Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Términos y conceptos para AWS RAM

Los siguientes conceptos ayudan a explicar cómo puedes usar AWS Resource Access Manager (AWS RAM) para compartir tus recursos.

Uso compartido de recursos

Los recursos se comparten AWS RAM mediante la creación de un recurso compartido. Un recurso compartido consta de los tres elementos siguientes:

Después de AWS RAM crear un recurso compartido, las entidades principales especificadas en el recurso compartido pueden tener acceso a los recursos del recurso compartido.

Cuentas que comparte

La cuenta de uso compartido contiene el recurso que se comparte y en la que el AWS RAM administrador crea el AWS recurso compartido mediante AWS RAM.

Un AWS RAM administrador es un IAM director que tiene permisos para crear y configurar recursos compartidos en Cuenta de AWS. Como AWS RAM funciona adjuntando una política basada en recursos a los recursos de un recurso compartido, el AWS RAM administrador también debe tener permisos para llamar a la PutResourcePolicy operación Servicio de AWS para cada tipo de recurso incluido en un recurso compartido.

Entidades principales consumidoras

La cuenta consumidora es aquella Cuenta de AWS con la que se comparte un recurso. El recurso compartido puede especificar una cuenta completa como entidad principal o, en el caso de ciertos tipos de recursos, roles o usuarios individuales de la cuenta. Para obtener información sobre los tipos de recursos que admiten este tipo de uso compartido, consulta Recursos que se pueden compartir AWS y consulta la columna Se puede compartir con IAM roles y usuarios.

AWS RAM también admite a los directores de servicio como consumidores de recursos compartidos. Para obtener información sobre los tipos de recursos que admiten este tipo de uso compartido, consulte Recursos que se pueden compartir AWS y fíjese en la columna Puede compartir con entidades principales de servicio.

Las entidades principales de la cuenta consumidora pueden realizar solo las acciones permitidas por los dos permisos siguientes:

AWS RAM admite los siguientes tipos IAM principales como consumidores de recursos compartidos:

Política basada en recursos

Las políticas basadas en los recursos son documentos de JSON texto que implementan el lenguaje de las IAM políticas. A diferencia de las políticas basadas en la identidad que se asocian al director, como un IAM rol o un usuario, las políticas basadas en recursos se asocian al recurso. AWS RAM crea políticas basadas en recursos en su nombre en función de la información que proporciona para su recurso compartido. Debe especificar un elemento de política de Principal que determine quién puede acceder al recurso. Para obtener más información, consulte las políticas basadas en la identidad y las políticas basadas en los recursos en la Guía del usuario. IAM

Las políticas basadas en recursos generadas por se AWS RAM evalúan junto con todos los demás tipos de políticas. IAM Esto incluye cualquier política IAM basada en la identidad asociada a los principales que intentan acceder al recurso, así como las políticas de control de servicios (SCPs) AWS Organizations que puedan aplicarse al recurso. Cuenta de AWS Las políticas basadas en recursos generadas por ellas AWS RAM participan en la misma lógica de evaluación de políticas que todas las demás políticas. IAM Para obtener detalles completos sobre la evaluación de políticas y cómo determinar los permisos resultantes, consulte la lógica de evaluación de políticas en la Guía del IAMusuario.

AWS RAM proporciona una experiencia de intercambio de recursos sencilla y segura al proporcionar políticas easy-to-use abstractas basadas en los recursos.

Para los tipos de recursos que respaldan las políticas basadas en los recursos, crea y administra AWS RAM automáticamente las políticas basadas en los recursos por usted. Para un recurso determinado, AWS RAM crea la política basada en recursos combinando la información de todos los recursos compartidos que incluyen dicho recurso. Por ejemplo, piensa en una canalización de Amazon SageMaker AI que compartes utilizando AWS RAM e incluyendo en dos recursos compartidos diferentes. Podría utilizar un recurso compartido para proporcionar acceso de solo lectura a toda la organización. A continuación, podría utilizar el otro recurso compartido para conceder únicamente permisos de ejecución de SageMaker IA a una sola cuenta. AWS RAM combina automáticamente esos dos conjuntos diferentes de permisos en una única política de recursos con varias declaraciones. A continuación, adjunta la política combinada basada en recursos al recurso de la canalización. Para ver esta política de recursos subyacente, llame al GetResourcePolicyoperación. Servicios de AWS a continuación, utilice esa política basada en recursos para autorizar a cualquier director que intente realizar una acción en el recurso compartido.

Si bien puede crear políticas basadas en recursos manualmente y adjuntarlas a sus recursos llamando a PutResourcePolicy, le recomendamos que utilice AWS RAM , ya que ofrece las siguientes ventajas:

Al utilizarlos AWS RAM, puede incluso compartir algunos tipos de recursos que aún no son compatibles con las políticas basadas en recursos. Para estos tipos de recursos, genera AWS RAM automáticamente una política basada en los recursos como representación de los permisos reales. Los usuarios pueden ver esta representación llamando GetResourcePolicy. Esto incluye los siguientes tipos de recursos:

AWS RAM Ejemplos de políticas generadas basadas en recursos

Si comparte un recurso de EC2 imagen de Image Builder con una cuenta individual, AWS RAM genera una política similar al ejemplo siguiente y la adjunta a cualquier recurso de imagen que esté incluido en el recurso compartido.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Si comparte un recurso de EC2 imagen de Image Builder con un IAMrol o un usuario de otro Cuenta de AWS, AWS RAM genera una política similar al ejemplo siguiente y la adjunta a todos los recursos de imagen que estén incluidos en el recurso compartido.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Si comparte un recurso de EC2 imagen de Image Builder con todas las cuentas de una organización o con las cuentas de una unidad organizativa, AWS RAM genera una política similar al ejemplo siguiente y la adjunta a todos los recursos de imagen que estén incluidos en el recurso compartido.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implicaciones del uso "Principal": "*" en una política basada en los recursos

Cuando se incluye "Principal": "*" en una política basada en recursos, la política otorga acceso a todos los IAM principales de la cuenta que contiene el recurso, con sujeción a las restricciones que imponga un Condition elemento, si existe. Las instrucciones Deny explícitas de cualquier política que se aplique a la entidad principal de llamada anulan los permisos otorgados por esta política. Sin embargo, una instrucción Deny implícita (es decir, en ausencia de una instrucción Allow explícita) en cualquier política de identidad, política de límite de permisos o política de sesión aplicable no da como resultado una instrucción Deny a las entidades principales a las que dicha política basada en recursos concede acceso a una determinada acción.

Si este comportamiento no es deseable en su caso, puede limitarlo añadiendo una instrucción Deny explícita a una política de identidad, límite de permisos o política de sesión que afecte a los roles y usuarios pertinentes.

Permisos administrados

Los permisos administrados definen qué acciones pueden realizar las entidades principales, y en qué condiciones, para los tipos de recursos admitidos en un recurso compartido. Al crear un recurso compartido, debe especificar qué permiso administrado desea usar para cada tipo de recurso que esté incluido en el recurso compartido. Un permiso administrado enumera el conjunto actions y las condiciones que los principales pueden cumplir con el recurso compartido que utilizan. AWS RAM

Puede adjuntar un solo permiso administrado por cada tipo de recurso de un recurso compartido. No puede crear un recurso compartido en el que algunos recursos de un determinado tipo usen un permiso administrado y otros recursos del mismo tipo usen un permiso administrado diferente. Para ello, tendría que crear dos recursos compartidos diferentes y dividir los recursos entre ellos, atribuyendo a cada conjunto un permiso administrado diferente. Existen dos tipos diferentes de permisos administrados:

AWS RAM utiliza los permisos gestionados como entrada para crear las políticas basadas en recursos para los recursos que compartes.

Versión del permiso administrado

Cualquier cambio en un permiso administrado se representa como una nueva versión de ese permiso administrado. La nueva versión es la predeterminada para todos los recursos compartidos nuevos. Cada permiso administrado siempre tiene una versión designada como versión predeterminada. Al crear o AWS crear una nueva versión de permisos administrados, debe actualizar de forma explícita el permiso administrado para cada recurso compartido existente. Puede evaluar los cambios antes de aplicarlos al recurso compartido en este paso. Todos los recursos compartidos nuevos utilizarán automáticamente la nueva versión del permiso administrado para el tipo de recurso correspondiente.

Al crear o actualizar un recurso compartido, solo puede adjuntar la versión predeterminada del permiso administrado especificado. Para obtener más información, consulte Actualizar los permisos administrados de AWS a una versión más reciente.