View a markdown version of this page

Lista de verificación: configurar ABAC en AWS mediante IAM Identity Center - AWS IAM Identity Center

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Lista de verificación: configurar ABAC en AWS mediante IAM Identity Center

Esta lista de comprobación incluye las tareas de configuración necesarias para preparar los recursos de AWS y configurar IAM Identity Center para el acceso a ABAC. Completar las tareas en esta lista de verificación en orden. Cuando un enlace de referencia lo lleve a un tema, vuelva a ese tema para poder continuar con el resto de las tareas de esta lista de verificación.

Paso Tarea Referencia
1 Revisa cómo añadir etiquetas a todos tus AWS recursos. Para implementar ABAC en IAM Identity Center, primero tendrá que añadir etiquetas a todos los recursos de AWS en los que desee implementar ABAC.
2 Revise cómo configurar su origen de identidad en IAM Identity Center con las identidades y los atributos de usuario asociados en su almacén de identidades. IAM Identity Center le permite usar los atributos de usuario de cualquier fuente de identidad de IAM Identity Center compatible para ABAC in. AWS
3 En función de los siguientes criterios, determine qué atributos quiere usar para tomar decisiones de control de acceso AWS y envíelos al IAM Identity Center.

  • Si utiliza un proveedor de identidades (IdP) externo, decida si desea utilizar los atributos transferidos desde el IdP o seleccionar los atributos de IAM Identity Center.

  • Si elige que su IdP envíe atributos, configure su IdP para que transmita los atributos en las aserciones de SAML. Consulte las secciones Optional del tutorial correspondiente a su IdP específico.

  • Si utiliza un IdP como fuente de identidad y elige seleccionar atributos en IAM Identity Center, averigüe cómo configurar el SCIM para que los valores de los atributos procedan de su IdP. Si no puede utilizar SCIM con su IdP, añada los usuarios y sus atributos mediante la página de usuario de la consola de IAM Identity Center.

  • Si utiliza Active Directory o IAM Identity Center como fuente de identidad, o si utiliza un IdP y elige seleccionar atributos en IAM Identity Center, revise los atributos disponibles que puede configurar. A continuación, vaya inmediatamente al paso 4 para empezar a configurar los atributos de ABAC mediante la consola de IAM Identity Center.
4

Seleccione los atributos que desee utilizar para ABAC en la página Atributos para el control de acceso de la consola de IAM Identity Center. En esta página, puede seleccionar los atributos para el control de acceso desde el origen de identidad que configuró en el paso 2. Una vez que sus identidades y sus atributos estén en el Centro de Identidad de IAM, debe crear pares clave-valor (mapeos) que recibirá Cuentas de AWS para utilizarlos en las decisiones de control de acceso.

5

Crea políticas de permisos personalizadas en tu conjunto de permisos (o en el rol de IAM si utilizas el administrador de acceso a la cuenta) y usa los atributos de control de acceso para crear reglas de ABAC, de modo que los usuarios solo puedan acceder a los recursos con etiquetas coincidentes. Los atributos de usuario que configuró en el paso 4 se utilizan como etiquetas en AWS para tomar decisiones sobre el control de acceso. Puede hacer referencia a los atributos de control de acceso en la política de permisos mediante la condición aws:PrincipalTag/key.

6

En sus varios Cuentas de AWS, asigne usuarios a los conjuntos de permisos que creó en el paso 5. De este modo, se garantiza que, cuando se federen en sus cuentas y accedan a AWS los recursos, solo accedan en función de las etiquetas coincidentes.

Tras completar estos pasos, los usuarios que se federen para crear un inicio de Cuenta de AWS sesión único tendrán acceso a sus AWS recursos en función de los atributos coincidentes.