Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de políticas basadas en la identidad en Scheduler EventBridge

De forma predeterminada, los usuarios y los roles no tienen permiso para crear o modificar EventBridge los recursos del Scheduler. Tampoco pueden realizar tareas mediante el AWS Management Console, AWS Command Line Interface (AWS CLI), o AWS API. Para conceder a los usuarios permiso para realizar acciones en los recursos que necesitan, un IAM administrador puede crear IAM políticas. A continuación, el administrador puede añadir las IAM políticas a las funciones y los usuarios pueden asumir las funciones.

Para obtener información sobre cómo crear una política IAM basada en la identidad mediante estos documentos de JSON política de ejemplo, consulte Creación de IAM políticas en la Guía del IAMusuario.

Para obtener más información sobre las acciones y los tipos de recursos definidos por EventBridge Scheduler, incluido el ARNs formato de cada uno de los tipos de recursos, consulte Acciones, recursos y claves de condición de Amazon EventBridge Scheduler en la Referencia de autorización de servicios.

Prácticas recomendadas sobre las políticas

Las políticas basadas en la identidad determinan si alguien puede crear, eliminar o acceder a los recursos de EventBridge Scheduler de su cuenta. Estas acciones pueden suponer costes para su Cuenta de AWS. Al crear o editar políticas basadas en la identidad, siga estas directrices y recomendaciones:

Para obtener más información sobre las prácticas recomendadasIAM, consulte las prácticas recomendadas de seguridad IAM en la Guía del IAM usuario.

EventBridge Permisos del programador

Para que un IAM responsable (usuario, grupo o rol) pueda crear EventBridge planificaciones en el Programador y acceder a los recursos del EventBridge Programador a través de la consola o la consolaAPI, el director debe tener un conjunto de permisos agregado a su política de permisos. Puede configurar estos permisos en función de la función de trabajo de la entidad principal. Por ejemplo, un usuario o rol que solo usa la consola del EventBridge Scheduler para ver una lista de los horarios existentes no necesita tener los permisos necesarios para llamar a la operación. CreateSchedule API Le recomendamos que adapte sus permisos basados en la identidad para proporcionar solo el acceso con menos privilegios.

La siguiente lista muestra los recursos del EventBridge Scheduler y sus correspondientes acciones compatibles.

Puede usar los permisos de EventBridge Scheduler para crear sus propias políticas administradas por el cliente y utilizarlas con EventBridge Scheduler. También puede usar el AWS las políticas gestionadas se describen en la siguiente sección para conceder los permisos necesarios para casos de uso comunes sin tener que gestionar sus propias políticas.

AWS políticas gestionadas para EventBridge Scheduler

AWS aborda muchos casos de uso comunes al proporcionar políticas independientes IAM que AWS crea y administra. Las políticas administradas o predefinidas otorgan los permisos necesarios para casos de uso comunes, por lo que no es necesario investigar qué permisos se necesitan. Para obtener más información, consulte AWS políticas gestionadas en la Guía del IAM usuario. Los siguientes ejemplos de AWS las políticas gestionadas que puedes adjuntar a los usuarios de tu cuenta son específicas de EventBridge Scheduler:

AmazonEventBridgeSchedulerFullAccess

La política AmazonEventBridgeSchedulerFullAccess gestionada otorga permisos para usar todas las acciones del EventBridge programador para los horarios y grupos de horarios.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "scheduler:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

AmazonEventBridgeSchedulerReadOnlyAccess

La política administrada por AmazonEventBridgeSchedulerReadOnlyAccess concede permisos de solo lectura para ver los detalles de sus programaciones y grupos de programaciones.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "scheduler:ListSchedules",
                "scheduler:ListScheduleGroups",
                "scheduler:GetSchedule",
                "scheduler:GetScheduleGroup",
                "scheduler:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

Políticas administradas por el cliente para Scheduler EventBridge

Utilice los siguientes ejemplos para crear sus propias políticas administradas por el cliente para EventBridge Scheduler. Las políticas administradas por el cliente le permiten conceder permisos únicamente para las acciones y los recursos necesarios para las aplicaciones y los usuarios de su equipo en función de la función de trabajo de la entidad principal.

Ejemplo: CreateSchedule

Al crear un nuevo programa, usted decide si desea cifrar sus datos en EventBridge Scheduler mediante un Clave propiedad de AWS, o una clave gestionada por el cliente.

La siguiente política permite al director crear un cronograma y aplicar el cifrado mediante un Clave propiedad de AWS. Con un Clave propiedad de AWS, AWS administra los recursos en AWS Key Management Service (AWS KMS) para usted, de modo que no necesite permisos adicionales para interactuar con AWS KMS.

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Utilice la siguiente política para permitir que un director cree un horario y utilice un AWS KMS clave de cifrado gestionada por el cliente. Para utilizar una clave gestionada por el cliente, el director debe tener permiso para acceder a AWS KMS recursos de su cuenta. Esta política otorga acceso a una única KMS clave específica que se utilizará para cifrar los datos en EventBridge Scheduler. Como alternativa, puede usar un carácter comodín (*) para conceder acceso a todas las claves de una cuenta o a un subconjunto que coincida con un patrón de nombres determinado.

{
    "Version": "2012-10-17"
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Conditions": {
                "StringLike": {
                    "kms:ViaService": "scheduler.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Ejemplo: GetSchedule

Utilice la siguiente política para permitir que la entidad principal obtenga información sobre una programación.

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:GetSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        }
    ]
}

Ejemplo: UpdateSchedule

Utilice las siguientes políticas para permitir que una entidad principal actualice una programación llamando a la acción scheduler:UpdateSchedule. Del mismo modoCreateSchedule, la política depende de si el programa utiliza una AWS KMS Clave propiedad de AWS o una clave de cifrado gestionada por el cliente. Para un horario configurado con un Clave propiedad de AWS, utilice la siguiente política:

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Para una programación configurada con una clave administrada por el cliente, utilice la siguiente política.​ Esta política incluye permisos adicionales que permiten al director acceder AWS KMS recursos de tu cuenta:

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Conditions": {
                "StringLike": {
                    "kms:ViaService": "scheduler.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Ejemplo: DeleteScheduleGroup

Use la siguiente política para permitir que una entidad principal elimine un grupo de programaciones. Cuando elimina un grupo, también elimina las programaciones asociadas a ese grupo. La entidad principal que elimine el grupo debe tener permiso para eliminar también las programaciones asociadas a ese grupo. Esta política otorga un permiso a la entidad principal para ejecutar la acción scheduler:DeleteScheduleGroup en los grupos de programaciones especificados, así como en todas las programaciones del grupo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteSchedule",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/*"
        },
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteScheduleGroup",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

AWS actualizaciones de políticas gestionadas