Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Administración de identidades y accesos para AWS Global Accelerator

AWS Identity and Access Management (IAM) es un servicio de AWS que ayuda al administrador a controlar de forma segura el acceso a los recursos de AWS, incluidos los recursos de AWS Global Accelerator. Los administradores usan IAM para controlar quién esautenticado(iniciado sesión) yAutorizado(tiene permisos) para utilizar recursos de Global Accelerator. La IAM es una característica incluida en la cuenta de AWS sin cargo adicional.

Temas

Conceptos y términos

AutenticaciónPara iniciar sesión en AWS, debe utilizar una de las siguientes opciones: credenciales de usuario raíz (no se recomienda), credenciales de usuario de IAM o credenciales temporales mediante roles de IAM. Para obtener más información acerca de estas entidades, consulte ¿Qué es la autenticación?.

Control de acceso: los administradores de AWS utilizan políticas para controlar el acceso a los recursos de AWS, tales como aceleradores de Acelerador global. Para obtener más información, consulte ¿Qué es el control de acceso? y ¿Qué son las políticas?.

Para ayudarle a comprender los conceptos básicos del funcionamiento de IAM, revise los siguientes términos:

Para ver un diagrama del proceso de autenticación y control de acceso, consulteEntender cómo funciona IAMen laGuía del usuario de IAM. Para obtener información detallada acerca de cómo AWS determina si una solicitud está permitida, consulteLógica de evaluación de políticasen laGuía del usuario de IAM.

Permisos necesarios para el acceso a la consola, la administración de autenticación y el control de acceso

Para utilizar Global Accelerator o para administrar la autorización y el control de acceso para sí mismo o para otros, debe contar con los permisos adecuados.

Permisos necesarios para crear un acelerador Global Accelerator

Para crear un AWS Global Accelerator, los usuarios deben tener permiso para crear roles vinculados a servicios asociados a Global Accelerator.

Para asegurarse de que los usuarios tienen los permisos correctos para crear aceleradores en Global Accelerator, adjunte una directiva al usuario como la siguiente.

{
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "globalaccelerator.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
      ],
      "Resource": "arn:aws:iam::*:role/aws-service-role/globalaccelerator.amazonaws.com/AWSServiceRoleForGlobalAccelerator*"
    }

Permisos necesarios para usar la consola Global Accelerator

Para obtener acceso a la consola de AWS Global Accelerator, debe tener un conjunto mínimo de permisos que le permita mostrar y ver detalles sobre los recursos de Global Accelerator de su cuenta de AWS. Si crea una política de permisos basados en identidad que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades que tengan esa política.

Para asegurarse de que esas entidades puedan seguir usando la consola de Global Accelerator o las acciones de la API, asocie también una de las políticas administradas de AWS siguientes al usuario, tal y como se describe enCreación de políticas en la pestaña JSON:

        GlobalAcceleratorReadOnlyAccess
        GlobalAcceleratorFullAccess

Adjuntar la primera política,GlobalAcceleratorReadOnlyAccess, si los usuarios solo necesitan ver información en la consola o realizar llamadas a la CLI de AWS o a la API que utilizanList*orDescribe*Operaciones.

Adjuntar la segunda política,GlobalAcceleratorFullAccess, a los usuarios que necesitan crear o actualizar los aceleradores. La política de acceso completa incluyeFULLpermisos para Global Accelerator, así comodescribepermisos para Amazon EC2 y Elastic Load Balancing.

La siguiente es la política de acceso completo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "globalaccelerator:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstances",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeSubnets",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteSecurityGroup",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AWSServiceName": "GlobalAccelerator"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSecurityGroup",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:DescribeLoadBalancers",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:security-group/*",
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}

Permisos necesarios para la administración de autenticación

Para administrar sus propias credenciales, tales como su contraseña, claves de acceso y dispositivos Multi-Factor Authentication (MFA), el administrador debe concederle los permisos necesarios. Para ver la política que incluye estos permisos, consulte Permitir a los usuarios de administrar ellos mismos sus credenciales.

Como administrador de AWS, necesita acceso completo a IAM para poder crear y administrar usuarios, grupos, roles y políticas de IAM. Debe utilizar la opciónAdministratorAccessPolítica Administrada por AWS que incluye acceso completo a la totalidad de AWS. Esta política no proporciona acceso a la consola de Billing and Cost Management de AWS ni permite tareas que requieren credenciales de usuario raíz de la cuenta de AWS. Para obtener más información, consulteTareas de AWS que requieren credenciales de usuario raíz de la cuenta de AWSen laReferencia general de AWS.

Permisos necesarios para el control de acceso

Si el administrador le ha proporcionado credenciales de usuario de IAM, habrán asociado políticas a ese usuario de IAM para controlar a qué recursos puede tener acceso. Para ver las políticas asociadas a su identidad de usuario en AWS Management Console, debe tener los permisos siguientes:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": [
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Sid": "ListUsersViewGroupsAndPolicies",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Si necesita permisos adicionales, pida a su administrador que actualice las políticas de tal forma que pueda tener acceso a las acciones que necesita.

Comprender cómo funciona Global Accelerator con IAM

Los servicios pueden funcionar con IAM de varias maneras:

Solución de problemas de autenticación y control de acceso

Utilice la información siguiente para diagnosticar y solucionar los problemas comunes que puedan surgir cuando trabaje con IAM.

No tengo autorización para realizar una acción en Global Accelerator

Si la consola de administración de AWS le indica que no está autorizado para llevar a cabo una acción, debe ponerse en contacto con el administrador que le haya proporcionado su nombre de usuario y contraseña.

El ejemplo siguiente se produce cuando un usuario de IAM denominadomy-user-nameintenta usar la consola de para realizar laglobalaccelerator:CreateAcceleratorpero no tiene permisos:

User: arn:aws:iam::123456789012:user/my-user-name is not authorized to perform: aws-globalaccelerator:CreateAccelerator on resource: my-example-accelerator

En este caso, pida al administrador que actualice sus políticas de forma que pueda obtener acceso a lamy-example-acceleratorUso de la herramientaaws-globalaccelerator:CreateAcceleratoraction.

Soy administrador y deseo permitir que otros obtengan acceso a Global Accelerator

Para permitir que otros obtengan acceso a Global Accelerator, debe crear una entidad de IAM (usuario o rol) para la persona o aplicación que necesita acceso. Esta persona utilizará las credenciales de la entidad para obtener acceso a AWS. A continuación, debe asociar una política a la entidad que les conceda los permisos correctos en Global Accelerator.

Para comenzar trabajar enseguida, consulte Introducción a IAM.

Quiero entender IAM sin convertirme en un experto

Para obtener más información sobre los términos, conceptos y procedimientos de IAM, consulte los siguientes temas:

Políticas basadas en etiquetas

Al diseñar políticas de IAM, es posible establecer permisos pormenorizados mediante la concesión de acceso a recursos específicos. A medida que crezca la cantidad de recursos que administra, esta tarea será más complicada. El etiquetado de aceleradores y uso de etiquetas en las condiciones de declaración de política pueden facilitar esta tarea. Puede conceder acceso de forma masiva a cualquier acelerador con una determinada etiqueta. A continuación, aplique repetidamente esta etiqueta a los aceleradores pertinentes, al crear el acelerador o al actualizar el acelerador más tarde.

Las etiquetas se pueden asociar a un recurso o pasarse dentro de la solicitud a los servicios que admiten etiquetado. En Global Accelerator, sólo los aceleradores pueden incluir etiquetas. Al crear una política de IAM, puede utilizar las claves de condición de etiqueta para controlar:

Para obtener la sintaxis y semántica completas de claves de condición de etiquetas, consulteControlar el acceso mediante etiquetas de IAMen laGuía del usuario de IAM.

Por ejemplo, el Acelerador GlobalGlobalAcceleratorFullAccessLa política de usuario administrada proporciona a los usuarios permisos ilimitados para realizar cualquier acción de Acelerador global en cualquier recurso. La siguiente política deniega permiso a usuarios no autorizados para realizar cualquier acción de Global Accelerator en cualquierProducciónAceleradores de El administrador de un cliente debe asociar esta política de IAM a los usuarios de IAM no autorizados, además de la política de usuario administrada.

{ 
   "Version":"2012-10-17",
   "Statement":[ 
      { 
         "Effect":"Deny",
         "Action":"*",
         "Resource":"*",
         "Condition":{ 
            "ForAnyValue:StringEquals":{ 
               "aws:RequestTag/stage":"prod"
            }
         }
      },
      { 
         "Effect":"Deny",
         "Action":"*",
         "Resource":"*",
         "Condition":{ 
            "ForAnyValue:StringEquals":{ 
               "aws:ResourceTag/stage":"prod"
            }
         }
      }
   ]
}