AWS Health ejemplos de políticas basadas en identidad de

De forma predeterminada, los usuarios y los roles de IAM no tienen permiso para crear, ver ni modificar recursos de AWS Health. Tampoco pueden realizar tareas mediante la AWS Management Console, la AWS CLI, o la API de AWS. Un administrador de IAM debe crear políticas de IAM que concedan permisos a los usuarios y a los roles para realizar operaciones de la API concretas en los recursos especificados que necesiten. El administrador debe adjuntar esas políticas a los usuarios o grupos de IAM que necesiten esos permisos.

Para obtener información acerca de cómo crear una política basada en identidad de IAM con estos documentos de políticas JSON de ejemplo, consulte Creación de políticas en la pestaña JSON en la Guía del usuario de IAM.

Prácticas recomendadas relativas a políticas

Las políticas basadas en identidades determinan si alguien puede crear, acceder o eliminar los recursos de AWS Health de la cuenta. Estas acciones pueden generar costes adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadas de IAM, consulte las Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

Mediante la consola de AWS Health

Para acceder a la consola de AWS Health, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle registrar y consultar los detalles sobre los recursos de AWS Health en su cuenta de AWS. Si crea una política basada en identidad que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles de IAM) que tengan esa política.

Para asegurarse de que esas entidades puedan seguir usando la consola de AWS Health, asocie la política administrada de AWS siguiente, AWSHealthFullAccess.

La política de AWSHealthFullAccess concede a una entidad acceso completo a lo siguiente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"         
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",    
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "health.amazonaws.com"
                }
            }
        }
    ]
}

No es necesario que conceda permisos mínimos para la consola a los usuarios que solo realizan llamadas a la AWS CLI o a la API de AWS. En su lugar, permite acceso únicamente a las acciones que coincidan con la operación de API que intenta realizar.

Para obtener más información, consulte Adición de permisos a un usuario en la Guía del usuario de IAM.

Cómo permitir a los usuarios consultar sus propios permisos

En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas administradas e insertadas que se asocian a la identidad de sus usuarios. Esta política incluye permisos para llevar a cabo esta acción en la consola o mediante programación con la AWS CLI o la API de AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Acceso a AWS Health Dashboard y a la API de AWS Health

AWS Health Dashboard está disponible para todas las cuentas de AWS. La API de AWS Health solo está disponible para las cuentas que tienen un plan de soporte Business, Enterprise On-Ramp o Enterprise. Para obtener más información, consulte AWS Support.

Puede utilizar IAM para crear entidades (usuarios, grupos o roles) y, después, asignarles permisos para obtener acceso al AWS Health Dashboard y a la API de AWS Health.

De forma predeterminada, los usuarios de IAM no tienen acceso al AWS Health Dashboard ni a la API de AWS Health. Si desea conceder a los usuarios acceso a la información de su cuenta de AWS Health, puede asociar políticas de IAM a un único usuario, a un grupo de usuarios o a un rol. Para obtener más información, consulte Identidades (usuarios, grupos y roles) e Información general sobre las políticas de IAM.

Después de crear los usuarios de IAM, puede asignarles contraseñas. De ese modo, podrán iniciar sesión en la cuenta y ver la información de AWS Health a través de una página de inicio de sesión específica de la cuenta. Para obtener más información, consulte Cómo inician sesión los usuarios en la cuenta.

Puede utilizar dos grupos de API para AWS Health.

Para obtener más información sobre las operaciones de la API disponibles, consulte la Referencia de la API de AWS Health.

Acciones individuales

Puede establecer el elemento Action de una política de IAM en health:Describe*. Esto permite el acceso al AWS Health Dashboard y AWS Health. AWS Health admite el control de acceso a eventos basado en eventTypeCode y el servicio.

Describir el acceso

Esta instrucción de política concede acceso a AWS Health Dashboard y a cualquiera de las operaciones Describe* de la API de AWS Health. Por ejemplo, un usuario de IAM con esta política puede obtener acceso al AWS Health Dashboard en la AWS Management Console y llamar a la operación DescribeEvents de la API de AWS Health.

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  }]
}

Denegar el acceso

Esta instrucción de política deniega el acceso a AWS Health Dashboard y a la API de AWS Health. Un usuario de IAM con esta política no puede ver la instancia de AWS Health Dashboard en la AWS Management Console y no puede llamar a ninguna de las operaciones de API de AWS Health.

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Deny",
    "Action": [
      "health:*"
    ],
    "Resource": "*"
  }]
}

Vista organizativa

Si desea habilitar la vista organizativa para AWS Health, debe permitir el acceso a las acciones de AWS Health y AWS Organizations.

El elemento Action de una política de IAM debe incluir los siguientes permisos:

Para comprender qué permisos exactos son necesarios para cada API, consulte Acciones definidas por las API y las notificaciones de AWS Health en la Guía de usuario de IAM.

Cómo permitir el acceso a la vista organizativa de AWS Health

Esta declaración de política otorga acceso a todas las acciones de AWS Health y AWS Organizations que necesite para la característica de vista organizativa.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",  
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}

Cómo restringir el acceso a la vista organizativa de AWS Health

Esta instrucción de política restringe el acceso a las acciones de AWS Organizations, pero permite el acceso a las acciones de AWS Health de una cuenta individual.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "health:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}

Condiciones basadas en recursos y en acciones

AWS Health admite las condiciones de IAM para las operaciones de API DescribeAffectedEntities y DescribeEventDetails. Puede usar condiciones basadas en recursos y acciones para restringir los eventos que la API de AWS Health envía a un usuario, grupo o rol.

Para ello, actualice el bloque Condition de la política de IAM o establezca el elemento Resource. Puede utilizar condiciones de cadena para restringir el acceso en función de determinados campos de eventos de AWS Health.

Puede usar los siguientes campos al especificar un evento de AWS Health en su política:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "health:service": "EC2"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  },
  {
    "Effect": "Deny",
    "Action": [
      "health:DescribeEventDetails",
      "health:DescribeAffectedEntities"
    ],
    "Resource": "arn:aws:health:*::event/EC2/*/*"
  }]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "health:eventTypeCode": "AWS_EC2_*"
                }
            }
        }
    ]
}