Resource-based políticas

Resource-based las políticas son políticas de permisos que se crean y se adjuntan manualmente a un recurso (en este caso, una CA privada) en lugar de a una identidad o rol de usuario. O bien, en lugar de crear sus propias políticas, puede utilizar políticas AWS administradas AWS Private CA. Al AWS RAM aplicar una política basada en recursos, un Autoridad de certificación privada de AWS administrador puede compartir el acceso a una CA con un usuario de una AWS cuenta diferente directamente o a través de ella. AWS Organizations Como alternativa, un Autoridad de certificación privada de AWS administrador puede usar las API PutPolicyde la PCA o los AWS CLI comandos correspondientes put-policy DeletePolicy, get-policy y delete-policy para aplicar y administrar políticas basadas en recursos. GetPolicy

Para obtener información general sobre las políticas basadas en recursos, consulte Políticas y políticas y Control del acceso mediante políticas. Identity-Based Resource-Based

Para ver la lista de políticas AWS gestionadas basadas en recursos AWS Private CA, vaya a la biblioteca de permisos gestionados de la AWS Resource Access Manager consola y busque. CertificateAuthority Como ocurre con cualquier política, antes de aplicarla, le recomendamos que la aplique en un entorno de prueba para asegurarse de que cumple sus requisitos.

Autoridad de certificación privada de AWS también admite los permisos de RAM gestionados por el cliente, que permiten definir una combinación personalizada de acciones del siguiente conjunto: DescribeCertificateAuthority GetCertificateGetCertificateAuthorityCertificate,ListPermissions,ListTags,IssueCertificate, yRevokeCertificate. Los permisos gestionados por el cliente le ofrecen la flexibilidad de conceder el acceso con los privilegios mínimos, por ejemplo, conceden acceso de solo lectura a algunas cuentas y permiten a otras emitir y revocar certificados. Para obtener más información, consulte Permisos gestionados por el cliente en la RAM.

AWS Certificate Manager (ACM) con acceso compartido entre cuentas a una entidad emisora de certificados privada pueden emitir certificados gestionados firmados por la entidad emisora de certificados. Al conceder el permiso a la IssueCertificate acción, puede restringir las plantillas de certificados utilizadas para la emisión de certificados añadiendo una acm-pca:TemplateArn condición a la política.

Ejemplos de políticas

En esta sección se proporcionan ejemplos de políticas multicuentas para diversas necesidades. En todos los casos, se utiliza el siguiente patrón de comandos para aplicar una política:

$ aws acm-pca put-policy \
   --region region \
   --resource-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --policy file:///[path]/policyN.json

Además de especificar el ARN de una CA, el administrador proporciona un identificador de AWS cuenta o un AWS Organizations identificador al que se concederá acceso a la entidad emisora de certificados. El JSON de cada una de las siguientes políticas tiene el formato de un archivo para facilitar la lectura, pero también se puede proporcionar como argumentos CLI en línea.