Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Información general sobre la administración de los permisos de acceso a los recursos de AWS Control Tower
Todos los AWS recursos son propiedad de una Cuenta de AWS persona, y los permisos para crear o acceder a un recurso se rigen por las políticas de permisos. Un administrador de cuentas puede asociar políticas de permisos a identidades de IAM (es decir, usuarios, grupos y funciones). Algunos servicios (por ejemplo AWS Lambda) también permiten adjuntar políticas de permisos a los recursos.
nota
Un administrador de la cuenta (o administrador) es un usuario con privilegios de administrador. Para obtener más información, consulte Prácticas recomendadas de IAM en la Guía del usuario de IAM.
Cuando sea responsable de conceder permisos a un usuario o rol, debe conocer y realizar un seguimiento de los usuarios y roles que requieren permisos, los recursos para los que cada usuario o rol requiere permisos y las acciones específicas que deben permitirse para operar esos recursos.
Temas
Recursos y operaciones de AWS Control Tower
En AWS Control Tower, el recurso principal es una zona de aterrizaje. AWS Control Tower también admite un tipo de recurso adicional, los controles, que a veces se denominan barreras de protección. Sin embargo, en el caso de AWS Control Tower, puede administrar los controles únicamente en el contexto de una zona de aterrizaje existente. Los controles pueden denominarse subrecursos.
Los recursos y subrecursos de AWS tienen nombres de recursos de Amazon (ARN) únicos asociados a ellos, como se muestra en el siguiente ejemplo.
| Tipo de recurso | Formato de ARN |
|---|---|
| Sistema de archivos | arn:aws:elasticfilesystem: |
AWS Control Tower ofrece un conjunto de operaciones de API para trabajar con los recursos de AWS Control Tower. Para obtener una lista de las operaciones disponibles, consulte AWS Control Tower API Reference.
Para obtener más información sobre los CloudFormation recursos de AWS Control Tower, consulte la guía del AWS CloudFormation usuario.
Acerca de la propiedad del recurso
La AWS cuenta es propietaria de los recursos que se crean en la cuenta, independientemente de quién los haya creado. En concreto, el propietario del recurso es la AWS cuenta de la entidad principal (es decir, el usuario Cuenta de AWS raíz, un usuario del IAM Identity Center, un usuario de IAM o un rol de IAM) que autentica la solicitud de creación de recursos. Los siguientes ejemplos ilustran cómo funciona:
-
Si utilizas las AWS credenciales de usuario raíz de tu AWS cuenta para configurar una zona de destino, tu AWS cuenta es la propietaria del recurso.
-
Si creas un usuario de IAM en tu AWS cuenta y le concedes permisos para configurar una zona de destino, el usuario puede configurar una zona de destino siempre que su cuenta cumpla los requisitos previos. Sin embargo, tu AWS cuenta, a la que pertenece el usuario, es la propietaria del recurso de la zona de destino.
-
Si creas un rol de IAM en tu AWS cuenta con permisos para configurar una zona de destino, cualquier persona que pueda asumir el rol puede configurar una zona de destino. Su cuenta de AWS , a la que pertenece el rol, es la propietaria del recurso de la zona de aterrizaje.
Especificación de elementos de la política: acciones, efectos y entidades principales
Puede configurar y administrar la zona de aterrizaje a través de la consola de AWS Control Tower o las API de la zona de aterrizaje. Para configurar la zona de aterrizaje, es necesario ser un usuario de IAM con los permisos administrativos que se describen en una política de IAM.
A continuación se indican los elementos más básicos que se pueden identificar en una política:
-
Recurso: en una política, se usa un nombre de recurso de Amazon (ARN) para identificar el recurso al que se aplica la política. Para obtener más información, consulte Recursos y operaciones de AWS Control Tower.
-
Acción: utilice palabras clave de acción para identificar las operaciones del recurso que desea permitir o denegar. Para obtener información sobre los tipos de acciones que se pueden realizar, consulte Actions defined by AWS Control Tower.
-
Efecto: especifique el efecto que se producirá cuando el usuario solicite la acción específica; puede ser permitir o denegar. Si no concede acceso de forma explícita (permitir) a un recurso, el acceso se deniega implícitamente. También puede denegar explícitamente el acceso a un recurso para asegurarse de que un usuario no pueda obtener acceso a él, aunque otra política le conceda acceso.
-
Entidad principal: en las políticas basadas en identidades (políticas de IAM), el usuario al que se asocia la política es la entidad principal implícita. Para las políticas basadas en recursos, debe especificar el usuario, la cuenta, el servicio u otra entidad que desee que reciba permisos (se aplica solo a las políticas basadas en recursos). AWS Control Tower no admite políticas basadas en recursos.
Para obtener más información sobre la sintaxis y descripciones de las políticas de IAM, consulte Referencia de la política de IAM de AWS en la Guía del usuario de IAM.
Especificación de las condiciones de una política
Al conceder permisos, puede utilizar el lenguaje de la política de IAM para especificar las condiciones en la que se debe aplicar una política. Por ejemplo, es posible que desee que solo se aplique una política después de una fecha específica. Para obtener más información sobre cómo especificar condiciones en un lenguaje de política, consulte Condición en la Guía del usuario de IAM.
Para expresar condiciones, puede utilizar claves de condición predefinidas. No hay claves de condición específicas para AWS Control Tower. Sin embargo, hay claves AWS de estado generales que puede usar según corresponda. Para obtener una lista completa de las claves AWS generales, consulte las claves disponibles para las condiciones en la guía del usuario de IAM.
