View a markdown version of this page

Introducción al AWS Support autorización - AWS Support
Requisitos previosPaso 1: Crear un AWS KMS Clave de firmaPaso 2: configurar los permisos de IAMPaso 3: Crea tu primer permiso de manutenciónPaso 4: Revise las solicitudes de permisos de soporte de AWS SupportSiguientes pasos

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Introducción al AWS Support autorización

Este tutorial lo guía a través de la configuración AWS Support autorización y creación de su primer permiso de manutención. Debe completar los siguientes pasos:

Este tutorial tarda aproximadamente 10 minutos en completarse.

  1. Crea un AWS KMS clave de firma

  2. Configurar permisos de IAM

  3. Crea tu primer permiso de manutención

  4. Revise las solicitudes de permisos de soporte de AWS Support

Requisitos previos

Antes de comenzar, asegúrese de que dispone de lo siguiente:

  • Un activo AWS cuenta

  • Permisos para crear AWS KMS claves en tu cuenta

  • Permisos para crear políticas de IAM y adjuntarlas a usuarios o roles

Paso 1: Crear un AWS KMS Clave de firma

AWS Support la autorización requiere un AWS KMS clave con especificación clave ECC_NIST_P384 y uso de claves SIGN_VERIFY. La clave debe estar en la misma región que su permiso de soporte.

nota

Si ya tiene un AWS KMS clave con especificación clave ECC_NIST_P384 y uso de claves SIGN_VERIFY en la misma región, puedes saltarte este paso y usar esa clave.

Para crear la clave, ejecute lo siguiente AWS Comando CLI:

aws kms create-key \
    --key-usage SIGN_VERIFY \
    --key-spec ECC_NIST_P384 \
    --description "SupportAuthZ signing key" \
    --tags TagKey=supportauthz:managed,TagValue=true \
    --region us-east-1

Anote la clave ARN de la salida. Este valor se utiliza al crear permisos de soporte.

Incluya los necesarios AWS Support las declaraciones de política de autorización en el create-key llamada. Para ver las declaraciones requeridas, consulte Configuración AWS KMS llaves para AWS Support autorización.

ejemplo Ejemplo de resultado de
{
    "KeyMetadata": {
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeySpec": "ECC_NIST_P384",
        "KeyUsage": "SIGN_VERIFY"
    }
}

Paso 2: configurar los permisos de IAM

Adjunte una política de IAM que conceda permisos para AWS Support operaciones de API de autorización. El siguiente ejemplo de política otorga acceso a todos AWS Support acciones de autorización.

El supportauthz:RegisterKey la acción te permite asociar AWS KMS claves con permisos de soporte. Esta acción de solo permiso debe estar presente en su política de IAM para AWS Support autorización para funcionar.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "supportauthz:CreateSupportPermit",
                "supportauthz:RegisterKey",
                "supportauthz:DeleteSupportPermit",
                "supportauthz:GetSupportPermit",
                "supportauthz:ListSupportPermits",
                "supportauthz:ListSupportPermitRequests",
                "supportauthz:RejectSupportPermitRequest",
                "supportauthz:GetAction",
                "supportauthz:ListActions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "supportauthz.us-east-1.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "supportauthz.us-east-1.amazonaws.com",
                    "kms:RetiringServicePrincipal": "us-east-1.supportauthz.amazonaws.com",
                    "kms:GranteeServicePrincipal": "us-east-1.supportauthz.amazonaws.com"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "DescribeKey",
                        "GetPublicKey",
                        "Sign"
                    ]
                }
            }
        }
    ]
}

Para adjuntar esta política a un usuario o rol de IAM, consulte Añadir y eliminar los permisos de identidad de IAM en el AWS Identity and Access Management Guía del usuario.

Paso 3: Crea tu primer permiso de manutención

Cree un permiso de manutención que autorice AWS Support para acceder a la información sobre sus servicios para obtener recursos específicos.

Console

  1. Inicie sesión en la AWS Support Center Console.

  2. En el panel de navegación, elija Autorización de soporte.

  3. En el Acceso concedido sección, elige Preconfigurar el acceso.

  4. Para Tipo de acceso, elija una de las siguientes opciones:

    • Todos los recursos compatibles en esta región — Aplica un acceso amplio a toda tu cuenta en la región seleccionada.

    • Elige el recurso ARN — Limita el acceso a un recurso específico que identifiques mediante un ARN.

  5. (Opcional) Para Detalles, introduzca un Nombre y Descripción para el permiso de manutención.

  6. Para Duración del acceso, elija una de las siguientes opciones:

    • Sin caducidad — El acceso permanece activo hasta que lo revoques.

    • Duración personalizada — Establezca un período de tiempo específico durante el cual el permiso de soporte sea válido.

  7. Para Acciones, elige las acciones que AWS Support está autorizado a realizar:

    • Seleccione el Todas las acciones casilla de verificación para permitir todas las acciones disponibles en los recursos cubiertos. Esto elimina el límite de 10 acciones.

    • Para elegir acciones específicas, desactive la Todas las acciones casilla de verificación. Seleccione un servicio de la Servicios lista y, a continuación, selecciona hasta 10 acciones individuales de la tabla de acciones.

  8. Para Clave de firma, elige una AWS KMS clave de la lista desplegable. Para crear una nueva clave, elija Cree una clave de firma de KMS.

  9. Seleccione Enviar.

AWS CLI

Ejecute el siguiente comando para crear un permiso de soporte por tiempo limitado para un recurso específico:

aws supportauthz create-support-permit \
    --name "MyFirstPermit" \
    --signing-key-info '{"kmsKey": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"}' \
    --permit '{
        "actions": {"allActions": {}},
        "resources": {"resources": ["arn:aws:rds:us-east-1:111122223333:cluster:my-aurora-cluster"]},
        "conditions": [
            {"allowAfter": "2026-06-01T00:00:00Z"},
            {"allowBefore": "2026-07-01T00:00:00Z"}
        ]
    }'

Este permiso de soporte autoriza AWS Support para realizar todas las acciones disponibles en el clúster de Amazon Aurora especificado durante junio de 2026.

Paso 4: Revise las solicitudes de permisos de soporte de AWS Support

¿Cuándo AWS Support necesita acceder a la información sobre sus servicios y no existe un permiso de soporte adecuado, AWS Support envía una solicitud de permiso de soporte. Puede ver las solicitudes pendientes y aprobarlas o rechazarlas.

Console

  1. Inicie sesión en la AWS Support Center Console.

  2. En el panel de navegación, elija Autorización de soporte.

  3. En el Solicitudes de acceso pendientes sección, revise la lista de solicitudes. Cada solicitud muestra el caso de soporte asociado, el servicio, el ARN de la solicitud de permiso de soporte, el estado y la fecha de acceso a la solicitud.

  4. (Opcional) Para filtrar las solicitudes, utilice el Estado y Servicio filtros desplegables o busca por recurso en el campo de búsqueda.

  5. Para aprobar o rechazar una solicitud, elige Gestiona el acceso al soporte.

AWS CLI

Para enumerar las solicitudes pendientes, ejecuta el siguiente comando:

aws supportauthz list-support-permit-requests
ejemplo Ejemplo de resultado de
{
    "supportPermitRequests": [
        {
            "arn": "arn:aws:supportauthz:us-east-1:111122223333:supportpermitrequest/req-1234abcd",
            "status": "PENDING",
            "supportCaseDisplayId": "case-12345678",
            "requestedActions": ["rds:ReadClusterData"],
            "requestedResources": ["arn:aws:rds:us-east-1:111122223333:cluster:my-aurora-cluster"],
            "createdAt": "2026-06-01T12:00:00Z"
        }
    ]
}

Para aprobar esta solicitud, cree un permiso de soporte que abarque el ámbito solicitado:

aws supportauthz create-support-permit \
    --name "ApproveCase12345678" \
    --signing-key-info '{"kmsKey": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"}' \
    --support-case-display-id "case-12345678" \
    --permit '{
        "actions": {"actions": ["rds:ReadClusterData"]},
        "resources": {"resources": ["arn:aws:rds:us-east-1:111122223333:cluster:my-aurora-cluster"]},
        "conditions": [
            {"allowBefore": "2026-06-15T00:00:00Z"}
        ]
    }'

Para rechazar una solicitud, ejecuta el siguiente comando. Esto notifica AWS Support que no quieres aceptar la solicitud. Rechazar una solicitud no te impide crear un permiso de soporte para las mismas acciones y recursos más adelante.

aws supportauthz reject-support-permit-request \
    --request-arn "arn:aws:supportauthz:us-east-1:111122223333:supportpermitrequest/request-id"

Revisa cada solicitud y decide si quieres aprobarla o rechazarla:

  • Para aprobarla: Cree un permiso de asistencia que abarque el ámbito solicitado. Incluya el supportCaseDisplayId parámetro para desactivar automáticamente el permiso de asistencia cuando se cierre el caso.

  • Rechazar: Llamar RejectSupportPermitRequest para notificar AWS Support que no quieres aceptar la solicitud. Rechazar una solicitud no te impide crear un permiso de soporte para las mismas acciones y recursos más adelante.

Siguientes pasos

Tras completar este tutorial, consulta los siguientes temas: