Habilitación de ABAC para DynamoDB Streams

ABAC de DynamoDB Streams está activado de forma predeterminada para la mayoría de las Cuentas de AWS. Para los clientes actuales, ABAC de Streams está desactivado de forma predeterminada y se habilita después de auditar las políticas. Mediante la consola de DynamoDB, puede confirmar si ABAC de Streams se ha habilitado para la cuenta. Abra la consola de DynamoDB con un rol que tenga el permiso dynamodb:GetAbacStatus. A continuación, abra la página Configuración de la consola de DynamoDB.

La tarjeta Control de acceso basado en atributos para Streams aparece en la página de configuración solo si tiene una tabla de DynamoDB en la región de AWS actual. Si tiene una tabla, el estado Activado (o sin tarjeta) significa que ABAC de Streams está activado y Desactivado (que se muestra en la siguiente imagen) significa que no lo está. Si no hay ninguna tabla en la región, la ausencia de la tarjeta no indica el estado.

Para habilitar ABAC de Streams para la cuenta, recomendamos que primero se auditen las políticas tal y como se describe en la sección Auditoría de las políticas antes de habilitar ABAC de Streams. A continuación, incluya los permisos necesarios para ABAC de Streams en la política de IAM. Por último, realice los pasos descritos en Habilitación de ABAC de Streams en la consola para habilitar ABAC de Streams en la cuenta en la región de AWS actual. Después de habilitar ABAC de Streams, podrá desactivarlo en los siete días laborables posteriores a la activación.

Auditoría de las políticas antes de habilitar ABAC de Streams

Antes de habilitar ABAC de Streams, audite las políticas. Confirme que todas las condiciones basadas en etiquetas incluidas en las políticas de la cuenta estén configuradas según lo previsto para los recursos de transmisión. La auditoría de las políticas ayuda a evitar cambios de autorización inesperados en los flujos de trabajo de DynamoDB Streams después de activar ABAC de Streams.

Al auditar, busque políticas que:

Para ver ejemplos de utilización de condiciones basadas en atributos con etiquetas y el comportamiento antes y después de la implementación de ABAC, consulte Ejemplos para usar ABAC con DynamoDB Streams.

Permisos de IAM necesarios para habilitar ABAC de Streams

Necesita el permiso dynamodb:UpdateAbacStatus para habilitar ABAC de Streams en la cuenta en la región actual. Para confirmar si ABAC de Streams se ha habilitado en la cuenta, también debe tener el permiso dynamodb:GetAbacStatus. Con este permiso, puede ver el estado de ABAC de Streams de una cuenta en cualquier región. Necesitará estos permisos además del permiso necesario para acceder a la consola de DynamoDB.

La siguiente política de IAM concede el permiso para habilitar ABAC de Streams y ver el estado para una cuenta en la región actual.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:UpdateAbacStatus",
        "dynamodb:GetAbacStatus"
      ],
      "Resource": "*"
    }
  ]
}

Habilitación de ABAC de Streams en la consola