Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Identity-based ejemplos de políticas para AWS CloudTrail

De forma predeterminada, los usuarios y roles no tienen permiso para crear, ver ni modificar recursos de CloudTrail. Un administrador de IAM puede crear políticas de IAM para conceder permisos a los usuarios para realizar acciones en los recursos que necesitan.

Para obtener información acerca de cómo crear una política basada en identidades de IAM mediante el uso de estos documentos de políticas JSON de ejemplo, consulte Creación de políticas de IAM (consola) en la Guía del usuario de IAM.

Para obtener más información sobre las acciones y los tipos de recursos definidos por cada uno de los tipos de recursos CloudTrail, incluido el formato de los ARN para cada uno de los tipos de recursos, consulte las acciones, los recursos y las claves de condición de la referencia de autorización de servicio. AWS CloudTrail

Prácticas recomendadas sobre las políticas

Identity-based las políticas determinan si alguien puede crear CloudTrail recursos de tu cuenta, acceder a ellos o eliminarlos. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadas de IAM, consulte Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

CloudTrail no tiene claves de contexto específicas del servicio que puedas usar en el elemento de las declaraciones de política. Condition

Ejemplo: permitir y denegar acciones para un registro de seguimiento especificado

El siguiente ejemplo muestra una política que permite a los usuarios que la tienen ver el estado y la configuración de una ruta e iniciar y detener el registro de una ruta denominada. My-First-Trail Esta ruta se creó en la región Este de EE. UU. (Ohio) (su región de origen) Cuenta de AWS con el ID123456789012.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "cloudtrail:StartLogging",
              "cloudtrail:StopLogging",
              "cloudtrail:GetTrail",
              "cloudtrail:GetTrailStatus",
              "cloudtrail:GetEventSelectors"
          ],
          "Resource": [
              "arn:aws:cloudtrail:us-east-2:123456789012:trail/My-First-Trail"
          ]
      }
  ]
}

En el siguiente ejemplo se muestra una política que niega explícitamente la adopción de CloudTrail medidas en relación con cualquier ruta que no tenga nombreMy-First-Trail.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
      {
          "Effect": "Deny",
          "Action": [
              "cloudtrail:*"
          ],
          "NotResource": [
              "arn:aws:cloudtrail:us-east-2:123456789012:trail/My-First-Trail"
          ]
      }
  ]
}

Ejemplos: creación y aplicación de políticas para acciones en registros de seguimiento específicos

Puede usar los permisos y las políticas para controlar la capacidad de un usuario de realizar acciones específicas en las CloudTrail rutas.

Por ejemplo, no le interesa que los usuarios del grupo de desarrolladores de su empresa inicien o detengan un registro de seguimiento específico. Sin embargo, tal vez le interese concederles permiso para que lleven a cabo las acciones DescribeTrails y GetTrailStatus que se hagan en el registro de seguimiento. Desea que los usuarios del grupo de desarrolladores realicen las acciones StartLogging o StopLogging en los registros de seguimiento que ellos administran.

Puede crear dos instrucciones de política y adjuntarlas al grupo de desarrolladores que cree en IAM. Para obtener más información sobre los grupos de IAM, consulte Grupos de IAM en la Guía del usuario de IAM .

En la primera, deniega las acciones StartLogging y StopLogging del ARN del registro de seguimiento que especifique. En el ejemplo siguiente, el ARN del registro de seguimiento es arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1446057698000",
            "Effect": "Deny",
            "Action": [
                "cloudtrail:StartLogging",
                "cloudtrail:StopLogging"
            ],
            "Resource": [
                "arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail"
            ]
        }
    ]
}

En la segunda política, las GetTrailStatus acciones DescribeTrails y están permitidas en todos los CloudTrail recursos:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1446072643000",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:DescribeTrails",
                "cloudtrail:GetTrail",
                "cloudtrail:GetTrailStatus"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Si un usuario del grupo de desarrolladores intenta iniciar o detener el registro de seguimiento que ha especificado en la primera política, ese usuario obtiene una excepción de acceso denegado. Los usuarios del grupo de desarrolladores pueden iniciar y detener los registros de seguimiento que crean y administran.

Los siguientes ejemplos muestran que el grupo de desarrolladores configurado en un AWS CLI perfil se llamadevgroup. En primer lugar, un usuario de devgroup ejecuta el comando describe-trails.

$ aws --profile devgroup cloudtrail describe-trails

El comando se completa correctamente con el resultado siguiente:

{
    "trailList": [
        {
            "IncludeGlobalServiceEvents": true, 
            "Name": "Default", 
            "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/Example-Trail", 
            "IsMultiRegionTrail": false, 
            "S3BucketName": "amzn-s3-demo-bucket", 
            "HomeRegion": "us-east-2"
        }
    ]
}

El usuario ejecuta el comando get-trail-status en el registro de seguimiento que ha especificado en la primera política.

$ aws --profile devgroup cloudtrail get-trail-status --name Example-Trail

El comando se completa correctamente con el resultado siguiente:

{
    "LatestDeliveryTime": 1449517556.256, 
    "LatestDeliveryAttemptTime": "2015-12-07T19:45:56Z", 
    "LatestNotificationAttemptSucceeded": "", 
    "LatestDeliveryAttemptSucceeded": "2015-12-07T19:45:56Z", 
    "IsLogging": true, 
    "TimeLoggingStarted": "2015-12-07T19:36:27Z", 
    "StartLoggingTime": 1449516987.685, 
    "StopLoggingTime": 1449516977.332, 
    "LatestNotificationAttemptTime": "", 
    "TimeLoggingStopped": "2015-12-07T19:36:17Z"
}

A continuación, un usuario del grupo devgroup ejecuta el comando stop-logging en el mismo registro de seguimiento.

$ aws --profile devgroup cloudtrail stop-logging --name Example-Trail

El comando devuelve una excepción de acceso denegado, como la siguiente:

A client error (AccessDeniedException) occurred when calling the StopLogging operation: Unknown

El usuario ejecuta el comando start-logging en el mismo registro de seguimiento.

$ aws --profile devgroup cloudtrail start-logging --name Example-Trail

De nuevo, el comando devuelve una excepción de acceso denegado, como la siguiente:

A client error (AccessDeniedException) occurred when calling the StartLogging operation: Unknown 

Ejemplos: Denegación de acceso para crear o eliminar almacenes de datos de eventos en función de etiquetas

En el siguiente ejemplo de política, se deniega el permiso para crear un almacén de datos de eventos con CreateEventDataStore si no se cumple al menos una de las siguientes condiciones:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudtrail:CreateEventDataStore",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/stage": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "cloudtrail:CreateEventDataStore",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "aws:RequestTag/stage": [
                        "alpha",
                        "beta",
                        "gamma",
                        "prod"
                    ]
                }
            }
        }
    ]
}

En el siguiente ejemplo de política, se deniega el permiso para eliminar un almacén de datos de eventos con DeleteEventDataStore si el almacén de datos de eventos tiene la etiqueta stage con un valor de prod. Una política similar puede ayudar a proteger un almacén de datos de eventos de una eliminación accidental.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "cloudtrail:DeleteEventDataStore",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": "prod"
                }
            }
        }
    ]
}

Uso de la CloudTrail consola

Para acceder a la AWS CloudTrail consola, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle enumerar y ver los detalles de sus CloudTrail recursos Cuenta de AWS. Si crea una política basada en identidades que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles) que tengan esa política.

No es necesario que concedas permisos mínimos de consola a los usuarios que solo realizan llamadas a la API AWS CLI o a la AWS API. En su lugar, permita el acceso únicamente a las acciones que coincidan con la operación de API que intentan realizar.

Concesión de permisos de CloudTrail administración

Para permitir que los roles o usuarios de IAM administren un CloudTrail recurso, como una ruta, un almacén de datos de eventos o un canal, debes conceder permisos explícitos para realizar las acciones asociadas a las CloudTrail tareas. En la mayoría de los casos, puedes usar una política AWS gestionada que contenga permisos predefinidos.

Las siguientes políticas AWS administradas están disponibles para CloudTrail:

Para dar acceso, agregue permisos a los usuarios, grupos o roles:

Recursos adicionales

Para obtener más información sobre el uso de IAM para dar acceso a los recursos de tu cuenta a identidades (como usuarios y roles), consulta la Guía del usuario de IAM para configurar IAM y gestionar el acceso a AWS los recursos.

No es necesario conceder permisos mínimos de consola a los usuarios que solo realizan llamadas a la API AWS CLI o a la API. AWS En su lugar, permite acceso únicamente a las acciones que coincidan con la operación de API que intenta realizar.

Permitir a los usuarios consultar sus propios permisos

En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas administradas e insertadas que se asocian a la identidad de sus usuarios. Esta política incluye permisos para completar esta acción en la consola o mediante programación mediante la API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Concesión de permisos personalizados a los usuarios CloudTrail

CloudTrail las políticas otorgan permisos a los usuarios con los que trabajan CloudTrail. Si necesitas conceder diferentes permisos a los usuarios, puedes adjuntar una CloudTrail política a un grupo de IAM o a un usuario. Puede editar la política para incluir o excluir permisos específicos. También puede crear su propia política personalizada. Las políticas son documentos JSON que definen las acciones que puede realizar un usuario y los recursos en los que este puede llevar a cabo dichas acciones. Para ver ejemplos específicos, consulte Ejemplo: permitir y denegar acciones para un registro de seguimiento especificado y Ejemplos: creación y aplicación de políticas para acciones en registros de seguimiento específicos.

Read-only acceder

El siguiente ejemplo muestra una política que otorga acceso de solo lectura a las CloudTrail rutas. Equivale a la política administrada AWSCloudTrail_ReadOnlyAccess. Se concede permiso a los usuarios para ver la información de los registros de seguimiento, pero no para crear o actualizar registros de seguimiento.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudtrail:Get*",
                "cloudtrail:Describe*",
                "cloudtrail:List*",
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        }
    ]
}

En las declaraciones de políticas, el elemento Effect especifica si las acciones se permiten o se niegan. El elemento Action enumera las acciones específicas que puede realizar el usuario. El Resource elemento enumera los AWS recursos en los que el usuario puede realizar esas acciones. En el caso de las políticas que controlan el acceso a CloudTrail las acciones, el Resource elemento suele estar * establecido en un comodín que significa «todos los recursos».

Los valores en el elemento Action corresponden a las API que admiten los servicios. Las acciones están precedidas por cloudtrail: para indicar que se refieren a acciones de CloudTrail . Puede utilizar el carácter comodín * en el elemento Action, como en los siguientes ejemplos:

La política de solo lectura no concede permiso al usuario para las acciones CreateTrail, UpdateTrail, StartLogging y StopLogging. Los usuarios con esta política no pueden crear y actualizar registros de seguimiento, ni activar y desactivar los registros. Para ver la lista de CloudTrail acciones, consulta la referencia de la AWS CloudTrail API.

Acceso completo de

El siguiente ejemplo muestra una política que otorga acceso total a CloudTrail. Equivale a la política administrada AWSCloudTrail_FullAccess. Concede a los usuarios el permiso para realizar todas CloudTrail las acciones. También permite a los usuarios registrar eventos de datos en Amazon S3 y gestionar archivos en cubos de Amazon S3 AWS Lambda, gestionar el modo en que CloudWatch Logs monitoriza los eventos de CloudTrail registro y gestionar los temas de Amazon SNS en la cuenta a la que está asociado el usuario.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sns:AddPermission",
                "sns:CreateTopic",
                "sns:SetTopicAttributes",
                "sns:GetTopicAttributes"
            ],
            "Resource": [
                "arn:aws:sns:*:*:aws-cloudtrail-logs*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-logging-bucket1*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "cloudtrail:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:aws-cloudtrail-logs*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:GetRolePolicy",
                "iam:GetUser"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "cloudtrail.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateKey",
                "kms:CreateAlias",
                "kms:ListKeys",
                "kms:ListAliases"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:ListFunctions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:ListGlobalTables",
                "dynamodb:ListTables"
            ],
            "Resource": "*"
        }
    ]
}

Otorgar permiso para ver AWS Config información de la CloudTrail consola

Puede ver la información del evento en la CloudTrail consola, incluidos los recursos relacionados con ese evento. En el caso de estos recursos, puede elegir el AWS Config icono para ver la cronología de ese recurso en la AWS Config consola. Adjunte esta política a sus usuarios para concederles acceso de solo lectura AWS Config . La política no les concede permiso para cambiar los ajustes en AWS Config.

JSON

{
    "Version":"2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "config:Get*",
            "config:Describe*",
            "config:List*"
        ],
        "Resource": "*"
    }]
}

Para obtener más información, consulte Visualización de los recursos referenciados con AWS Config.

Otorgar permiso para ver y configurar la información de Amazon CloudWatch Logs en la consola CloudTrail

Puedes ver y configurar la entrega de eventos a CloudWatch Logs en la CloudTrail consola si tienes los permisos suficientes. Estos permisos pueden ser más amplios que los que se conceden a los administradores de CloudTrail. Adjunte esta política a los administradores que configurarán y administrarán CloudTrail la integración con CloudWatch los registros. La política no les otorga permisos para entrar CloudTrail o entrar en los CloudWatch registros directamente, sino que les otorga los permisos necesarios para crear y configurar el rol que CloudTrail asumirán para entregar correctamente los eventos a tu grupo de CloudWatch registros.

JSON

{
    "Version":"2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "iam:CreateRole",
            "iam:PutRolePolicy",
            "iam:AttachRolePolicy",
            "iam:ListRoles",
            "iam:GetRolePolicy",
            "iam:GetUser"
        ],
        "Resource": "*"
    }]
}

Para obtener más información, consulte Supervisión de archivos de CloudTrail registro con Amazon CloudWatch Logs.

Información adicional

Para obtener más información sobre el uso de IAM para dar acceso a los recursos de tu cuenta a identidades (como usuarios y roles), consulta la Guía del usuario de IAM para comenzar y administrar el acceso a AWS los recursos.