As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Termos e conceitos para AWS RAM

Os conceitos a seguir ajudam a explicar como você pode usar AWS Resource Access Manager (AWS RAM) para compartilhar seus recursos.

Compartilhamento de recursos

Você compartilha recursos que possui AWS RAM criando um compartilhamento de recurso. Um compartilhamento de recursos tem os três elementos a seguir:

Depois de usar AWS RAM para criar um compartilhamento de recursos, as entidades principais especificados no compartilhamento de recursos podem ter acesso aos recursos do compartilhamento.

Contas compartilhadas

A conta de compartilhamento contém o recurso que é compartilhado e no qual o AWS RAM administrador cria o compartilhamento de AWS recursos usando AWS RAM.

Um AWS RAM administrador é uma entidade principal do IAM que tem permissões para criar e configurar compartilhamentos de recursos no Conta da AWS. Como AWS RAM funciona anexando uma política baseada em recursos aos recursos em um compartilhamento de recursos, o AWS RAM administrador também deve ter permissões para chamar a PutResourcePolicy operação no AWS service (Serviço da AWS) para cada tipo de recurso incluído em um compartilhamento de recursos.

Entidades principais de consumo

A conta consumidora é Conta da AWS aquela com a qual um recurso é compartilhado. O compartilhamento de recursos pode especificar uma conta inteira como entidade principal ou, para alguns tipos de recursos, funções ou usuários individuais na conta. Para obter informações sobre quais tipos de recursos oferecem suporte a esse tipo de compartilhamento, consulte Recursos compartilháveis AWS e visualize a coluna Pode compartilhar com funções do IAM e usuários.

AWS RAM também oferece suporte às entidades principais de serviços como consumidores de compartilhamentos de recursos. Para obter informações sobre quais tipos de recursos oferecem suporte a esse tipo de compartilhamento, consulte Recursos compartilháveis AWS e visualize a coluna Pode compartilhar com entidades principais de serviço.

As entidades principais da conta consumidora podem realizar somente as ações permitidas pelas duas permissões a seguir:

AWS RAM é compatível com os seguintes tipos de entidades principais do IAM como consumidores de compartilhamentos de recursos:

Política baseada em recurso

Políticas baseadas em recurso são documentos de texto JSON que implementam a linguagem de políticas do IAM. Ao contrário das políticas baseadas em identidade que você anexa à entidade principal, como uma função ou usuário do IAM, você anexa políticas baseadas em recurso ao recurso. AWS RAM cria políticas baseadas em recursos em seu nome com base nas informações que você fornece para seu compartilhamento de recursos. Você deve especificar um elemento Principal de política que determine quem pode acessar o recurso. Para obter mais informações, consulte Políticas baseadas em identidade e em recurso no Guia do usuário do IAM.

As políticas baseadas em recursos geradas pelo AWS RAM são avaliadas junto com todos os outros tipos de políticas do IAM. Isso inclui todas as políticas baseadas em identidade do IAM anexadas às entidades principais que estão tentando acessar o recurso, e as políticas de controle de serviço (SCPs) para AWS Organizations que podem se aplicar ao Conta da AWS. As políticas baseadas em recursos geradas pela AWS RAM participam da mesma lógica de avaliação de políticas de todas as outras políticas do IAM. Para obter detalhes completos sobre a avaliação de políticas e como determinar as permissões resultantes, consulte Lógica de avaliação de políticas no Guia do usuário do IAM.

AWS RAM fornece uma experiência de compartilhamento de recursos simples e segura, fornecendo políticas baseadas em recursos de abstração fáceis de usar.

Para os tipos de recursos que oferecem suporte a políticas baseadas em recursos, constrói e gerencia AWS RAM automaticamente as políticas baseadas em recursos para você. Para um determinado recurso, AWS RAM cria a política baseada em recursos combinando as informações de todos os compartilhamentos de recursos que incluem esse recurso. Por exemplo, considere um pipeline do Amazon SageMaker que você compartilha AWS RAM usando e inclui em dois compartilhamentos de recursos diferentes. Você pode usar um compartilhamento de recursos para fornecer acesso somente de leitura a toda a sua organização. Em seguida, você poderia usar o outro compartilhamento de recursos para conceder somente permissões de execução do SageMaker a uma única conta. AWS RAM combina automaticamente esses dois conjuntos diferentes de permissões em uma única política de recursos com várias declarações. Em seguida, anexa a política combinada baseada em recursos ao recurso do pipeline. Você pode ver essa política de recursos subjacente chamando a GetResourcePolicy operação. Serviços da AWS em seguida, use essa política baseada em recursos para autorizar qualquer entidade principal que tente realizar uma ação no recurso compartilhado.

Embora você possa criar manualmente as políticas baseadas em recursos e anexá-las aos seus recursos por meio de uma chamada PutResourcePolicy, recomendamos que você use AWS RAM porque elas oferecem as seguintes vantagens:

Ao usar AWS RAM, você pode até mesmo compartilhar alguns tipos de recursos que ainda não oferecem suporte a políticas baseadas em recursos. Para esses tipos de recursos, gera AWS RAM automaticamente uma política baseada em recursos como uma representação das permissões reais. Os usuários podem ver essa representação ligando para GetResourcePolicy. Esse recurso inclui as seguintes informações:

Exemplos de AWS RAM políticas baseadas em recursos geradas

Se você compartilhar um recurso de imagem do EC2 Image Builder com uma conta individual, AWS RAM gera uma política semelhante ao exemplo a seguir e a anexa a todos os recursos de imagem incluídos no compartilhamento de recursos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

Se você compartilhar um recurso de imagem do EC2 Image Builder com uma função ou usuário do IAM em outra Conta da AWS AWS RAM, gera uma política semelhante ao exemplo a seguir e a anexa a todos os recursos de imagem incluídos no compartilhamento de recursos.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

Se você compartilhar um recurso de imagem do EC2 Image Builder com uma conta individual, AWS RAM gera uma política semelhante ao exemplo a seguir e a anexa a todos os recursos de imagem incluídos no compartilhamento de recursos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

Implicações do uso da "Principal": "*" em uma política baseada em recursos

Quando você inclui "Principal": "*" em uma política baseada em recursos, a política concede acesso a todos os diretores do IAM na conta que contém o recurso, sujeita a quaisquer restrições impostas por um Condition elemento, se ele existir. Declarações Deny explícitas em qualquer política que se aplique à entidade principal da chamada substituem as permissões concedidas por essa política. No entanto, uma implícita Deny (ou seja, a falta de uma explícita Allow) em qualquer política de identidade, política de limite de permissões ou política de sessão aplicável não resulta na concessão de acesso Deny às entidades principais a uma ação por meio dessa política baseada em recursos.

Se esse comportamento não for desejável para seu cenário, você pode limitar esse comportamento adicionando uma Deny declaração explícita a uma política de identidade, limite de permissões ou política de sessão que afete as funções e os usuários relevantes.

Gerenciar permissões

As permissões gerenciadas definem quais ações as entidades principais podem realizar sob quais condições nos tipos de recursos compatíveis em um compartilhamento de recursos. Ao criar um compartilhamento de recursos, você deve especificar qual permissão gerenciada usar para cada tipo de recurso incluído no compartilhamento de recursos. Uma permissão gerenciada lista o conjunto actions e as condições que as entidades principais podem executar com o recurso compartilhado usando AWS RAM.

Você pode anexar somente uma permissão gerenciada para cada tipo de recurso em um compartilhamento de recursos. Você não pode criar um compartilhamento de recursos no qual alguns recursos de um determinado tipo usem uma permissão gerenciada e outros recursos do mesmo tipo usem uma permissão gerenciada diferente. Para fazer isso, você precisaria criar dois compartilhamentos de recursos diferentes e dividir os recursos entre eles, dando a cada conjunto uma permissão gerenciada diferente. Há dois tipos diferentes de permissões gerenciadas:

AWS RAM usa permissões gerenciadas como uma entrada para criar as políticas baseadas em recursos para os recursos que você compartilha.

Versão da permissão gerenciada

Qualquer alteração em uma permissão gerenciada é representada como uma nova versão dessa permissão gerenciada. A nova versão é a padrão para todos os novos compartilhamentos de recursos. Cada permissão gerenciada sempre tem uma versão designada como padrão. Ao AWS criar ou criar uma nova versão de permissão gerenciada, você deve atualizar explicitamente a permissão gerenciada para cada compartilhamento de recursos existente. Você pode avaliar as alterações antes de aplicá-las ao seu compartilhamento de recursos nesta etapa. Todos os novos compartilhamentos de recursos usarão automaticamente a nova versão da permissão gerenciada para o tipo de recurso correspondente.

Ao criar ou atualizar um compartilhamento de recursos, você pode anexar somente a versão padrão da permissão gerenciada especificada. Para obter mais informações, consulte Atualização de permissões AWS gerenciadas para uma versão mais recente.