Resource-based políticas

Resource-based las políticas son políticas de permisos que se crean y se adjuntan manualmente a un recurso (en este caso, una CA privada) en lugar de a una identidad o rol de usuario. O bien, en lugar de crear sus propias políticas, puede usar políticas AWS administradas para ellas AWS Private CA. AWS RAM Para aplicar una política basada en los recursos, un Autoridad de certificación privada de AWS administrador puede compartir el acceso a una CA con un usuario de una AWS cuenta diferente, directamente o a través de ella. AWS Organizations Como alternativa, un Autoridad de certificación privada de AWS administrador puede usar las API de PCA y PutPolicy GetPolicy, o los AWS CLI comandos correspondientes put-policy DeletePolicy, get-policy y https://docs.aws.amazon.com/cli/latest/reference/acm-pca/delete-policy.html delete-policy, para aplicar y administrar políticas basadas en recursos.

Para obtener información general sobre las políticas basadas en recursos, consulte Políticas y políticas y Cómo controlar el acceso mediante políticas. Identity-Based Resource-Based https://docs.aws.amazon.com/IAM/latest/UserGuide/access_controlling.html

Para ver la lista de políticas AWS administradas basadas en recursos AWS Private CA, navegue hasta la biblioteca de permisos administrados de la AWS Resource Access Manager consola y busque. CertificateAuthority Como ocurre con cualquier política, antes de aplicarla, le recomendamos que la aplique en un entorno de prueba para asegurarse de que cumple sus requisitos.

Autoridad de certificación privada de AWS también admite los permisos administrados por el cliente de RAM, que permiten definir una combinación personalizada de acciones del siguiente conjunto: DescribeCertificateAuthorityGetCertificate,GetCertificateAuthorityCertificate,ListPermissions,ListTags,IssueCertificate, yRevokeCertificate. Los permisos gestionados por el cliente te brindan la flexibilidad de conceder el acceso con los privilegios mínimos, por ejemplo, conceder acceso de solo lectura a algunas cuentas y permitir que otras emitan y revoquen certificados. Para obtener más información, consulte Permisos gestionados por el cliente en la RAM.

AWS Certificate Manager Los usuarios (ACM) con acceso compartido entre cuentas a una CA privada pueden emitir certificados gestionados firmados por la CA. Al conceder el permiso para la IssueCertificate acción, puede restringir las plantillas de certificados utilizadas para la emisión de certificados añadiendo una acm-pca:TemplateArn condición a la política.

Ejemplos de políticas

En esta sección se proporcionan ejemplos de políticas multicuentas para diversas necesidades. En todos los casos, se utiliza el siguiente patrón de comandos para aplicar una política:

$ aws acm-pca put-policy \
   --region region \
   --resource-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --policy file:///[path]/policyN.json

Además de especificar el ARN de una CA, el administrador proporciona un ID de AWS cuenta o un AWS Organizations ID al que se concederá acceso a la CA. El JSON de cada una de las siguientes políticas tiene el formato de un archivo para facilitar la lectura, pero también se puede proporcionar como argumentos de la CLI en línea.