Información general sobre la administración de permisos de acceso para los recursos de Centro de identidades de IAM
Cada recurso de AWS pertenece a una Cuenta de AWS, y los permisos para crear o acceder a los recursos se rigen por las políticas de permisos. Para proporcionar acceso, un administrador de cuentas puede agregar permisos a las identidades de IAM (es decir, usuarios, grupos y roles). Algunos servicios (por ejemplo, AWS Lambda) también admiten añadir permisos a recursos.
nota
Un administrador de cuentas (o usuario administrador) es un usuario que tiene privilegios de administrador. Para obtener más información, consulte Prácticas recomendadas de IAM en la Guía del usuario de IAM.
Temas
Recursos y operaciones de Centro de identidades de IAM
En Centro de identidades de IAM, los recursos principales son instancias de aplicación, perfiles y conjuntos de permisos.
Titularidad de los recursos
El propietario del recurso es la Cuenta de AWS que creó el recurso. Es decir, el propietario del recurso es la Cuenta de AWS de la entidad principal (la cuenta, un usuario o un rol de IAM) que autentica la solicitud que crea el recurso. Los siguientes ejemplos ilustran cómo funciona:
-
Si el Usuario raíz de la cuenta de AWS crea un recurso de Centro de identidades de IAM, como, por ejemplo, una instancia de aplicación o conjunto de permisos, su Cuenta de AWS será la propietaria de ese recurso.
-
Si crea un usuario en su cuenta de AWS y le concede permisos a ese usuario para crear recursos de Centro de identidades de IAM, el usuario podrá crear recursos de Centro de identidades de IAM. Sin embargo, su cuenta de AWS, a la que pertenece el usuario, será la propietaria de los recursos.
-
Si crea un rol de IAM en su cuenta de AWS con permisos para crear recursos de Centro de identidades de IAM, cualquier persona que pueda asumir ese rol podrá crear recursos de Centro de identidades de IAM. Su Cuenta de AWS, a la que pertenece el rol, será la propietaria de los recursos de Centro de identidades de IAM.
Administración del acceso a los recursos de
Una política de permisos describe quién tiene acceso a qué. En la siguiente sección se explican las opciones disponibles para crear políticas de permisos.
nota
En esta sección se explica el uso de IAM en el contexto de Centro de identidades de IAM. No se proporciona información detallada sobre el servicio de IAM. Para ver la documentación completa de IAM, consulte What is IAM? (¿Qué es IAM?) en la Guía del usuario de IAM. Para obtener más información acerca de la sintaxis y las descripciones de las políticas del IAM, consulte Referencia de políticas de AWS IAM en la Guía del usuario de IAM.
Las políticas que se asocian a una identidad de IAM se denominan políticas basadas en la identidad (políticas de IAM). Las políticas que se asocian a un recurso se denominan "políticas basadas en recursos". Centro de identidades de IAM solo admite políticas basadas en identidades (políticas de IAM).
Políticas basadas en identidades (políticas de IAM)
Puede agregar permisos a identidades de IAM. Por ejemplo, puede hacer lo siguiente:
-
Adjuntar una política de permisos a un usuario o grupo en su Cuenta de AWS: los administradores de la cuenta pueden utilizar una política de permisos asociada a un usuario determinado para concederle permisos, a fin de que ese usuario pueda agregar un recurso de Centro de identidades de IAM, como, por ejemplo, una aplicación nueva.
-
Adjuntar una política de permisos a un rol (conceder permisos para cuentas cruzadas): puede adjuntar una política de permisos basada en identidades a un rol de IAM para conceder permisos para cuentas cruzadas.
Para obtener más información sobre el uso de IAM para delegar permisos, consulte Access management (Administración de accesos) en la Guía del usuario de IAM.
La siguiente política de permisos concede permisos a un usuario para ejecutar todas las acciones que empiezan por List. Estas acciones muestran información sobre un recurso de Centro de identidades de IAM, como una instancia de la aplicación o un conjunto de permisos. Tenga en cuenta que el carácter comodín (*) en el elemento Resource indica que las acciones están permitidas para todos los recursos de Centro de identidades de IAM propiedad de la cuenta.
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":"sso:List*", "Resource":"*" } ] }
Para obtener más información acerca del uso de políticas basadas en identidades con Centro de identidades de IAM, consulte Ejemplos de políticas basadas en identidades para Centro de identidades de IAM. Para obtener más información acerca de los usuarios, los grupos, los roles y los permisos, consulte Identidades (usuarios, grupos y roles) en la Guía del usuario de IAM.
Políticas basadas en recursos
Otros servicios, como Amazon S3, también admiten políticas de permisos basadas en recursos. Por ejemplo, puede asociar una política a un bucket de S3 para administrar los permisos de acceso a dicho bucket. Centro de identidades de IAM no admite políticas basadas en recursos.
Especificación de elementos de política: acciones, efectos, recursos y entidades principales
Para cada recurso de Centro de identidades de IAM (consulte Recursos y operaciones de Centro de identidades de IAM), el servicio define un conjunto de operaciones de la API. Para conceder permisos para estas operaciones de la API, Centro de identidades de IAM define un conjunto de acciones que usted puede especificar en una política. Tenga en cuenta que la realización de una operación de la API puede requerir permisos para más de una acción.
A continuación, se indican los elementos básicos de la política:
-
Recurso: en una política, se usa un nombre de recurso de Amazon (ARN) para identificar el recurso al que se aplica la política.
-
Acción: utilice palabras clave de acción para identificar las operaciones del recurso que desea permitir o denegar. Por ejemplo, el permiso
sso:DescribePermissionsPoliciespermite al usuario ejecutar la operaciónDescribePermissionsPoliciesde Centro de identidades de IAM. -
Efecto: especifique el efecto que se producirá cuando el usuario solicite la acción específica; puede ser permitir o denegar. Si no concede acceso de forma explícita (permitir) a un recurso, el acceso se deniega implícitamente. También puede denegar explícitamente el acceso a un recurso para asegurarse de que un usuario no pueda obtener acceso a él, aunque otra política le conceda acceso.
-
Entidad principal: en las políticas basadas en identidades (políticas de IAM), el usuario al que se asocia esta política es la entidad principal implícita. Para las políticas basadas en recursos, debe especificar el usuario, la cuenta, el servicio u otra entidad que desee que reciba permisos (se aplica solo a las políticas basadas en recursos). Centro de identidades de IAM no admite políticas basadas en recursos.
Para obtener más información acerca de la sintaxis y las descripciones de las políticas del IAM, consulte Referencia de políticas de AWS IAM en la Guía del usuario de IAM.
Especificación de las condiciones de una política
Al conceder permisos, puede utilizar el lenguaje de la política de acceso para especificar las condiciones que se deben cumplir para que se aplique una política. Por ejemplo, es posible que desee que solo se aplique una política después de una fecha específica. Para obtener más información sobre cómo especificar condiciones en un lenguaje de política, consulte Condition en la Guía del usuario de IAM.
Para expresar condiciones, se usan claves de condición predefinidas. No hay claves de condición específicas para Centro de identidades de IAM. No obstante, existen claves de condición de AWS que puede utilizar cuando corresponda. Para ver una lista completa de claves de AWS, consulte Claves disponibles para las condiciones globales en la Guía del usuario de IAM.
