Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso IAM local en un dispositivo de la familia Snow

AWS Identity and Access Management (IAM) te ayuda a controlar de forma segura el acceso a AWS los recursos que se ejecutan en tu AWS Snowball Edge dispositivo. Se utiliza IAM para controlar quién está autenticado (ha iniciado sesión) y quién está autorizado (tiene permisos) para usar los recursos.

IAMes compatible de forma local en tu dispositivo. Puede utilizar el IAM servicio local para crear nuevos usuarios y IAM adjuntarles políticas. Puede utilizar estas políticas para permitir el acceso necesario para realizar tareas asignadas. Por ejemplo, puedes dar a un usuario la posibilidad de transferir datos, pero limitar su capacidad de crear nuevas instancias EC2 compatibles con Amazon.

Además, puede crear credenciales locales basadas en sesiones utilizando AWS Security Token Service (AWS STS) en su dispositivo. Para obtener información sobre el IAM servicio, consulte Primeros pasos en la Guía del IAMusuario.

Las credenciales raíz de tu dispositivo no se pueden deshabilitar y no puedes usar las políticas de tu cuenta para denegar explícitamente el acceso al usuario Cuenta de AWS raíz. Te recomendamos que protejas las claves de acceso del usuario root y crees credenciales de IAM usuario para la interacción diaria con el dispositivo.

Uso de las API operaciones AWS CLI y en Snowball Edge

Al utilizar las API operaciones AWS CLI o para emitir los EC2 comandos IAM AWS STS, Amazon S3 y Amazon en Snowball Edge, debe especificar «»snow. region Puede hacerlo utilizando aws configure o dentro del propio comando, como en los ejemplos siguientes.

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

Or (Disyunción)

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Lista de IAM AWS CLI comandos compatibles en un Snowball Edge

A continuación se describe el subconjunto de AWS CLI comandos y opciones compatibles con los dispositivos Snowball Edge. IAM Si un comando o una opción no aparece en la lista siguiente, no está admitido. En la descripción se indican los parámetros no admitidos para los comandos.

IAMAPIOperaciones compatibles con los dispositivos de la familia Snow

A continuación se IAM API muestran las operaciones que puede utilizar con un Snowball Edge, con enlaces a sus descripciones en la IAM API Referencia.

La versión IAM de la política y la gramática compatibles con los dispositivos de la familia Snow

A continuación se presenta la versión de IAM soporte local 2012-10-17 de la IAM política y un subconjunto de la gramática de la política.

IAMejemplos de políticas en los dispositivos de la familia Snow

A continuación se muestran ejemplos de políticas que conceden permisos para un dispositivo Snowball Edge.

Permitir la GetUser llamada a un usuario de muestra desde un dispositivo de la familia Snow a través del IAM API

Utilice la siguiente política para permitir la GetUser llamada de un usuario de muestra a través del IAMAPI.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

Permitir el acceso total a Amazon S3 API en un dispositivo de la familia Snow

Utilice la siguiente política para permitir el acceso total a Amazon S3API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

Permitir el acceso de lectura y escritura a un bucket de Amazon S3 en un dispositivo de la familia Snow

Utilice la siguiente política para permitir el acceso de lectura y escritura a un bucket específico.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

Permitir el acceso a listas, obtener y colocar un bucket de Amazon S3 en un dispositivo de la familia Snow

Utilice la siguiente política para permitir el acceso List, Get y Put para un bucket específico de S3.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Permitir el acceso total a Amazon EC2 API en un dispositivo de la familia Snow

Usa la siguiente política para permitir el acceso total a AmazonEC2.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

Permitir el acceso para iniciar y detener instancias EC2 compatibles con Amazon en un dispositivo de la familia Snow

Usa la siguiente política para permitir el acceso para iniciar y detener EC2 instancias de Amazon.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

Rechazar llamadas DescribeLaunchTemplates pero permitir todas las llamadas DescribeImages desde un dispositivo Snow Family

Utilice la siguiente política para denegar las llamadas a DescribeLaunchTemplates pero permitir todas las llamadas a DescribeImages.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Política de API llamadas desde un dispositivo de la familia Snow

Enumera todas las políticas administradas que están disponibles en su dispositivo Snow, incluidas sus propias políticas administradas definidas por el cliente. Hay más información disponible al respecto en list-policies.

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy ejemplo en un dispositivo de la familia Snow

Una política de confianza devuelve un conjunto de credenciales de seguridad temporales que puede utilizar para acceder a AWS recursos a los que normalmente no tendría acceso. Las credenciales temporales incluyen un ID de clave de acceso, una clave de acceso secreta y un token de seguridad. Normalmente, se utiliza AssumeRole en la cuenta para el acceso entre cuentas.

A continuación, se muestra un ejemplo de una política de confianza. Para obtener más información sobre la política de confianza, consulte AssumeRolela AWS Security Token Service APIReferencia.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}