Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Descripción general de la administración de los permisos de acceso a sus AWS Directory Service recursos

Cada AWS recurso es propiedad de una AWS cuenta. Como resultado, los permisos de creación o acceso a los recursos se rigen por políticas de permisos. Sin embargo, un administrador de cuentas, que es un usuario con permisos de administrador, puede asociar permisos a los recursos. También tienen la capacidad de adjuntar políticas de permisos a las identidades de IAM, como los usuarios, los grupos y las funciones, y algunos servicios, por ejemplo, AWS Lambda también permiten adjuntar políticas de permisos a los recursos.

AWS Directory Service recursos y operaciones

En AWS Directory Service, el recurso principal es un directorio. Como AWS Directory Service es compatible con los recursos de instantáneas de directorios, solo puede crear instantáneas en el contexto de un directorio existente. Una instantánea se conoce como subrecurso.

Estos recursos tienen nombres de recursos de Amazon (ARNs) exclusivos asociados a ellos, como se muestra en la siguiente tabla.

AWS Directory Service incluye dos espacios de nombres de servicios según el tipo de operaciones que realice.

Titularidad de los recursos

El propietario de un recurso es la AWS cuenta que creó un recurso. Es decir, el propietario del recurso es la AWS cuenta de la entidad principal (la cuenta raíz, un usuario de IAM o un rol de IAM) que autentica la solicitud que crea el recurso. Los siguientes ejemplos ilustran cómo funciona:

Administración del acceso a los recursos

Una política de permisos describe quién tiene acceso a qué. En la siguiente sección se explican las opciones disponibles para crear políticas de permisos.

Las políticas asociadas a una identidad de IAM se denominan políticas basadas en la identidad (políticas de IAM) y las políticas asociadas a un recurso se denominan políticas basadas en recursos. AWS Directory Service solo admite políticas basadas en la identidad (políticas de IAM).

Políticas basadas en identidades (políticas de IAM)

Puede asociar políticas a identidades de IAM. Por ejemplo, puede hacer lo siguiente:

La siguiente política de permisos concede permisos a un usuario para ejecutar todas las acciones que empiezan por Describe. Estas acciones muestran información sobre un AWS Directory Service recurso, como un directorio o una instantánea. Tenga en cuenta que el carácter comodín (*) del Resource elemento indica que las acciones están permitidas en todos los AWS Directory Service recursos que son propiedad de la cuenta.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ds:Describe*",
         "Resource":"*"
      }
   ]
}

Para obtener más información sobre el uso de políticas basadas en la identidad con AWS Directory Service, consulte. Uso de políticas basadas en la identidad (políticas de IAM) para AWS Directory Service Para obtener más información acerca de los usuarios, los grupos, los roles y los permisos, consulte Identidades (usuarios, grupos y roles) en la Guía del usuario de IAM.

Políticas basadas en recursos

Otros servicios, como Amazon S3, también admiten políticas de permisos basadas en recursos. Por ejemplo, puede adjuntar una política a un bucket de S3 para administrar los permisos de acceso a ese bucket. AWS Directory Service no admite políticas basadas en recursos.

Especificación de elementos de política: acciones, efectos, recursos y entidades principales

Para cada AWS Directory Service recurso, el servicio define un conjunto de operaciones de API. Para obtener más información, consulte AWS Directory Service recursos y operaciones. Para ver la lista de operaciones de API disponibles, consulte las acciones de Directory Service.

Para conceder permisos para estas operaciones de API, AWS Directory Service define un conjunto de acciones que puede especificar en una política. Tenga en cuenta que la realización de una operación de la API puede requerir permisos para más de una acción.

A continuación, se indican los elementos básicos de la política:

Para obtener más información sobre la sintaxis y descripciones de las políticas de IAM, consulte Referencia de políticas JSON de IAM en la Guía del usuario de IAM.

Para ver una tabla que muestra todas las acciones de la AWS Directory Service API y los recursos a los que se aplican, consulte. AWS Directory Service Permisos de API: referencia a acciones, recursos y condiciones

Especificación de las condiciones de una política

Al conceder permisos, puede utilizar el lenguaje de la política de acceso para especificar las condiciones en las que se debe aplicar una política. Por ejemplo, es posible que desee que solo se aplique una política después de una fecha específica. Para obtener más información sobre cómo especificar condiciones en un lenguaje de política, consulte Condition en la Guía del usuario de IAM.

Para expresar condiciones, se usan claves de condición predefinidas. No hay claves de condición específicas para AWS Directory Service. Sin embargo, hay claves de AWS condición que puede usar según corresponda. Para obtener una lista completa de AWS las claves, consulte las claves de condición globales disponibles en la Guía del usuario de IAM.