Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Asociar una política para el acceso entre cuentas
Cuando el administrador de la CA y el emisor del certificado residen en cuentas de AWS diferentes, el administrador de la CA debe compartir el acceso a la CA. Esto se logra al asociar una política basada en recursos a la CA. La política otorga permisos de emisión a una entidad principal específica, que puede ser el propietario de una AWS cuenta, un usuario de IAM, un identificador o un AWS Organizations identificador de una unidad organizativa.
Un administrador de CA puede asociar y administrar políticas de las siguientes maneras:
-
En la consola de administración, se usa AWS Resource Access Manager (RAM), que es un método estándar para compartir AWS recursos entre cuentas. Cuando compartes un recurso de la CA AWS RAM con un principal de otra cuenta, la política basada en los recursos requerida se adjunta automáticamente a la CA. Para obtener más información sobre la RAM, consulte la Guía del usuario de AWS RAM.
nota
Para abrir fácilmente la consola de RAM, seleccione una CA y, a continuación, seleccione Acciones y Administrar recursos compartidos.
-
Mediante programación, mediante las API de la PCA, y. PutPolicy GetPolicy DeletePolicy
-
Use los comandos de la PCA put-policy, get-policy y delete-policy del AWS CLI de forma manual.
Solo el método de consola requiere acceso a la RAM.
Cross-account caso 1: Emitir un certificado gestionado desde la consola
En este caso, el administrador de la CA usa AWS Resource Access Manager (AWS RAM) para compartir el acceso a la CA con otra AWS cuenta, lo que permite a esa cuenta emitir certificados de ACM administrados. El diagrama muestra que AWS RAM puede compartir la CA directamente con la cuenta o indirectamente a través de un AWS Organizations ID del que la cuenta sea miembro.
Una vez que la RAM comparte un recurso AWS Organizations, el destinatario principal debe aceptar el recurso para que surta efecto. El destinatario puede configurarse AWS Organizations para aceptar automáticamente las acciones ofrecidas.
nota
La cuenta del destinatario es responsable de configurar la renovación automática en ACM. Por lo general, la primera vez que se utiliza una CA compartida, ACM instala una función vinculada a un servicio que le permite realizar llamadas de certificado desatendidas en Autoridad de certificación privada de AWS. Si esto no funciona (normalmente debido a la falta de un permiso), los certificados de la CA no se renuevan automáticamente. Solo el usuario de ACM puede resolver el problema, no el administrador de la CA. Para obtener más información, consulte Utilización de un rol asociado a servicios (SLR) con ACM.
Cross-account caso 2: Emitir certificados gestionados y no gestionados mediante la API o la CLI
En este segundo caso, se muestran las opciones de intercambio y emisión que son posibles con la Autoridad de certificación privada de AWS API AWS Gestor de certificados and. Todas estas operaciones también se pueden llevar a cabo mediante los AWS CLI comandos correspondientes.
Como las operaciones de la API se utilizan directamente en este ejemplo, el emisor del certificado puede elegir entre dos operaciones de API para emitir un certificado. La acción de la API de la PCA IssueCertificate da como resultado un certificado no administrado que no se renovará automáticamente y que deberá exportarse e instalarse manualmente. La acción de la API de ACM RequestCertificate da como resultado un certificado administrado que se puede instalar fácilmente en los servicios integrados de ACM y se renueva automáticamente.
nota
La cuenta del destinatario es responsable de configurar la renovación automática en ACM. Por lo general, la primera vez que se utiliza una CA compartida, ACM instala una función vinculada a un servicio que le permite realizar llamadas de certificado desatendidas en Autoridad de certificación privada de AWS. Si esto no funciona (normalmente debido a la falta de un permiso), los certificados de la CA no se renovarán automáticamente y solo el usuario de ACM podrá resolver el problema, no el administrador de la CA. Para obtener más información, consulte Utilización de un rol asociado a servicios (SLR) con ACM.
