Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS Ejemplos de políticas de facturación

Este tema contiene ejemplos de políticas que puede adjuntar a su IAM usuario o grupo para controlar el acceso a la información y las herramientas de facturación de su cuenta. Las siguientes reglas básicas se aplican a IAM las políticas de Billing and Cost Management:

Para obtener una lista de políticas de acciones para la consola de administración de AWS costos, consulte AWS los ejemplos de políticas de administración de AWS costos en la guía del usuario de administración de costos.

Permita que IAM los usuarios vean su información de facturación

Para permitir que un IAM usuario vea tu información de facturación sin darle acceso a información confidencial de la IAM cuenta, usa una política similar a la siguiente política de ejemplo. Esta política impide que los usuarios accedan a la contraseña y a los informes de la actividad de la cuenta. Esta política permite a IAM los usuarios ver las siguientes páginas de la consola de Billing and Cost Management sin darles acceso a las páginas de la consola Account Settings o Reports:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        }
    ]
}

Permite a IAM los usuarios ver tu información de facturación y tu informe de huella de carbono

Para permitir que un IAM usuario vea tanto la información de facturación como los informes de huella de carbono, usa una política similar a la del siguiente ejemplo. Esta política impide que los usuarios accedan a la contraseña y a los informes de la actividad de la cuenta. Esta política permite a IAM los usuarios ver las siguientes páginas de la consola de Billing and Cost Management sin darles acceso a las páginas de la consola Account Settings o Reports:

{
    "Version": "2012-10-17",
    "Statement": [
        {"Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        },
        {"Effect": "Allow",
            "Action": "sustainability:GetCarbonFootprintSummary",
            "Resource": "*"
        }
    ]
}

Permita que IAM los usuarios accedan a la página de la consola de informes

Para permitir a un usuario de IAM obtener acceso a la página de consola Reports (Informes) y ver los informes de uso que contienen información de la actividad de la cuenta, use una política similar a esta política de ejemplo.

Para ver las definiciones de cada acción, consulte AWS Acciones de la consola de facturación.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewUsage",
                "aws-portal:ViewBilling",
                "cur:DescribeReportDefinitions",
                "cur:PutReportDefinition",
                "cur:DeleteReportDefinition",
                "cur:ModifyReportDefinition"
            ],
            "Resource": "*"
        }
    ]
}

Denegar a IAM los usuarios el acceso a las consolas de Billing and Cost Management

Para denegar explícitamente a un IAM usuario el acceso a todas las páginas de la consola de Billing and Cost Management, utilice una política similar a esta política de ejemplo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "aws-portal:*",
            "Resource": "*"
        }
    ]
}

Denegue el acceso al widget de costo y uso de la AWS consola a las cuentas de los miembros

Para restringir el acceso de la cuenta de miembro (vinculada) a los datos de costo y uso, utilice su cuenta de administración (pagador) para acceder a la pestaña de preferencias del Explorador de costos y desmarque la opción Acceso de la cuenta vinculada. Esto denegará el acceso a los datos de costo y uso de la consola Cost Explorer (Administración de AWS costos), el Explorador de costos y el widget de costo y uso de la página de inicio de la AWS consolaAPI, independientemente de las IAM acciones que realice el IAM usuario o el rol de la cuenta de un miembro.

Denegue el acceso al widget de costo y uso de la AWS consola a IAM usuarios y roles específicos

Para denegar el acceso a los widgets de costo y uso de la AWS consola a IAM usuarios y roles específicos, usa la política de permisos que se indica a continuación.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ce:*",
            "Resource": "*"
        }
    ]
}

Permita que IAM los usuarios vean su información de facturación, pero deniegue el acceso al informe sobre la huella de carbono

Permitir que un IAM usuario acceda a la información de facturación de las consolas Billing and Cost Management, pero no permite el acceso a la herramienta de huella de carbono del AWS cliente. Esta herramienta se encuentra en la página de informes de AWS costos y uso.

{
    "Version": "2012-10-17",
    "Statement": [
        {"Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        },
        {"Effect": "Deny",
            "Action": "sustainability:GetCarbonFootprintSummary",
            "Resource": "*"
        }
    ]
}

Permita a IAM los usuarios acceder a los informes sobre la huella de carbono, pero deniegue el acceso a la información de facturación

Permitir que un IAM usuario acceda a la herramienta de huella de carbono del AWS cliente en la página de informes de AWS costos y uso, pero deniega el acceso para ver la información de facturación en las consolas de Billing and Cost Management.

{
    "Version": "2012-10-17",
    "Statement": [
        {"Effect": "Deny",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        },
        {"Effect": "Allow",
            "Action": "sustainability:GetCarbonFootprintSummary",
            "Resource": "*"
        }
    ]
}

Permitir el acceso total a AWS los servicios pero denegar a IAM los usuarios el acceso a las consolas Billing and Cost Management

Para denegar a IAM los usuarios el acceso a todo el contenido de la consola Billing and Cost Management, usa la siguiente política. Denegue el acceso de los usuarios a AWS Identity and Access Management (IAM) para impedir el acceso a las políticas que controlan el acceso a la información y las herramientas de facturación.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-portal:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

Permitir a IAM los usuarios ver las consolas de Billing and Cost Management, excepto la configuración de la cuenta

Esta política permite acceso de solo lectura a toda la consola de Administración de facturación y costos. Esto incluye las páginas de Método de pago e Informes de la consola. Sin embargo, esta política deniega el acceso a la página Account Settings (Configuración de la cuenta). Esto significa que protege la contraseña de la cuenta, la información de contacto y las preguntas de seguridad.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "aws-portal:View*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "aws-portal:*Account",
            "Resource": "*"
        }
    ]
}

Permita a IAM los usuarios modificar la información de facturación

Para permitir a IAM los usuarios modificar la información de facturación de la cuenta en la consola Billing and Cost Management, permita a IAM los usuarios ver su información de facturación. La siguiente política de ejemplo permite a un usuario de IAM modificar las páginas de la consola Consolidated Billing (Facturación unificada), Preferences (Preferencias) y Credits (Créditos). También permite al IAM usuario ver las siguientes páginas de la consola de Billing and Cost Management:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "aws-portal:*Billing",
            "Resource": "*"
        }
    ]
}

Cómo denegar el acceso a la configuración de la cuenta, pero permitir el acceso completo al resto de la información de facturación y de uso

Para proteger la contraseña, la información de contacto y las preguntas de seguridad de su cuenta, deniegue el acceso IAM del usuario a la configuración de la cuenta y, al mismo tiempo, permita el acceso total al resto de las funciones de la consola de Billing and Cost Management. A continuación, se muestra una política de ejemplo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aws-portal:*Billing",
                "aws-portal:*Usage",
                "aws-portal:*PaymentMethods"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "aws-portal:*Account",
            "Resource": "*"
        }
    ]
}

Informes de depósito en un bucket de Amazon S3

La siguiente política permite a Billing and Cost Management guardar sus AWS facturas detalladas en un bucket de Amazon S3 si es propietario tanto de la AWS cuenta como del bucket de Amazon S3. Esta política debe aplicarse al bucket de Amazon S3, no a un IAM usuario. Esto es así debido a que es una política basada en recursos, no una política basada en usuario. Te recomendamos denegar IAM el acceso al bucket a los IAM usuarios que no necesiten acceder a tus facturas.

Reemplace amzn-s3-demo-bucket1 con el nombre de su bucket.

Para obtener más información, consulte Uso de políticas de bucket y políticas de usuario en la Guía del usuario de Amazon Simple Storage Service.

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Principal": {
      "Service": "billingreports.amazonaws.com"
    },
    "Action": [
      "s3:GetBucketAcl",
      "s3:GetBucketPolicy"
    ],
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1"
  },
  {
    "Effect": "Allow",
    "Principal": {
      "Service": "billingreports.amazonaws.com"
    },
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
  }
  ]
}

Buscar productos y precios

Para permitir que un IAM usuario utilice el servicio de lista de AWS preciosAPI, utilice la siguiente política para concederle acceso.

Esta política otorga permiso para utilizar tanto la consulta de listas de AWS precios masivas como la lista de API AWS preciosAPI.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "pricing:DescribeServices",
                "pricing:GetAttributeValues",
                "pricing:GetProducts",
                "pricing:GetPriceListFileUrl",
                "pricing:ListPriceLists"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Cómo ver costos y uso

Para permitir que IAM los usuarios utilicen el AWS Cost ExplorerAPI, utilice la siguiente política para concederles acceso.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ce:*"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Habilita y deshabilita AWS las regiones

Para ver un ejemplo IAM de política que permite a los usuarios habilitar y deshabilitar regiones, consulte AWS: Permite habilitar y deshabilitar AWS regiones en la Guía del IAM usuario.

Ver y administrar categorías de costos

Para permitir a IAM los usuarios utilizar, ver y gestionar las categorías de costes, utilice la siguiente política para concederles el acceso.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:GetCostAndUsage",
        "ce:DescribeCostCategoryDefinition",
        "ce:UpdateCostCategoryDefinition",
        "ce:CreateCostCategoryDefinition",
        "ce:DeleteCostCategoryDefinition",
        "ce:ListCostCategoryDefinitions",
        "ce:TagResource",
        "ce:UntagResource",
        "ce:ListTagsForResource",
        "pricing:DescribeServices"
      ],
      "Resource": "*"
    }
  ]
}

Crear, ver, editar o eliminar AWS Cost and Usage Reports

Esta política permite a un IAM usuario crear, ver, editar o eliminar sample-report medianteAPI.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ManageSampleReport",
            "Effect": "Allow",
			"Action": [
                "cur:PutReportDefinition", 
                "cur:DeleteReportDefinition",
                "cur:ModifyReportDefinition"
            ],
            "Resource": "arn:aws:cur:*:123456789012:definition/sample-report"
        },
        {
            "Sid": "DescribeReportDefs",
            "Effect": "Allow",
            "Action": "cur:DescribeReportDefinitions",
            "Resource": "*"
        }
    ]
}

Ver y administrar órdenes de compra

Esta política permite a un IAM usuario ver y gestionar los pedidos de compra mediante la siguiente política para conceder el acceso.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling",
                "purchase-orders:*"
            ],
            "Resource": "*"
        }
    ]
}

Cómo ver y actualizar la página Preferences (Preferencias) de Explorador de costos

Esta política permite al IAM usuario ver y actualizar mediante la página de preferencias de Cost Explorer.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:UpdatePreferences"
       ],
      "Resource": "*"
    }
  ]
}

La siguiente política permite a IAM los usuarios ver Cost Explorer, pero deniega el permiso para ver o editar la página de preferencias.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:GetPreferences",
                "ce:UpdatePreferences"
            ],
            "Resource": "*"
        }
    ]
} 

La siguiente política permite a IAM los usuarios ver Cost Explorer, pero deniega el permiso para editar la página de preferencias.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:UpdatePreferences"
            ],
            "Resource": "*"
        }
    ]
}

Cómo ver, crear, actualizar y eliminar a través de la página Reports (Informes) de Explorador de costos

Esta política permite a un IAM usuario ver, crear, actualizar y eliminar mediante la página de informes de Cost Explorer.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:CreateReport",
        "ce:UpdateReport",
        "ce:DeleteReport"
       ],
      "Resource": "*"
    }
  ]
}

La siguiente política permite a IAM los usuarios ver Cost Explorer, pero deniega el permiso para ver o editar la página de informes.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:DescribeReport",
                "ce:CreateReport",
                "ce:UpdateReport",
                "ce:DeleteReport"
            ],
            "Resource": "*"
        }
    ]
}

La siguiente política permite a IAM los usuarios ver Cost Explorer, pero deniega el permiso para editar la página de informes.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:CreateReport",
                "ce:UpdateReport",
                "ce:DeleteReport"
            ],
            "Resource": "*"
        }
    ]
}

Cómo ver, crear, actualizar y eliminar reservas y alertas de Savings Plans

Esta política permite al IAM usuario ver, crear, actualizar y eliminar las alertas de caducidad de reservas y las alertas de Savings Plans. Para editar las alertas de vencimiento de reservas o las alertas de Savings Plans, un usuario necesita las tres acciones granulares: ce:CreateNotificationSubscription, ce:UpdateNotificationSubscription y ce:DeleteNotificationSubscription.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "aws-portal:ViewBilling",
        "ce:CreateNotificationSubscription",
        "ce:UpdateNotificationSubscription",
        "ce:DeleteNotificationSubscription"
       ],
      "Resource": "*"
    }
  ]
}

La siguiente política permite a IAM los usuarios ver Cost Explorer, pero deniega el permiso para ver o editar las páginas de alertas de Reservation Expiration Alerts y Savings Plans.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:DescribeNotificationSubscription",
                "ce:CreateNotificationSubscription",
                "ce:UpdateNotificationSubscription",
                "ce:DeleteNotificationSubscription"
            ],
            "Resource": "*"
        }
    ]
}

La siguiente política permite a IAM los usuarios ver Cost Explorer, pero deniega el permiso para editar las páginas de alertas de Reservation Expiration Alerts y Savings Plans.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": [
                "ce:CreateNotificationSubscription",
                "ce:UpdateNotificationSubscription",
                "ce:DeleteNotificationSubscription"
            ],
            "Resource": "*"
        }
    ]
}

Permita el acceso de solo lectura a la detección de anomalías en los AWS costos

Para permitir a IAM los usuarios el acceso de solo lectura a AWS Cost Anomaly Detection, utilice la siguiente política para concederles el acceso. ce:ProvideAnomalyFeedbackes opcional como parte del acceso de solo lectura.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ce:Get*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Permita que AWS Budgets aplique IAM políticas y SCPs

Esta política permite a AWS Budgets aplicar IAM políticas y políticas de control de servicios (SCPs) en nombre del usuario.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy",
        "iam:AttachUserPolicy",
        "iam:DetachGroupPolicy",
        "iam:DetachRolePolicy",
        "iam:DetachUserPolicy",
        "organizations:AttachPolicy",
        "organizations:DetachPolicy"
      ],
      "Resource": "*"
    }
  ]
}

Permita AWS que IAM Budgets aplique políticas SCPs y objetivos EC2 e RDS instancias

Esta política permite a AWS Budgets aplicar IAM políticas y políticas de control de servicios (SCPs) y segmentar Amazon EC2 y RDS las instancias de Amazon en nombre del usuario.

Política de confianza

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "budgets.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Política de permisos

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstanceStatus",
        "ec2:StartInstances",
        "ec2:StopInstances",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy",
        "iam:AttachUserPolicy",
        "iam:DetachGroupPolicy",
        "iam:DetachRolePolicy",
        "iam:DetachUserPolicy",
        "organizations:AttachPolicy",
        "organizations:DetachPolicy",
        "rds:DescribeDBInstances",
        "rds:StartDBInstance",
        "rds:StopDBInstance",
        "ssm:StartAutomationExecution"
      ],
      "Resource": "*"
    }
  ]
}

Permite a IAM los usuarios ver las exenciones fiscales de EE. UU. y crear casos Support

Esta política permite a los IAM usuarios ver las exenciones fiscales de EE. UU. y crear Support casos para cargar los certificados de exención en la consola de exenciones fiscales.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aws-portal:*",
                "tax:GetExemptions",
                "tax:UpdateExemptions",
                "support:CreateCase",
                "support:AddAttachmentsToSet"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}

(Para clientes con una dirección de facturación o de contacto en la India) Permita el acceso de solo lectura a la información de verificación del cliente

Esta política permite a IAM los usuarios el acceso de solo lectura a la información de verificación del cliente.

Para ver las definiciones de cada acción, consulte AWS Acciones de la consola de facturación.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "customer-verification:GetCustomerVerificationEligibility",
            "customer-verification:GetCustomerVerificationDetails"
        ],
        "Resource": "*"
    }]
}

(Para clientes con una dirección de facturación o de contacto en la India) Ver, crear y actualizar la información de verificación del cliente

Esta política permite a IAM los usuarios gestionar la información de verificación de sus clientes.

Para ver las definiciones de cada acción, consulte AWS Acciones de la consola de facturación

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "customer-verification:CreateCustomerVerificationDetails",
            "customer-verification:UpdateCustomerVerificationDetails",
            "customer-verification:GetCustomerVerificationEligibility",
            "customer-verification:GetCustomerVerificationDetails"
        ],
        "Resource": "*"
    }]
}

Visualización AWS Migration Acceleration Program información en la consola de facturación

Esta política permite a IAM los usuarios ver la Migration Acceleration Program los contratos, los créditos y los gastos aptos para la cuenta del pagador en la consola de facturación.

Para ver las definiciones de cada acción, consulte AWS Acciones de la consola de facturación.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "mapcredit:ListQuarterSpend",
            "mapcredit:ListQuarterCredits",
            "mapcredit:ListAssociatedPrograms"
        ],
        "Resource": "*"
    }]
}

Permite el acceso a la configuración de AWS facturas en la consola de facturación

Esta política permite a IAM los usuarios acceder a la configuración de AWS facturas en la consola de facturación.

Para ver las definiciones de cada acción, consulte AWS Acciones de la consola de facturación.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "invoicing:ListInvoiceUnits",
                "invoicing:GetInvoiceUnit",
                "invoicing:CreateInvoiceUnit",
                "invoicing:UpdateInvoiceUnit",
                "invoicing:DeleteInvoiceUnit",
                "invoicing:BatchGetInvoiceProfile"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}