad del remitente autenticado de la solicitud. El permiso ListBucket permite a los usuarios ver objetos en el bucket amzn-s3-demo-bucket-shared-container. Los permisos GetObject, PutObject, DeleteObject permiten a los usuarios ver, actualizar y eliminar contenido del bucket amzn-s3-demo-bucket-shared-container.

En la página Revisar y crear, escriba read-write-app-bucket como nombre de la política. Revise los permisos concedidos por la política y, a continuación, seleccione Crear política para guardar su trabajo.

La nueva política aparece en la lista de políticas administradas.

En el panel de navegación, seleccione Roles y, a continuación, seleccione Crear rol.

Elija el tipo de rol Una Cuenta de AWS.

En el campo ID de cuenta, ingrese el ID de la cuenta de origen.

En este tutorial, se utiliza el ID de cuenta de ejemplo 111111111111 para la cuenta de origen. Debe utilizar un ID de cuenta válido. Si utiliza un ID de cuenta que no es válido, como 111111111111, IAM no le permitirá crear el nuevo rol.

Por ahora, no necesita exigir un ID externo ni solicitar a los usuarios que utilicen autenticación multifactor (MFA) para asumir el rol. Deje estas opciones desmarcadas. Para obtener más información, consulte Autenticación multifactor de AWS en IAM.

Seleccione Next: Permissions (Siguiente: Permisos) para establecer los permisos asociados al rol.

Seleccione la casilla situada junto a la política que ha creado anteriormente.

A continuación, elija Siguiente.

De manera opcional, agregue metadatos al rol al asociar etiquetas como pares de clave-valor. Para obtener más información acerca del uso de etiquetas en IAM, consulte Etiquetas para recursos de AWS Identity and Access Management.

(Opcional) En Descripción, ingrese una descripción para el nuevo rol.

Después de revisar el rol, seleccione Create Role (Crear rol).

El rol UpdateData se muestra en la lista de roles.

En el panel de navegación de la consola de IAM, elija Roles.

En la lista de roles, elija el rol UpdateData.

En la sección Summary (Resumen) del panel de detalles, copie el valor de Role ARN (ARN del rol).

La cuenta de destino tiene el ID de cuenta 999999999999, por lo que el ARN del rol es arn:aws:iam::999999999999:role/UpdateData. Asegúrese de proporcionar el ID real de la Cuenta de AWS para la cuenta de destino.

Inicie sesión como administrador en la cuenta de origen y abra la consola de IAM.

Seleccione Roles y, a continuación, elija Desarrolladores.

Elija la pestaña de Permisos, elija Agregar permisos y luego Crear política insertada.

Seleccione la pestaña JSON.

Agregue la siguiente declaración de política para permitir la acción AssumeRole en el rol UpdateData en la cuenta de destino. Asegúrese de reemplazar DESTINATION-ACCOUNT-ID en el elemento Resource por el ID de Cuenta de AWS real de la cuenta de destino.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

El efecto Allow permite de manera explícita al grupo de desarrolladores obtener acceso al rol UpdateData en la cuenta de destino. Todos los desarrolladores que intenten obtener acceso al rol lo consiguen.

Elija Revisar política.

Escriba un Nombre; por ejemplo, allow-assume-S3-role-in-destination.

Elija Crear política.

Seleccione Roles y, a continuación, elija Analistas.

Elija la pestaña de Permisos, elija Agregar permisos y luego Crear política insertada.

Seleccione la pestaña JSON.

Añada la siguiente declaración de política para denegar la acción AssumeRole en el rol UpdateData. Asegúrese de reemplazar DESTINATION-ACCOUNT-ID en el elemento Resource por el ID de Cuenta de AWS real de la cuenta de destino.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

El efecto Deny deniega de manera explícita al grupo de analistas el acceso al rol UpdateData en la cuenta de destino. Todos los analistas que intenten obtener acceso al rol reciben un mensaje de acceso denegado.

Elija Revisar política.

Escriba un Nombre; por ejemplo, deny-assume-S3-role-in-destination.

Elija Crear política.

David inicia sesión en la AWS Management Console con su usuario habitual en la cuenta de origen.

Ellos eligen el vínculo que el administrador les envía. Esto lleva a David a la página Switch Role (Cambiar rol) con la información del ID de cuenta o alias y el nombre de rol ya completados.

—o—

David elige su nombre, en el menú Identity (Identidad), en la barra de navegación y, a continuación, elige Switch Role (Cambiar rol).

Si es la primera vez que David intenta obtener acceso a la página Switch Role (Cambiar rol) de esta manera, primero entrará a la página Switch Role (Cambiar rol) predeterminada. Esta página proporciona información adicional acerca de cómo el cambio de rol puede permitir a los usuarios para que administren recursos entre Cuentas de AWS. David debe hacer clic en Switch Role (Cambiar rol) en esta página para completar el resto de este procedimiento.

A continuación, para acceder al rol, David debe ingresar el número de ID de la cuenta de destino (999999999999) y el nombre del rol (UpdateData) de forma manual.

Además, David quiere monitorear qué roles y permisos asociados están activos actualmente en IAM. Para realizar un seguimiento de esta información, escribe Destination en el cuadro de texto Nombre de visualización, selecciona la opción de color rojo y, a continuación, elige Cambiar rol.

Ahora puede utilizar la consola de Amazon S3 para trabajar con el bucket de Amazon S3 o cualquier otro recurso sobre el que el rol UpdateData tenga permisos.

Al terminar, David puede volver a sus permisos originales. Para ello, deben elegir el nombre de visualización del rol de destino en la barra de navegación y, a continuación, seleccionar Volver a David @ 111111111111.

La próxima vez que David quiera cambiar de rol y seleccione el menú Identidad en la barra de navegación, verá que la entrada de destino aún está allí desde la última vez. Solo tiene que elegir esa entrada para cambiar de rol inmediatamente sin tener que volver a escribir el ID de cuenta y el nombre de rol.

David abre una ventana de símbolo de sistema y confirma que el cliente de la AWS CLI está trabajando, ejecutando el comando:

aws help

Comienza el proceso de cambio de rol con la ejecución del siguiente comando para cambiar al rol UpdateData en la cuenta de destino. El administrador que ha creado el rol le proporcionó el ARN del rol. El comando necesita que indique también un nombre de sesión; para ello puede elegir cualquier texto.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateData" --role-session-name "David-ProdUpdate"

Después, David ve lo siguiente en la salida:

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David ve los tres elementos que necesitan en la sección Credentials (Credenciales) de la salida.

David necesita configurar el entorno de la AWS CLI para utilizar estos parámetros en las llamadas posteriores. Para obtener información sobre las distintas formas de configurar sus credenciales, consulte Configuración de la AWS Command Line Interface. No puede ejecutar el aws configure, ya que no admite la captura del token de sesión. Sin embargo, puede ingresar manualmente la información en un archivo de configuración. Dado que se trata de credenciales temporales con una fecha de vencimiento relativamente corta, es más fácil añadirlas al entorno de la sesión de la línea de comandos actual.

Para añadir los tres valores al entorno, David corta y pega la salida del paso anterior en los comandos siguientes. Puede interesarle cortar y pegar en un editor de texto sencillo para tratar los problemas de ajuste de línea de la salida del token de la sesión. Debe añadirse como una cadena única y larga, aunque se muestre con ajustes de línea para aportar mayor claridad.

En el siguiente ejemplo se muestran los comandos indicados en el entorno de Windows, donde "set" es el comando para crear una variable de entorno. En un equipo Linux o macOS, se utiliza el comando "export". Las demás partes del ejemplo son válidas en los tres entornos.

Para obtener más información sobre el uso de las herramientas para Windows Powershell, consulte Cambiar a un rol de IAM (Herramientas para Windows PowerShell)

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

En este punto, todos los comandos siguientes se ejecutan en los permisos del rol que las credenciales identifican. En el caso de David, el rol UpdateData.

Ejecute el comando para obtener acceso a los recursos de la cuenta de destino. En este ejemplo, David genera una lista del contenido de su bucket de S3 con el siguiente comando.

aws s3 ls s3://shared-container

Dado que los nombres de bucket de Amazon S3 son únicos universalmente, no es necesario especificar el ID de la cuenta que posee el bucket. Para obtener acceso a los recursos de otros servicios de AWS, consulte la documentación de la AWS CLI correspondiente a dicho servicio para informarse de los comandos y la sintaxis que son necesarios para hacer referencia a sus recursos.

David llama a AssumeRole como parte de una aplicación. Deben especificar el ARN UpdateData: arn:aws:iam::999999999999:role/UpdateData.

La respuesta de la llamada AssumeRole incluye las credenciales temporales con un AccessKeyId y una SecretAccessKey. También incluye una hora de Expiration que indica cuándo caducan las credenciales y debe solicitar otras nuevas. Al configurar el encadenamiento de roles con el AWS SDK, muchos proveedores de credenciales actualizan de forma automática las credenciales antes de que caduquen.

Con las credenciales temporales, David realiza una llamada s3:PutObject para actualizar el bucket amzn-s3-demo-bucket-shared-container. Transfieren las credenciales a la llamada API como el parámetro AuthParams. Dado que las credenciales temporales del rol tienen acceso de solo lectura y escritura al bucket amzn-s3-demo-bucket-shared-container, se deniegan todas las demás acciones de la cuenta de destino.