Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Amazon VPC Lattice se integra con AWS Resource Access Manager (AWS RAM) para permitir el uso compartido de servicios, configuraciones de recursos y redes de servicios. AWS RAM es un servicio que le permite compartir algunas entidades de VPC Lattice con otras Cuentas de AWS o a través de ellas. AWS Organizations Con AWS RAM, compartes entidades de tu propiedad mediante la creación de un recurso compartido. Un recurso compartido especifica las entidades que se van a compartir y los consumidores con los que se van a compartir. Los consumidores pueden incluir lo siguiente:
-
Cuentas de AWS Específico dentro o fuera de su organización AWS Organizations.
-
Una unidad organizativa dentro de la organización en AWS Organizations.
-
Toda una organización en AWS Organizations.
Para obtener más información al respecto AWS RAM, consulte la Guía AWS RAM del usuario.
Contenido
Requisitos previos para compartir entidades de VPC Lattice
-
Para compartir una entidad, debe ser su propietario. Cuenta de AWS Esto significa que la entidad debe estar asignada o aprovisionada en tu cuenta. No puedes compartir una entidad que se haya compartido contigo.
-
Para compartir una entidad con tu organización o unidad organizativa AWS Organizations, debes habilitar la opción de compartir con AWS Organizations. Para obtener más información, consulte Habilitar el uso compartido de recursos dentro de AWS Organizations en la Guía del usuario de AWS RAM .
Comparta entidades de VPC Lattice
Para compartir una entidad, comience por crear un recurso compartido utilizando AWS Resource Access Manager. Un recurso compartido especifica las entidades que se van a compartir, los consumidores con los que se comparten y las acciones que pueden realizar los directores.
Cuando compartes una entidad de VPC Lattice de la que eres propietario con otra Cuentas de AWS, permites que esas cuentas asocien sus entidades a las entidades de tu cuenta. Al crear una asociación contra una entidad compartida, generamos un nombre de recurso de Amazon (ARN) en la cuenta del propietario de la entidad y en la cuenta que creó la asociación. Por lo tanto, tanto el propietario de la entidad como la cuenta que creó la asociación pueden eliminarla.
Si forma parte de una organización AWS Organizations y está habilitado el uso compartido dentro de su organización, los consumidores de su organización tienen acceso automático a la entidad compartida. De lo contrario, los consumidores reciben una invitación para unirse al recurso compartido y se les concede acceso a la entidad compartida tras aceptar la invitación.
Consideraciones
-
Puede compartir tres tipos de entidades de VPC Lattice: redes de servicio, servicios y configuraciones de recursos.
-
Puede compartir sus entidades de VPC Lattice con cualquiera. Cuenta de AWS
-
No puede compartir sus entidades de VPC Lattice con usuarios y roles de IAM individuales.
-
VPC Lattice admite permisos administrados por el cliente para servicios, configuraciones de recursos y redes de servicios.
Para compartir una entidad de su propiedad mediante la consola VPC Lattice
Abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc/
. -
En el panel de navegación, en VPC Lattice, selecciona Servicios, Redes de servicios o Configuraciones de recursos.
-
Elija el nombre de la entidad para abrir su página de detalles y, a continuación, seleccione Compartir servicio, Compartir red de servicios o Compartir configuración de recursos en la pestaña Compartir.
-
Elija los AWS RAM recursos compartidos en Recursos compartidos. Para crear un recurso compartido, elija Crear un recurso compartido en la consola RAM.
-
Elija Compartir servicio, Compartir red de servicios o Compartir configuración de recursos.
Para compartir una entidad de tu propiedad mediante la AWS RAM consola
Utilice el procedimiento que se describe en Crear un recurso de uso compartido en la Guía del usuario de AWS RAM .
Para compartir una entidad de tu propiedad mediante el AWS CLI
Utilice el comando associate-resource-share
Dejar de compartir entidades de VPC Lattice
Para dejar de compartir una entidad de VPC Lattice de su propiedad, debe eliminarla del recurso compartido. Las asociaciones existentes persisten después de dejar de compartir la entidad. No se permiten nuevas asociaciones a una entidad previamente compartida. Cuando el propietario de la entidad o el propietario de la asociación eliminan una asociación, esta se elimina de ambas cuentas. Si el propietario de una cuenta quiere dejar un recurso compartido, debe pedirle al propietario del recurso compartido que elimine su cuenta de la lista de cuentas con las que se compartió este recurso.
Para dejar de compartir una entidad de su propiedad mediante la consola VPC Lattice
Abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc/
. -
En el panel de navegación, en VPC Lattice, selecciona Servicios, Redes de servicios o Configuraciones de recursos.
-
Elija el nombre de la entidad para abrir su página de detalles.
-
En la pestaña Compartir, seleccione la casilla de verificación del recurso compartido y, a continuación, elija Eliminar.
Para dejar de compartir una entidad de tu propiedad mediante la AWS RAM consola
Consulte Actualización de un recurso de uso compartido en la Guía del usuario de AWS RAM .
Para dejar de compartir una entidad de tu propiedad mediante el AWS CLI
Utilice el comando disassociate-resource-share
Responsabilidades y permisos
Cuando se utilizan entidades de VPC Lattice compartidas, se aplican las siguientes responsabilidades y permisos.
Propietarios de entidades
-
El propietario de la red de servicio no puede modificar un servicio que haya creado un consumidor.
-
El propietario de la red de servicio no puede eliminar un servicio que haya creado un consumidor.
-
El propietario de la red de servicio puede describir todas las asociaciones de servicio para la red de servicios.
-
El propietario de la red de servicio puede desasociar cualquier servicio asociado a la red de servicios, independientemente de quién haya creado la asociación.
-
El propietario de la red de servicio puede describir todas las asociaciones VPC para la red de servicio.
-
El propietario de la red de servicio puede desasociar cualquier VPC que un consumidor asocie a la red de servicio.
-
El propietario de la red de servicio puede describir todas las asociaciones de configuración de recursos de la red de servicio.
-
El propietario de la red de servicio puede desasociar cualquier configuración de recursos asociada a la red de servicio, independientemente de quién haya creado la asociación.
-
El propietario de la red de servicio puede describir todas las asociaciones de puntos finales de la red de servicio.
-
El propietario de la red de servicio puede desasociar cualquier punto final asociado a la red de servicio, independientemente de quién haya creado la asociación.
-
El propietario del servicio puede describir todas las asociaciones de la red de servicios con el servicio.
-
El propietario del servicio puede desasociar un servicio de cualquier red de servicios a la que esté asociado.
-
El propietario de la configuración de recursos puede describir todas las asociaciones de red con la configuración de recursos.
-
El propietario de la configuración de recursos puede desasociar una configuración de recursos de cualquier red de servicios a la que esté asociada.
-
El propietario del punto final de la VPC puede describir la red de servicio a la que está asociado.
-
El propietario del punto final de la VPC puede disociar un punto final de la red de servicio.
-
Solo la cuenta que creó una asociación puede actualizar la asociación entre la red de servicios y la VPC.
Consumidores de entidades
-
El consumidor no puede eliminar una configuración de servicio o recurso que no haya creado.
-
El consumidor solo puede disociar los servicios o las configuraciones de recursos que asoció a una red de servicios.
-
El consumidor y el propietario de la red pueden describir todas las asociaciones entre una red de servicio y una configuración de servicio o recurso.
-
El consumidor no puede recuperar la información de servicio de un servicio ni la información de configuración de recursos de una configuración de recursos que no sea de su propiedad.
-
El consumidor puede describir todas las asociaciones de servicios y configuraciones de recursos con una red de servicios compartidos.
-
El consumidor puede asociar un servicio o una configuración de recursos a una red de servicios compartidos.
-
El consumidor puede ver todas las asociaciones VPC con una red de servicios compartidos.
-
El consumidor puede asociar una VPC a una red de servicios compartidos.
-
El consumidor solo puede disociar lo VPCs que asoció a una red de servicios.
-
El consumidor puede crear un punto final de VPC de red de servicios para conectar su VPC a una red de servicios compartidos.
-
El consumidor solo puede eliminar el punto final de la VPC de la red de servicio que creó para conectar su VPC a una red de servicios compartidos.
-
El consumidor de un servicio compartido no puede asociar un servicio a una red de servicios que no le pertenecen.
-
El consumidor de una red de servicios compartidos no puede asociar una VPC o un servicio que no le pertenece.
-
El consumidor de una configuración de recursos compartidos no puede asociar una configuración de recursos a una red de servicios que no sea de su propiedad.
-
El consumidor de una red de servicios compartidos no puede asociar una VPC o una configuración de servicio o recurso que no sea de su propiedad.
-
El consumidor puede describir un servicio, una red de servicios o una configuración de recursos que comparta con él.
-
El consumidor no puede asociar dos entidades si ambas se comparten con ellas.
Eventos entre cuentas
Cuando los propietarios de las entidades y los consumidores realizan acciones en una entidad compartida, esas acciones se registran como eventos multicuentas en AWS CloudTrail.
CreateServiceNetworkResourceAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama CreateServiceNetworkResourceAssociation a una entidad compartida. Si la persona que llama es propietaria de la configuración de recursos, el evento se envía al propietario de la red de servicio. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario de la configuración de recursos.
CreateServiceNetworkServiceAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama CreateServiceNetworkServiceAssociationa una entidad compartida. Si la persona que llama es propietaria del servicio, el evento se envía al propietario de la red de servicios. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario del servicio.
CreateServiceNetworkVpcAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama CreateServiceNetworkVpcAssociationa través de una red de servicios compartidos.
DeleteServiceNetworkResourceAssociationByOwner-
Se envía al propietario de la asociación cuando el propietario de la entidad llama DeleteServiceNetworkResourceAssociation a una entidad compartida. Si la persona que llama es propietaria de la configuración de recursos, el evento se envía al propietario de la asociación de la red de servicios. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario de la asociación de recursos.
DeleteServiceNetworkResourceAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama DeleteServiceNetworkResourceAssociation a una entidad compartida. Si la persona que llama es propietaria de la configuración de recursos, el evento se envía al propietario de la red de servicio. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario de la configuración de recursos.
DeleteServiceNetworkServiceAssociationByOwner-
Se envía al propietario de la asociación cuando el propietario de la entidad llama DeleteServiceNetworkServiceAssociationa una entidad compartida. Si la persona que llama es propietaria del servicio, el evento se envía al propietario de la asociación de redes de servicios. Si la persona que llama es propietaria de la red de servicios, el evento se envía al propietario de la asociación de servicios.
DeleteServiceNetworkServiceAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama DeleteServiceNetworkServiceAssociationa una entidad compartida. Si la persona que llama es propietaria del servicio, el evento se envía al propietario de la red de servicios. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario del servicio.
DeleteServiceNetworkVpcAssociationByOwner-
Se envía al propietario de la asociación cuando el propietario de la entidad llama DeleteServiceNetworkVpcAssociationa través de una red de servicios compartidos.
DeleteServiceNetworkVpcAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama DeleteServiceNetworkVpcAssociationa través de una red de servicios compartidos.
GetServiceBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama GetServicecon un servicio compartido.
GetServiceNetworkBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama GetServiceNetworka través de una red de servicios compartidos.
GetServiceNetworkResourceAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama GetServiceNetworkResourceAssociation a una entidad compartida. Si la persona que llama es propietaria de la configuración de recursos, el evento se envía al propietario de la red de servicio. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario de la configuración de recursos.
GetServiceNetworkServiceAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama GetServiceNetworkServiceAssociationa una entidad compartida. Si la persona que llama es propietaria del servicio, el evento se envía al propietario de la red de servicios. Si la persona que llama es propietaria de la red de servicio, el evento se envía al propietario del servicio.
GetServiceNetworkVpcAssociationBySharee-
Se envía al propietario de la entidad cuando un consumidor de la entidad llama GetServiceNetworkVpcAssociationa través de una red de servicios compartidos.
A continuación, se ve un ejemplo de una entrada para el evento CreateServiceNetworkServiceAssociationBySharee.
{
"eventVersion": "1.08",
"userIdentity": {
"type": "Unknown"
},
"eventTime": "2023-04-27T17:12:46Z",
"eventSource": "vpc-lattice.amazonaws.com",
"eventName": "CreateServiceNetworkServiceAssociationBySharee",
"awsRegion": "us-west-2",
"sourceIPAddress": "vpc-lattice.amazonaws.com",
"userAgent": "ec2.amazonaws.com",
"requestParameters": null,
"responseElements": null,
"additionalEventData": {
"callerAccountId": "111122223333"
},
"requestID": "ddabb0a7-70c6-4f70-a6c9-00cbe8a6a18b",
"eventID": "bd03cdca-7edd-4d50-b9c9-eaa89f4a47cd",
"readOnly": false,
"resources": [
{
"accountId": "123456789012",
"type": "AWS::VpcLattice::ServiceNetworkServiceAssociation",
"ARN": "arn:aws:vpc-lattice:region:123456789012:servicenetworkserviceassociation/snsa-0d5ea7bc72EXAMPLE"
}
],
"eventType": "AwsServiceEvent",
"managementEvent": true,
"recipientAccountId": "123456789012",
"eventCategory": "Management"
}