Habilitar o deshabilitar Regiones de AWS en su cuenta - AWS Administración de cuentas

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Habilitar o deshabilitar Regiones de AWS en su cuenta

Una Región de AWS es una ubicación física en el mundo donde disponemos de varias zonas de disponibilidad. Las zonas de disponibilidad constan de uno o varios centros de datos de AWS separados, cada uno de ellos con alimentación, redes y conectividad redundantes, que se alojan en instalaciones independientes. Esto significa que cada Región de AWS está aislada físicamente y es independiente de las demás regiones. Las regiones proporcionar tolerancia a errores, estabilidad y resistencia, y también pueden reducir la latencia. Para consultar un mapa de las regiones disponibles y futuras, consulte Regiones y zonas de disponibilidad.

Los recursos que crea en una región no existen en ninguna otra región salvo que utilice explícitamente una característica de replicación ofrecida por un servicio de AWS. Por ejemplo, Amazon S3 y Amazon EC2 admiten la replicación entre regiones. Algunos servicios, como AWS Identity and Access Management (IAM), no tienen recursos regionales.

Su cuenta determina las regiones que están disponibles para usted.

  • Una Cuenta de AWS proporciona varias regiones de manera que se puedan lanzar recursos de AWS en ubicaciones que se ajustan a sus necesidades. Por ejemplo, podría desear lanzar instancias de Amazon EC2 en Europa, para estar más cerca de sus clientes europeos o para cumplir requisitos legales.

  • Una cuenta de AWS GovCloud (Oeste de EE. UU.) proporciona acceso a la región de AWS GovCloud (Oeste de EE. UU.) y la región de AWS GovCloud (Este de EE. UU.). Para obtener más información, consulte AWS GovCloud (US).

  • Una cuenta de Amazon AWS (China) proporciona acceso solo a las regiones de Pekín y Ningxia. Para obtener más información, consulte Amazon Web Services en China.

Para obtener una lista de los nombres de las regiones y sus códigos correspondientes, consulte los puntos de conexión regionales en la Guía de referencia general de AWS. Para obtener una lista de los servicios de AWS admitidos en cada región (sin puntos de conexión), consulte la Lista de servicios de AWS por región.

importante

AWS recomienda utilizar los puntos de conexión de AWS Security Token Service (AWS STS) en lugar del punto de conexión global para reducir la latencia. Los tokens de sesión de puntos de conexión de AWS STS regionales son válidos en todas las regiones de AWS. Si utiliza puntos de conexión de AWS STS regionales, no es necesario hacer ningún cambio. Sin embargo, los tokens de sesión del punto de conexión de AWS STS global (https://sts.amazonaws.com) solo son válidos en Regiones de AWS si usted los habilita o si están habilitados de forma predeterminada. Si va a habilitar una nueva región en su cuenta, puede utilizar tokens de sesión de los puntos de conexión de AWS STS regionales o habilitar el punto de conexión de AWS STS global para emitir tokens de sesión que sean válidos en todas las Regiones de AWS. Los tokens de sesión que son válidos en todas las regiones son más grandes. Si almacena tokens de sesión, estos tokens más grandes podrían afectar a sus sistemas. Para obtener más información sobre cómo funcionan los puntos de conexión de AWS STS con las regiones de AWS, consulte Administración de AWS STS en una región de AWS.

Observaciones antes de habilitar o deshabilitar regiones

Antes de habilitar o deshabilitar una región, es importante que tenga en cuenta lo siguiente:

  • Las regiones que se introdujeron antes del 20 de marzo de 2019 están habilitadas de forma predeterminada: AWS originalmente habilitó las nuevas Regiones de AWS de forma predeterminada, lo que significa que puede empezar a crear y administrar recursos en estas regiones de forma inmediata. No puede habilitar ni deshabilitar una región habilitada de forma predeterminada. Ahora, cuando AWS agrega una región, esta se encuentra deshabilitada de forma predeterminada. Si desea que sus usuarios puedan crear y administrar recursos en una región nueva, primero debe habilitarla. Las siguientes regiones están deshabilitadas de forma predeterminada.

    Nombre Código
    África (Ciudad del Cabo) af-south-1
    Asia-Pacífico (Hong Kong) ap-east-1
    Asia-Pacífico (Hyderabad) ap-south-2
    Asia-Pacífico (Yakarta) ap-southeast-3
    Asia-Pacífico (Melbourne) ap-southeast-4
    Canadá (Calgary) ca-west-1
    Europa (Milán) eu-south-1
    Europa (España) eu-south-2
    Europa (Zúrich) eu-central-2
    Israel (Tel Aviv) il-central-1
    Medio Oriente (Baréin) me-south-1
    Medio Oriente (EAU) me-central-1
  • Puede utilizar los permisos de IAM para controlar el acceso a regiones: AWS Identity and Access Management (IAM) incluye cuatro permisos que le permiten controlar qué usuarios pueden habilitar, deshabilitar, obtener y enumerar regiones. Para obtener más información, consulte AWS: permite habilitar y deshabilitar Regiones de AWS en la Guía del usuario de IAM. También puede utilizar la clave de condición aws:RequestedRegion para controlar el acceso a Servicios de AWS o en una Región de AWS.

  • La habilitación de una región es gratuita: no se aplica ningún cargo por habilitar una región. Solamente se cobran los recursos que se crean en la nueva región.

  • La deshabilitación de una región deshabilita el acceso de IAM a los recursos que se encuentren en la región: si deshabilita una región que todavía contiene recursos de AWS, como instancias de Amazon Elastic Compute Cloud (Amazon EC2), pierde el acceso de IAM a los recursos que se encuentran en esa región. Por ejemplo, no podrá usar la AWS Management Console para ver o modificar la configuración de ninguna de las instancias de EC2 de una región deshabilitada.

  • Los cargos correspondientes a los recursos activos continúan si deshabilita una región: si deshabilita una región que todavía contiene recursos de AWS, los cargos correspondientes a esos recursos continuarán acumulándose (si procede) según la tarifa estándar. Por ejemplo, si desactiva una región que contiene instancias de Amazon EC2, tendrá que seguir abonando los cargos por esas instancias, aunque no pueda acceder a ellas.

  • La deshabilitación de una región no siempre está visible de forma inmediata: es posible que los servicios y las consolas estén visibles temporalmente después de deshabilitar una región. La deshabilitación de una región puede tardar entre unos minutos y varias horas en surtir efecto.

  • Habilitar una región tarda entre unos minutos y varias horas en algunos casos: cuando habilita una región, AWS realiza acciones para preparar su cuenta en dicha región, como la distribución de sus recursos de IAM a la región. Este proceso tarda unos minutos para la mayoría de las cuentas, pero a veces puede tardar varias horas. No puede utilizar la región hasta que este proceso finalice.

  • Las organizaciones pueden tener 50 solicitudes de opción de región abiertas en un momento dado en toda la organización de AWS: la cuenta de administración puede tener en cualquier momento 50 solicitudes abiertas pendientes de finalización para su organización. Una solicitud equivale a habilitar o deshabilitar una región concreta para una cuenta.

  • Una sola cuenta puede tener 6 solicitudes de opción de región en curso en un momento dado: una solicitud equivale a habilitar o deshabilitar una región en particular para una cuenta.

  • Integración con Amazon EventBridge: los clientes pueden suscribirse a las notificaciones de actualización de estado de opción de región en EventBridge. Se creará una notificación de EventBridge para cada cambio de estado, lo que permitirá a los clientes automatizar los flujos de trabajo.

  • Estado de opción de región expresivo: debido a la naturaleza asincrónica de habilitar o deshabilitar una región de suscripción, hay cuatro posibles estados para una solicitud de opción de región:

    • ENABLING

    • DISABLING

    • ENABLED

    • DISABLED

    No puede cancelar una suscripción o exclusión si se encuentra en uno de los estados ENABLING o DISABLING. De lo contrario, se lanzará una ConflictException. Una solicitud de opción de región completada (habilitada o deshabilitada) depende del aprovisionamiento de los principales servicios de AWS subyacentes. Es posible que algunos servicios de AWS no se puedan utilizar inmediatamente a pesar de que se encuentren en el estado ENABLED.

  • Integración total con AWS Organizations: una cuenta de administración puede modificar o leer la opción de región para cualquier cuenta de miembro de esa organización de AWS. Una cuenta de miembro también puede leer y escribir el estado de su región.

Habilitar o deshabilitar una región para cuentas independientes

Para actualizar a qué regiones tiene acceso su Cuenta de AWS, siga los pasos del procedimiento a continuación. El siguiente procedimiento de la AWS Management Console siempre funciona solo en el contexto independiente. Puede usar la AWS Management Console para ver o actualizar solo las regiones disponibles en la cuenta que utilizó para llamar a la operación.

AWS Management Console
Cómo habilitar o deshabilitar una Cuenta de AWS independiente
Permisos mínimos

Para realizar los pasos del siguiente procedimiento, un rol o usuario de IAM debe tener los siguientes permisos:

  • account:ListRegions (necesario para ver la lista de Regiones de AWS y si están habilitadas o deshabilitadas actualmente).

  • account:EnableRegion

  • account:DisableRegion

  1. Inicie sesión en la AWS Management Console como Usuario raíz de la cuenta de AWS o como rol o usuario de IAM con los permisos mínimos.

  2. En la parte superior derecha de la ventana, seleccione el nombre de cuenta y, a continuación, seleccione Cuenta.

  3. En la página de la cuenta, desplácese hacia abajo hasta la sección Regiones de AWS.

    nota

    Es posible que se le pida que apruebe el acceso a esta información. AWS envía una solicitud a la dirección de correo electrónico asociada a la cuenta y al número de teléfono del contacto principal. Seleccione el enlace de la solicitud para abrirlo en su navegador y apruebe el acceso.

  4. Junto a cada Región de AWS con una opción en la columna Acción, seleccione Habilitar o Deshabilitar, en función de si desea que los usuarios de su cuenta puedan crear recursos en esa región y acceder a ellos.

  5. Cuando se le indique, confirme su elección.

  6. Luego de realizar todos los cambios, elija Hecho.

AWS CLI & SDKs

Puede habilitar, deshabilitar, leer y enumerar el estado de opción de una región mediante los siguientes comandos de la AWS CLI o sus operaciones equivalentes del SDK de AWS:

  • EnableRegion

  • DisableRegion

  • GetRegionOptStatus

  • ListRegions

Permisos mínimos

Para realizar los siguientes pasos, debe tener el permiso correspondiente a esa operación:

  • account:EnableRegion

  • account:DisableRegion

  • account:GetRegionOptStatus

  • account:ListRegions

Si utiliza estos permisos individuales, puede conceder a algunos usuarios la capacidad de solo leer la información de opción de región y conceder a otros la capacidad tanto de leer como de escribir.

En el siguiente ejemplo, se habilita una región para la cuenta de miembro especificada en una organización. Las credenciales que se usan deben ser de la cuenta de administración de la organización o de la cuenta de administrador delegado del servicio de Account Management.

Tenga en cuenta que también puede deshabilitar una región con el mismo comando y, a continuación, reemplazar enable-region con disable-region.

aws account enable-region --region-name af-south-1

Este comando no genera ningún resultado si se utiliza correctamente.

La operación es asíncrona. El siguiente comando le permitirá ver el estado más reciente de la solicitud.

aws account get-region-opt-status --region-name af-south-1 { "RegionName": "af-south-1", "RegionOptStatus": "ENABLING" }

Habilitar o deshabilitar una región en su organización

Para actualizar las regiones habilitadas para cuentas de miembro de su AWS Organizations, siga los pasos del procedimiento a continuación.

nota

Las políticas administradas por AWS Organizations, AWSOrganizationsReadOnlyAccess o AWSOrganizationsFullAccess, se actualizan para permitir el acceso a las API de AWS Account Management, para que usted pueda acceder a los datos de las cuentas desde la consola de AWS Organizations. Para ver las políticas administradas actualizadas, consulte Updates to Organizations AWS managed policies.

nota

Antes de poder realizar estas operaciones desde la cuenta de administración o desde una cuenta de administrador delegado en una organización para utilizarlas con las cuentas de los miembros, debe hacer lo siguiente:

  • Habilite todas las características en su organización para administrar la configuración en sus cuentas de miembro. Esto le permite al administrador controlar las cuentas de miembro. Esto se establece de forma predeterminada cuando crea la organización. Si su organización está configurada únicamente para la facturación consolidada y desea habilitar todas las características, consulte Enabling all features in your organization.

  • Habilite el acceso de confianza para el servicio de AWS Account Management. Para configurarlo, consulte Habilitación del acceso de confianza para AWS Account Management.

AWS Management Console
Cómo habilitar o deshabilitar una región en su organización
  1. Inicie sesión en la consola de AWS Organizations con las credenciales de la cuenta de administración de su organización.

  2. En la página Cuentas de AWS, seleccione la cuenta que desea actualizar.

  3. Elija la pestaña Configuración de la cuenta.

  4. En Regiones, seleccione la región que desea habilitar o deshabilitar.

  5. Seleccione Acciones y, a continuación, elija la opción Habilitar o Deshabilitar.

  6. Si ha elegido la opción Habilitar, revise el texto que se muestra y, a continuación, seleccione Habilitar región.

  7. Si eligió la opción Deshabilitar, revise el texto que se muestra, escriba deshabilitar para confirmar y, a continuación, seleccione Deshabilitar región.

AWS CLI & SDKs

Puede habilitar, deshabilitar, leer y enumerar el estado de opción de una región para cuentas de miembro de organización mediante los siguientes comandos de la AWS CLI o sus operaciones equivalentes del SDK de AWS:

  • EnableRegion

  • DisableRegion

  • GetRegionOptStatus

  • ListRegions

Permisos mínimos

Para realizar los siguientes pasos, debe tener el permiso correspondiente a esa operación:

  • account:EnableRegion

  • account:DisableRegion

  • account:GetRegionOptStatus

  • account:ListRegions

Si utiliza estos permisos individuales, puede conceder a algunos usuarios la capacidad de solo leer la información de opción de región y conceder a otros la capacidad tanto de leer como de escribir.

En el siguiente ejemplo, se habilita una región para la cuenta de miembro especificada en una organización. Las credenciales que se usan deben ser de la cuenta de administración de la organización o de la cuenta de administrador delegado del servicio de Account Management.

Tenga en cuenta que también puede deshabilitar una región con el mismo comando y, a continuación, reemplazar enable-region con disable-region.

aws account enable-region --account-id 123456789012 --region-name af-south-1

Este comando no genera ningún resultado si se utiliza correctamente.

nota

Una organización solo puede tener un máximo de 20 solicitudes de región en un momento dado. De lo contrario, recibirá una TooManyRequestsException.

La operación es asíncrona. El siguiente comando le permitirá ver el estado más reciente de la solicitud.

aws account get-region-opt-status --account-id 123456789012 --region-name af-south-1 { "RegionName": "af-south-1", "RegionOptStatus": "ENABLING" }