Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejemplos de políticas basadas en identidades de Amazon Elastic File System

De forma predeterminada, los usuarios y los roles no tienen permiso para crear o modificar EFS los recursos de Amazon. Tampoco pueden realizar tareas mediante las teclas AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS API. Para conceder a los usuarios permiso para realizar acciones en los recursos que necesitan, un IAM administrador puede crear IAM políticas. A continuación, el administrador puede añadir las IAM políticas a las funciones y los usuarios pueden asumir las funciones.

Para obtener información sobre cómo crear una política IAM basada en la identidad mediante estos documentos de JSON política de ejemplo, consulte Crear IAM políticas (consola) en la Guía del IAMusuario.

Para obtener más información sobre las acciones y los tipos de recursos definidos por AmazonEFS, incluido el ARNs formato de cada uno de los tipos de recursos, consulte Acciones, recursos y claves de condición de Amazon Elastic File System en la Referencia de autorización de servicios.

Prácticas recomendadas sobre las políticas

Las políticas basadas en la identidad determinan si alguien puede crear, acceder o eliminar EFS los recursos de Amazon de tu cuenta. Estas acciones pueden generar costes adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadasIAM, consulte las prácticas recomendadas de seguridad IAM en la Guía del IAM usuario.

Uso de la EFS consola de Amazon

Para acceder a la consola de Amazon Elastic File System, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirte enumerar y ver detalles sobre los EFS recursos de Amazon que tienes Cuenta de AWS. Si crea una política basada en identidades que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles) que tengan esa política.

No es necesario que concedas permisos mínimos de consola a los usuarios que realicen llamadas únicamente al AWS CLI o al AWS API. En su lugar, permita el acceso únicamente a las acciones que coincidan con la API operación que están intentando realizar.

Para garantizar que los usuarios y los roles puedan seguir utilizando la EFS consola de Amazon, adjunta también la política EFS AmazonElasticFileSystemReadOnlyAccess AWS gestionada de Amazon a las entidades. Para obtener más información, consulta Cómo añadir permisos a un usuario en la Guía del IAM usuario.

Puedes ver esta AmazonElasticFileSystemReadOnlyAccess y otras políticas de servicios EFS gestionados de Amazon enAWS políticas gestionadas para Amazon EFS.

Ejemplo: Permitir que los usuarios vean sus propios permisos

En este ejemplo, se muestra cómo se puede crear una política que permita a IAM los usuarios ver las políticas integradas y gestionadas asociadas a su identidad de usuario. Esta política incluye permisos para completar esta acción en la consola o mediante programación mediante la tecla o. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Ejemplo: Aplicación de la creación de sistemas de archivos cifrados

En el siguiente ejemplo se muestra una política basada en identidades que autoriza a las entidades principales a crear solo sistemas de archivos cifrados.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:Encrypted": "true"
                }
            },
            "Resource": "*"
        }
    ]
}

Si esta política se asigna a un usuario que intenta crear un sistema de archivos sin cifrar, se produce un error en la solicitud. El usuario ve un mensaje similar al siguiente, independientemente de si utiliza el AWS Management Console AWS CLI, el o el AWS API o: SDK

User: arn:aws:iam::111122223333:user/username is not authorized to
      perform: elasticfilesystem:CreateFileSystem on the specified resource.

Ejemplo: Aplicación de la creación de sistemas de archivos sin cifrar

En el siguiente ejemplo se muestra una política basada en identidades que autoriza a las entidades principales a crear solo sistemas de archivos sin cifrar.

{
      "Statement": [
        {            
            "Effect": "Allow",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:Encrypted": "false"
                }
            },
            "Resource": "*"
        }
    ]
}

Si esta política se asigna a un usuario que intenta crear un sistema de archivos cifrado, se produce un error en la solicitud. El usuario ve un mensaje similar al siguiente, independientemente de si utiliza la AWS Management Console AWS CLI, la AWS API oSDK:

User: arn:aws:iam::111122223333:user/username is not authorized to 
      perform: elasticfilesystem:CreateFileSystem on the specified resource.

También puedes imponer la creación de sistemas de EFS archivos de Amazon cifrados o no cifrados mediante la creación de una política de control de AWS Organizations servicios (SCP). Para obtener más información sobre las políticas de control de servicios AWS Organizations, consulte las políticas de control de servicios en la Guía del AWS Organizations usuario.