Restricción de acceso a los roles de IAM

Para identificar a los usuarios específicos de la base de datos con acceso a un rol de IAM

1. Identifique el nombre de recurso de Amazon (ARN) de los usuarios de la base de datos en el clúster de Amazon Redshift. El ARN de un usuario de la base de datos está en el formato: arn:aws:redshift:region:account-id:dbuser:cluster-name/user-name.

   Para Amazon Redshift sin servidor utilice el siguiente formato de ARN. arn:aws:redshift:region:account-id:dbuser:workgroup-name/user-name

2. Abra la consola de IAM.

3. Seleccione Roles en el panel de navegación.

4. Elija el rol de IAM que desea restringir para usuarios específicos de la base de datos de Amazon Redshift.

5. Seleccione la pestaña Trust Relationships (Relaciones de confianza) y Edit Trust Relationship (Editar relación de confianza). Un rol de IAM nuevo que permita a Amazon Redshift obtener acceso a otros servicios de AWS en su nombre tiene la siguiente relación de confianza:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "redshift.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }               

6. Agregue una condición a la sección de acción sts:AssumeRole de la relación de confianza que limita el campo sts:ExternalId a los valores que usted especifique. Incluya un ARN para cada usuario de la base de datos al que desea concederle acceso al rol. El ID externo puede ser cualquier cadena única.

   Por ejemplo, la siguiente relación de confianza especifica que solo los usuarios de la base de datos user1 y user2 en el clúster my-cluster en la región us-west-2 tienen permiso para utilizar este rol de IAM.

   {
     "Version": "2012-10-17",
     "Statement": [
     {
       "Effect": "Allow",
       "Principal": { 
         "Service": "redshift.amazonaws.com" 
       },
       "Action": "sts:AssumeRole",
       "Condition": {
         "StringEquals": {
           "sts:ExternalId": [
             "arn:aws:redshift:us-west-2:123456789012:dbuser:my-cluster/user1",
             "arn:aws:redshift:us-west-2:123456789012:dbuser:my-cluster/user2"
           ]
         }
       }
     }]
   }      

7. Elija Actualizar política de confianza.