Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejemplos de políticas basadas en identidades de AWS Organizations

De forma predeterminada, los usuarios y roles no tienen permiso para crear, ver ni modificar recursos de Organizations. Tampoco pueden realizar tareas mediante la AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS la API. Un administrador de IAM puedes crear políticas de IAM para conceder permisos a los usuarios para realizar acciones en los recursos que necesitan. A continuación, el administrador puedes añadir las políticas de IAM a roles y los usuarios puedes asumirlos.

Para obtener información acerca de cómo crear una política basada en identidades de IAM mediante el uso de estos documentos de políticas JSON de ejemplo, consulte Creación de políticas de IAM (consola) en la Guía del usuario de IAM.

Para obtener más información sobre las acciones y los tipos de recursos definidos por Organizations, incluido el ARNs formato de cada uno de los tipos de recursos, consulte las claves de condición, recursos y acciones de AWS Organizations la Referencia de autorización de servicio.

Prácticas recomendadas sobre las políticas

Las políticas basadas en identidades determinan si alguien puede crear, acceder o eliminar los recursos de Organizations de la cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadas de IAM, consulte Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

Uso de la consola de Organizations

Para acceder a la AWS Organizations consola, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle enumerar y ver detalles sobre los recursos de Organizations en su Cuenta de AWS. Si crea una política basada en identidades que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles) que tengan esa política.

No es necesario que concedas permisos mínimos de consola a los usuarios que solo realicen llamadas a la API AWS CLI o a la AWS API. En su lugar, permite el acceso únicamente a las acciones que coincidan con la operación de API que intentan realizar.

Para garantizar que los usuarios y los roles puedan seguir utilizando la consola de Organizations, adjunte también la política de AWSOrganizationsFullAccessOrganizations o AWSOrganizationsReadOnlyAccess AWS gestionada a las entidades. Para obtener más información, consulte Adición de permisos a un usuario en la Guía del usuario de IAM:

Cómo permitir a los usuarios consultar sus propios permisos

En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas gestionadas e insertadas que se asocian a la identidad de sus usuarios. Esta política incluye permisos para completar esta acción en la consola o mediante programación mediante la API AWS CLI o AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Conceder permisos completos de administrador a un usuario

Puede crear una política de IAM que conceda todos los permisos de AWS Organizations administrador a un usuario de IAM de su organización. Para ello, puede usar el editor de políticas JSON en la consola de IAM.

Para obtener más información sobre la creación de una política de IAM, consulte Creación de políticas de IAM en la Guía del usuario de IAM.

Conceder acceso limitado por acciones

Si desea conceder permisos limitados en lugar de todos los permisos, puede crear una política que muestre los permisos individuales que desea permitir en el elemento Action de la política de permisos de IAM. Tal y como se muestra en el siguiente ejemplo, puede utilizar caracteres comodín (*) para conceder solo los permisos Describe* y List*, que básicamente proporcionan acceso de solo lectura a la organización.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "organizations:Describe*", 
            "organizations:List*" 
        ],
        "Resource": "*"
    }
}

Para obtener una lista de todos los permisos que se pueden asignar en una política de IAM, consulte Acciones definidas por AWS Organizations en la Referencia de autorización de servicios.

Concesión de acceso a recursos específicos

Además de restringir el acceso a acciones específicas, puede restringir el acceso a entidades específicas de la organización. Los elementos Resource de los ejemplos en las secciones anteriores especifican el carácter comodín ("*"), que significa "cualquier recurso al que la acción tenga acceso." En su lugar, puede sustituir el "*" por el Nombre de recurso de Amazon (ARN) de las entidades específicas a las que desea permitir el acceso.

Ejemplo: Conceder permisos a una sola unidad organizativa

La primera instrucción de la siguiente política concede acceso de lectura a un usuario de IAM en toda la organización, pero la segunda instrucción permite al usuario realizar acciones administrativas de AWS Organizations solo en una unidad organizativa especificada (OU). Esto no se extiende a ningún niño OUs. No se concede acceso a la facturación. Tenga en cuenta que esto no le da acceso administrativo a Cuentas de AWS la unidad organizativa. Solo concede permisos para realizar AWS Organizations operaciones en las cuentas de la OU especificada:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "organizations:Describe*", 
        "organizations:List*" 
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "organizations:*",
      "Resource": "arn:aws:organizations::<masterAccountId>:ou/o-<organizationId>/ou-<organizationalUnitId>"
    }
  ]
}

Puede obtener el IDs correspondiente a la OU y a la organización desde la AWS Organizations consola o llamando al List* APIs. El usuario o grupo al que aplica esta política puede realizar cualquier acción ("organizations:*") en cualquier entidad que esté directamente incluida en la unidad organizativa especificada. La unidad organizativa se identifica por el Nombre de recurso de Amazon (ARN).

Para obtener más información sobre los ARNs distintos recursos, consulte los tipos de recursos definidos AWS Organizations en la Referencia de autorización de servicios.

Concesión de la capacidad de habilitar el acceso de confianza a entidades principales de servicio limitadas

Puede utilizar el elemento Condition de una instrucción de política para limitar aún más las circunstancias donde se debe aplicar dicha declaración de política.

Ejemplo: Concesión de permisos para habilitar el acceso de confianza a un servicio especificado

La siguiente instrucción muestra cómo se puede restringir la capacidad de habilitar el acceso de confianza únicamente a los servicios especificados. Si el usuario intenta llamar a la API con una entidad de servicio diferente a la utilizada AWS IAM Identity Center, esta política no coincide y se deniega la solicitud:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "organizations:EnableAWSServiceAccess",
            "Resource": "*",
            "Condition": { 
                "StringEquals" : {
                    "organizations:ServicePrincipal" : "sso.amazonaws.com"
                }
            }
        }
    ]
}

Para obtener más información sobre los ARNs distintos recursos, consulta los tipos de recursos definidos AWS Organizations en la Referencia de autorización de servicios.