Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Términos y conceptos de AWS RAM

Los siguientes conceptos ayudan a entender cómo se puede usar AWS Resource Access Manager (AWS RAM) para compartir recursos.

Uso compartido de recursos

AWS RAM le permite compartir recursos creando un recurso compartido. Un recurso compartido consta de los tres elementos siguientes:

Una vez que ha usado AWS RAM para crear un recurso compartido, se puede conceder a las entidades principales especificadas en el recurso compartido acceso a los recursos que este contiene.

Cuentas que comparte

La cuenta que comparte contiene el recurso que se comparte y en el que el administrador de AWS RAM crea el recurso compartido de AWS mediante AWS RAM.

Un administrador de AWS RAM es una entidad principal de IAM que dispone de permisos para crear y configurar recursos compartidos en la Cuenta de AWS. Puesto que AWS RAM funciona adjuntando una política basada en recursos a los recursos de un recurso compartido, el administrador de AWS RAM también debe tener permisos para llamar a la operación PutResourcePolicy del Servicio de AWS para cada tipo de recurso incluido en un recurso compartido.

Entidades principales consumidoras

La cuenta consumidora es la Cuenta de AWS con la que se comparte un recurso. El recurso compartido puede especificar una cuenta completa como entidad principal o, en el caso de ciertos tipos de recursos, roles o usuarios individuales de la cuenta. Para obtener información sobre los tipos de recursos que admiten este tipo de uso compartido, consulte Recursos que se pueden compartir AWS y fíjese en la columna Puede compartir con roles y usuarios de IAM.

AWS RAM también admite las entidades principales de servicio como entidades consumidoras de recursos compartidos. Para obtener información sobre los tipos de recursos que admiten este tipo de uso compartido, consulte Recursos que se pueden compartir AWS y fíjese en la columna Puede compartir con entidades principales de servicio.

Las entidades principales de la cuenta consumidora pueden realizar solo las acciones permitidas por los dos permisos siguientes:

AWS RAM admite los siguientes tipos de entidades principales de IAM como entidades consumidoras de recursos compartidos:

Política basada en recursos

Las políticas basadas en recursos son documentos de texto JSON que implementan el lenguaje de políticas de IAM. A diferencia de las políticas basadas en identidad que se adjuntan a la entidad principal, como un rol o usuario de IAM, las políticas basadas en recursos se adjunta al recurso. AWS RAM crea políticas basadas en recursos en su nombre en función de la información que proporcione para el recurso compartido. Debe especificar un elemento de política de Principal que determine quién puede acceder al recurso. Para obtener más información, consulte Políticas basadas en identidad y políticas basadas en recursos en la Guía del usuario de IAM.

Las políticas basadas en recursos generadas por AWS RAM se evalúan junto con todos los demás tipos de políticas de IAM. Esto incluye cualquier política basada en la identidad de IAM que se adjunte a las entidades principales que intenten acceder al recurso, así como las políticas de control de servicios (SCP) de AWS Organizationsque puedan aplicarse a la Cuenta de AWS. Las políticas basadas en recursos generadas por AWS RAM participan en la misma lógica de evaluación de políticas que el resto de políticas de IAM. Para obtener detalles completos sobre la evaluación de políticas y sobre cómo determinar los permisos resultantes, consulte Lógica de evaluación de políticas en la Guía del usuario de IAM.

AWS RAM proporciona una experiencia de uso compartido de recursos sencilla y segura al proporcionar políticas de abstracción basadas en recursos fáciles de usar.

En el caso de los tipos de recursos que admiten políticas basadas en recursos, AWS RAM crea y administra automáticamente las políticas basadas en recursos en su nombre. Para un recurso determinado, AWS RAM crea la política basada en recursos combinando la información de todos los recursos compartidos que incluyen dicho recurso. Por ejemplo, piense en una canalización de Amazon Sagemaker que comparte utilizando AWS RAM y que incluye en dos recursos compartidos diferentes. Podría utilizar un recurso compartido para proporcionar acceso de solo lectura a toda la organización. A continuación, podría utilizar el otro recurso compartido para conceder únicamente permisos de ejecución de SageMaker a una sola cuenta. AWS RAM combina automáticamente esos dos conjuntos diferentes de permisos en una única política de recursos con varias instrucciones. A continuación, adjunta la política combinada basada en recursos al recurso de la canalización. Puede ver esta política de recursos subyacente llamando a la operación GetResourcePolicy. Los Servicios de AWS utilizan entonces esa política basada en recursos para autorizar a cualquier entidad principal que intente realizar una acción en el recurso compartido.

Si bien puede crear políticas basadas en recursos manualmente y adjuntarlas a sus recursos llamando a PutResourcePolicy, le recomendamos que utilice AWS RAM, ya que ofrece las siguientes ventajas:

Al usar AWS RAM, puede incluso compartir algunos tipos de recursos que aún no son compatibles con las políticas basadas en recursos. Para estos tipos de recursos, AWS RAM genera automáticamente una política basada en recursos como representación de los permisos reales. Los usuarios pueden ver esta representación llamando a GetResourcePolicy. Esto incluye los siguientes tipos de recursos:

Ejemplos de políticas basadas en recursos generadas por AWS RAM

Si comparte un recurso de imagen de EC2 Image Builder con una cuenta individual, AWS RAM genera una política similar a la del ejemplo siguiente y la adjunta a todos los recursos de imagen que estén incluidos en el recurso compartido.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Si comparte un recurso de imagen de EC2 Image Builder con un rol o usuario de IAM de una Cuenta de AWS diferente, AWS RAM genera una política similar a la del ejemplo siguiente y la adjunta a todos los recursos de imagen que estén incluidos en el recurso compartido.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Si comparte un recurso de imagen de EC2 Image Builder con todas las cuentas de una organización o con las cuentas de una unidad organizativa, AWS RAM genera una política similar a la del ejemplo siguiente y la adjunta a todos los recursos de imagen que estén incluidos en el recurso compartido.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implicaciones del uso de "Principal": "*" en una política basada en recursos

Cuando se incluye "Principal": "*" en una política basada en recursos, la política concede acceso a todas las entidades principales de IAM de la cuenta que contiene el recurso, con sujeción a las restricciones que imponga un elemento Condition, si existe. Las instrucciones Deny explícitas de cualquier política que se aplique a la entidad principal de llamada anulan los permisos otorgados por esta política. Sin embargo, una instrucción Deny implícita (es decir, en ausencia de una instrucción Allow explícita) en cualquier política de identidad, política de límite de permisos o política de sesión aplicable no da como resultado una instrucción Deny a las entidades principales a las que dicha política basada en recursos concede acceso a una determinada acción.

Si este comportamiento no es deseable en su caso, puede limitarlo añadiendo una instrucción Deny explícita a una política de identidad, límite de permisos o política de sesión que afecte a los roles y usuarios pertinentes.

Permisos administrados

Los permisos administrados definen qué acciones pueden realizar las entidades principales, y en qué condiciones, para los tipos de recursos admitidos en un recurso compartido. Al crear un recurso compartido, debe especificar qué permiso administrado desea usar para cada tipo de recurso que esté incluido en el recurso compartido. Un permiso administrado enumera el conjunto de actions y las condiciones que las entidades principales pueden llevar a cabo en el recurso compartido utilizando AWS RAM.

Puede adjuntar un solo permiso administrado por cada tipo de recurso de un recurso compartido. No puede crear un recurso compartido en el que algunos recursos de un determinado tipo usen un permiso administrado y otros recursos del mismo tipo usen un permiso administrado diferente. Para ello, tendría que crear dos recursos compartidos diferentes y dividir los recursos entre ellos, atribuyendo a cada conjunto un permiso administrado diferente. Existen dos tipos diferentes de permisos administrados:

AWS RAM utiliza los permisos administrados como entrada para crear las políticas basadas en recursos para los recursos que comparte.

Versión del permiso administrado

Cualquier cambio en un permiso administrado se representa como una nueva versión de ese permiso administrado. La nueva versión es la predeterminada para todos los recursos compartidos nuevos. Cada permiso administrado siempre tiene una versión designada como versión predeterminada. Cuando usted o AWS crean una nueva versión de un permiso administrado, debe actualizar de forma explícita el permiso administrado para cada recurso compartido existente. Puede evaluar los cambios antes de aplicarlos al recurso compartido en este paso. Todos los recursos compartidos nuevos utilizarán automáticamente la nueva versión del permiso administrado para el tipo de recurso correspondiente.

Al crear o actualizar un recurso compartido, solo puede adjuntar la versión predeterminada del permiso administrado especificado. Para obtener más información, consulte Actualizar los permisos administrados de AWS a una versión más reciente.