Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
AWS Resource Access Manager (AWS RAM) le ayuda a compartir de forma segura sus recursos entre Cuentas de AWS su organización o unidades organizativas (OUs) y con los roles y usuarios AWS Identity and Access Management (de IAM) en el caso de los tipos de recursos compatibles. Si tienes varios Cuentas de AWS, puedes crear un recurso una vez y usarlo AWS RAM para que esas otras cuentas puedan utilizarlo. Si tu cuenta está gestionada por AWS Organizations, puedes compartir los recursos con todas las demás cuentas de la organización o solo con las cuentas que pertenezcan a una o más unidades organizativas específicas (OUs). También puedes compartirlos con un identificador Cuentas de AWS de cuenta específico, independientemente de si la cuenta forma parte de una organización. Ciertos tipos de recursos admitidos también le permiten compartir con roles y usuarios de IAM específicos.
Contenido
Descripción general de los vídeos
En el siguiente vídeo se proporciona una breve introducción AWS RAM y se describe cómo crear un recurso compartido. Para obtener más información, consulte Crear un recurso compartido en AWS RAM.
En el siguiente vídeo se muestra cómo aplicar los permisos AWS gestionados a AWS los recursos. Para obtener más información, consulte Administrar permisos en AWS RAM.
En este vídeo se ofrece una demostración de cómo crear y asociar permisos administrados por el cliente siguiendo las prácticas recomendadas de privilegio mínimo. Para obtener más información, consulte Creación y uso de permisos gestionados por el cliente en AWS RAM.
Ventajas de AWS RAM
¿Por qué usarlo AWS RAM? Ofrece las siguientes ventajas:
-
Reduce los gastos operativos: crea un recurso una vez y úsalo AWS RAM para compartirlo con otras cuentas. De esta forma, se elimina la necesidad de aprovisionar recursos duplicados en cada cuenta, lo que reduce la sobrecarga operativa. Dentro de la cuenta propietaria del recurso, se AWS RAM simplifica la concesión de acceso a todos los roles y usuarios de esa cuenta sin tener que usar políticas de permisos basadas en la identidad.
-
Proporciona seguridad y coherencia: simplifique la administración de la seguridad de sus recursos compartidos utilizando un único conjunto de políticas y permisos. Si, en lugar de eso, creara recursos duplicados en todas sus cuentas independientes, tendría que implementar políticas y permisos idénticos y, después, tendría que mantenerlos de forma idéntica en todas esas cuentas. En su lugar, todos los usuarios de un AWS RAM recurso compartido se administran mediante un único conjunto de políticas y permisos. AWS RAM ofrece una experiencia coherente para compartir diferentes tipos de AWS recursos.
-
Proporciona visibilidad y capacidad de auditoría: consulte los detalles de uso de sus recursos compartidos mediante la integración AWS RAM de Amazon CloudWatch y AWS CloudTrail. AWS RAM proporciona una visibilidad completa de los recursos y cuentas compartidos.
¿Qué hay del acceso entre cuentas con políticas basadas en recursos?
Puede compartir algunos tipos de AWS recursos con otros Cuentas de AWS si adjunta una política basada en recursos que identifique a los principales (IAM) AWS Identity and Access Management (funciones y usuarios de IAM) ajenos a los suyos. Cuenta de AWS Sin embargo, compartir un recurso adjuntando una política no aprovecha las ventajas adicionales que ofrece. AWS RAM Al usarlo AWS RAM , obtienes las siguientes funciones:
-
Puede compartir con una organización o una unidad organizativa (OU) sin tener que enumerar cada una de Cuenta de AWS IDs ellas.
-
Los usuarios pueden ver los recursos que se comparten con ellos directamente en la consola de Servicio de AWS que los origina y en las operaciones de la API, como si tales recursos estuvieran directamente en la cuenta del usuario. Por ejemplo, si suele AWS RAM compartir una subred de Amazon VPC con otra cuenta, los usuarios de esa cuenta pueden ver la subred en la consola de Amazon VPC y en los resultados de las operaciones de la API de Amazon VPC realizadas en esa cuenta. Los recursos compartidos adjuntando una política basada en recursos no están visibles de este modo; en su lugar, debe detectar el recurso y hacer referencia a él explícitamente por su nombre de recurso de Amazon (ARN).
-
Los propietarios de un recurso pueden ver qué entidades principales tienen acceso a cada recurso individual que han compartido.
-
Si comparte recursos con una cuenta que no forma parte de su organización, inicia AWS RAM un proceso de invitación. El destinatario debe aceptar la invitación para que la entidad principal pueda acceder a los recursos compartidos. Una vez que activa la capacidad para compartir dentro de la organización, compartir con las cuentas de la organización no requiere invitación.
Si tienes recursos que has compartido mediante una política de permisos basada en recursos, puedes convertirlos en recursos totalmente AWS RAM gestionados de la siguiente manera:
-
Utilizar PromoteResourceShareCreatedFromPolicyFuncionamiento de la API.
-
Usa el equivalente de la operación de API, que es AWS Command Line Interface (AWS CLI) promote-resource-share-created-from-policycomando
Cómo funciona el uso compartido de recursos
Cuando compartes un recurso de la cuenta propietaria con otra Cuenta de AWS, la cuenta consumidora, estás concediendo acceso al recurso compartido a los principales de la cuenta consumidora. Todas las políticas y permisos que se aplican a roles y usuarios de la cuenta consumidora se aplican también al recurso compartido. Los recursos del recurso compartido parecen recursos nativos en el lugar con el Cuentas de AWS que los has compartido.
Puede compartir tanto recursos globales como regionales. Para obtener más información, consulte Compartir recursos regionales frente a recursos globales.
Compartir recursos de su propiedad
Con AWS RAM, compartes los recursos que te pertenecen mediante la creación de un recurso compartido. Para crear un recurso compartido, especifique lo siguiente:
-
El Región de AWS lugar en el que desea crear el recurso compartido. En la consola, selecciónela en el menú desplegable Región que aparece en la esquina superior derecha de la consola. En el AWS CLI, se utiliza el
--regionparámetro.-
Un recurso compartido solo puede contener recursos regionales que pertenezcan a la misma Región de AWS que el recurso compartido.
-
Un recurso compartido puede contener recursos globales solo si se encuentra en la región de origen designada para los recursos globales, Este de EE. UU. (Norte de Virginia),
us-east-1.
-
-
Asigne un nombre al recurso compartido.
-
La lista de recursos a los que desea conceder acceso como parte de este recurso compartido.
-
Las entidades principales a las que concede acceso al recurso compartido. Los directores pueden ser individuales Cuentas de AWS, las cuentas de una organización o una unidad organizativa (OU) AWS Organizations, o funciones o usuarios individuales AWS Identity and Access Management (IAM).
nota
No todos los tipos de recursos se pueden compartir con roles y los usuarios de IAM. Para obtener información sobre los recursos que puede compartir con estas entidades principales, consulte Recursos compartibles AWS.
-
Un permiso administrado que asociar a cada tipo de recurso incluido en el recurso compartido. El permiso administrado determina lo que las entidades principales de las demás cuentas pueden hacer en relación con los recursos del recurso compartido.
El comportamiento del permiso depende del tipo de entidad principal:
-
Si la entidad principal está en una cuenta diferente de la cuenta propietaria del recurso, los permisos adjuntos al recurso compartido serán los permisos máximos disponibles para conceder a roles y usuarios de esas cuentas. El administrador de dichas cuentas debe entonces conceder acceso a roles y usuarios individuales al recurso compartido mediante políticas de permisos basadas en la identidad de IAM. Los permisos concedidos en esas políticas no pueden superar los definidos en los permisos adjuntos al recurso compartido.
-
La cuenta propietaria de los recursos conserva la propiedad total de los recursos que comparte.
Usar recursos compartidos
Cuando el propietario de un recurso lo comparte con su cuenta, puede obtener acceso al recurso compartido del mismo modo que lo haría si este fuera propiedad de su cuenta. Puede acceder al recurso mediante la consola, los AWS CLI comandos y las operaciones de API del servicio correspondiente. Las operaciones de API que las entidades principales de su cuenta pueden realizar varían en función del tipo de recurso y se especifican en el permiso AWS RAM adjunto al recurso compartido. También se siguen aplicando todas las políticas de IAM y políticas de control del servicios configuradas en su cuenta, lo que le permite aprovechar las inversiones existentes en controles de seguridad y gobernanza.
Cuando accedes a un recurso compartido mediante el servicio de ese recurso, tienes las mismas capacidades y limitaciones Cuenta de AWS que el propietario del recurso.
-
Si el recurso es regional, solo podrá acceder a él desde la Región de AWS en la que existe la cuenta propietaria.
-
Si el recurso es global, puede acceder a él desde cualquier Región de AWS compatible con la consola de servicio y las herramientas del recurso. Puede ver y administrar el recurso compartido y sus recursos globales en la AWS RAM consola y las herramientas solo en la región de origen designada, EE. UU. Este (Virginia del Norte)
us-east-1.
Accediendo AWS RAM
Puede trabajar con él AWS RAM de cualquiera de las siguientes maneras:
- AWS RAM consola
-
AWS RAM proporciona una interfaz de usuario basada en la web, la AWS RAM consola. Si te has registrado en una Cuenta de AWS, puedes acceder a la AWS RAM consola iniciando sesión en la página de inicio AWS RAM de la consola AWS Management Console
y eligiendo una opción. También puede usar un navegador para ir directamente a la consola de AWS RAM
. Si todavía no se ha registrado, se le pedirá que lo haga antes de que aparezca la consola. - AWS CLI y Herramientas para Windows PowerShell
-
AWS CLI Y AWS Tools for PowerShell proporcionan acceso directo a las operaciones de la API AWS RAM pública. AWS admite estas herramientas en Windows, macOS, y Linux. Para obtener más información sobre cómo empezar, consulte la Guía del AWS Command Line Interface usuario o la Guía del AWS Tools for Windows PowerShell usuario. Para obtener más información sobre los comandos de AWS RAM, consulte la Referencia de AWS CLI comandos o la Referencia de AWS Tools for Windows PowerShell cmdlets.
- AWS SDKs
-
AWS proporciona comandos de API para un amplio conjunto de lenguajes de programación. Para obtener más información sobre cómo empezar, consulta la Guía de referencia de herramientas AWS SDKs y herramientas.
- API de consulta
-
Si no utilizas uno de los lenguajes de programación compatibles, la API de consulta AWS RAM HTTPS te proporciona acceso programático a AWS RAM y AWS. Con la AWS RAM API, puedes enviar solicitudes HTTPS directamente al servicio. Cuando utilices la AWS RAM API, debes incluir un código para firmar digitalmente las solicitudes con tus credenciales. Para obtener más información, consulte la Referencia de la API de AWS RAM.
Precios para AWS RAM
No se cobran cargos adicionales por el uso AWS RAM o la creación de recursos compartidos ni por compartir tus recursos entre cuentas. Los cargos por el uso de recursos varían en función del tipo de recurso. Para obtener más información sobre cómo se AWS facturan los recursos compartibles, consulte la documentación del servicio de propiedad del recurso.
Conformidad y estándares internacionales
PCI DSS
AWS RAM admite el procesamiento, el almacenamiento y la transmisión de datos de tarjetas de crédito por parte de un comerciante o proveedor de servicios, y se ha comprobado que cumple con el estándar de seguridad de datos (DSS) de la industria de tarjetas de pago (PCI).
Para obtener más información acerca de PCI DSS, incluido cómo solicitar una copia del Paquete de conformidad con PCI de AWS
, consulte PCI DSS Nivel 1
FedRAMP
AWS RAM está autorizado como FedRAMP Moderado en las Regiones de AWS siguientes áreas: EE.UU. Este (Norte de Virginia), EE.UU. Este (Ohio), EE.UU. Oeste (Norte de California) y EE.UU. Oeste (Oregón).
AWS RAM está autorizado como FedRAMP High en los Regiones de AWS siguientes lugares AWS GovCloud : (EE. UU. Oeste) y (EE. UU. Este). AWS GovCloud
El Programa Federal de Administración de Riesgos y Autorizaciones (FedRAMP) es un amplio programa gubernamental de EE. UU. que ofrece un enfoque estandarizado para la supervisión continua, la autorización y la evaluación de la seguridad de servicios y productos en la nube.
Para obtener más información acerca de la conformidad con FedRAMP, consulte FedRAMP
SOC e ISO
AWS RAM se puede utilizar para cargas de trabajo sujetas al cumplimiento del Control Organizativo de Servicios (SOC) y a las normas ISO 9001, ISO 27001, ISO 27017, ISO 27018 e ISO 27701 de la Organización Internacional de Normalización (ISO). Los clientes de los sectores financiero, de la salud y otros sectores regulados pueden obtener información sobre los procesos y controles de seguridad que protegen los datos de los clientes, y que está disponible en los informes de SOC y en los certificados ISO y CSA STAR de AWS en AWS Artifact
Para obtener más información sobre conformidad, consulte SOC
Para obtener más información sobre la conformidad ISO, consulte ISO 9001
