Información general sobre la administración de los permisos de acceso a los recursos de Directory Service
Todos los recursos de AWS son propiedad de una cuenta de AWS. Como resultado, los permisos de creación o acceso a los recursos se rigen por políticas de permisos. Sin embargo, un administrador de cuentas, que es un usuario con permisos de administrador, puede asociar permisos a los recursos. Los administradores de cuentas también pueden asociar políticas de permisos a identidades de IAM, como usuarios, grupos y roles, y algunos servicios, como AWS Lambda, también permiten asociar políticas de permisos a recursos.
nota
Para obtener información acerca del rol del administrador de cuenta, consulte Prácticas recomendadas de IAM en la Guía del usuario de IAM.
Temas
Directory ServiceRecursos y operaciones de
En Directory Service, el recurso principal es un directorio. Como Directory Service es compatible con los recursos de instantáneas de directorios, solo puede crear instantáneas en el contexto de un directorio existente. Una instantánea se conoce como subrecurso.
Estos recursos tienen nombres de recursos de Amazon (ARN) únicos asociados a ellos, tal y como se muestra en la siguiente tabla.
| Tipo de recurso | Formato de ARN |
|---|---|
|
Directorio |
|
|
Instantánea |
|
Directory Service incluye dos espacios de nombres de servicios según el tipo de operaciones que realice.
-
El espacio de nombres del servicio de
dsproporciona un conjunto de operaciones para trabajar con los recursos apropiados. Para ver la lista de operaciones disponibles, consulte las acciones de Directory Service. -
El espacio de nombres del servicio
ds-dataproporciona un conjunto de operaciones a los objetos de Active Directory. Para ver la lista de operaciones disponibles, consulte las referencias de la API de Directory Service Data.
Titularidad de los recursos
El propietario del recurso es la cuenta de AWS que ha creado el recurso. Es decir, el propietario de los recursos es la cuenta de AWS de la entidad principal (cuenta raíz, usuario de IAM o rol de IAM) que autentica la solicitud que crea el recurso. Los siguientes ejemplos ilustran cómo funciona:
-
Si utiliza las credenciales de cuenta raíz de su cuenta de AWS para crear un recurso de Directory Service, como un directorio, su cuenta de AWS será la propietaria de dicho recurso.
-
Si crea un usuario de IAM en su cuenta de AWS y le concede permisos para crear recursos de Directory Service, el usuario podrá crear recursos de Directory Service. Sin embargo, su cuenta de AWS, a la que pertenece el usuario, será la propietaria de los recursos.
-
Si crea un rol de IAM en su cuenta de AWS con permisos para crear recursos de Directory Service, cualquier persona que pueda asumir el rol podrá crear recursos de Directory Service. La cuenta de AWS a la que pertenece la función será la propietaria de los recursos de Directory Service.
Administración del acceso a los recursos
Una política de permisos describe quién tiene acceso a qué. En la siguiente sección se explican las opciones disponibles para crear políticas de permisos.
nota
En esta sección se explica el uso de IAM en el contexto de Directory Service. No se proporciona información detallada sobre el servicio de IAM. Para ver la documentación completa de IAM, consulte What is IAM? (¿Qué es IAM?) en la Guía del usuario de IAM. Para obtener más información acerca de la sintaxis y las descripciones de las políticas de IAM, consulte Referencia de políticas JSON de IAM en la Guía del usuario de IAM.
Las políticas asociadas a una identidad de IAM se denominan políticas basadas en identidades (políticas de IAM), mientras que las políticas asociadas a un recurso se denominan políticas basadas en recursos. Directory Service solo admite políticas basadas en identidades (políticas de IAM).
Políticas basadas en identidades (políticas de IAM)
Puede asociar políticas a identidades de IAM. Por ejemplo, puede hacer lo siguiente:
-
Asociar una política de permisos a un usuario o grupo de su cuenta: un administrador de la cuenta puede utilizar una política de permisos asociada a un usuario determinado para concederle permisos para crear un recurso de Directory Service, como un nuevo directorio.
-
Adjuntar una política de permisos a un rol (conceder permisos para cuentas cruzadas): puede adjuntar una política de permisos basada en identidades a un rol de IAM para conceder permisos para cuentas cruzadas.
Para obtener más información sobre el uso de IAM para delegar permisos, consulte Access management (Administración de accesos) en la Guía del usuario de IAM.
La siguiente política de permisos concede permisos a un usuario para ejecutar todas las acciones que empiezan por Describe. Estas acciones muestran información acerca de un recurso de Directory Service, como un directorio o una instantánea. Tenga en cuenta que el carácter comodín (*) del elemento Resource indica que las acciones están permitidas en todos los recursos de Directory Service que son propiedad de la cuenta.
Para obtener más información acerca del uso de políticas basadas en identidades con Directory Service, consulte Uso de políticas basadas en identidad (políticas de IAM) para Directory Service. Para obtener más información acerca de los usuarios, los grupos, los roles y los permisos, consulte Identidades (usuarios, grupos y roles) en la Guía del usuario de IAM.
Políticas basadas en recursos
Otros servicios, como Amazon S3, también admiten políticas de permisos basadas en recursos. Por ejemplo, puede asociar una política a un bucket de S3 para administrar los permisos de acceso a dicho bucket. Directory Service no admite políticas basadas en recursos.
Especificación de elementos de política: acciones, efectos, recursos y entidades principales
Para cada recurso de Directory Service, el servicio define un conjunto de operaciones de API. Para obtener más información, consulte Directory ServiceRecursos y operaciones de . Para ver la lista de operaciones de API disponibles, consulte las acciones de Directory Service.
Para conceder permisos para estas operaciones de API, Directory Service define un conjunto de acciones que usted puede especificar en una política. Tenga en cuenta que la realización de una operación de la API puede requerir permisos para más de una acción.
A continuación, se indican los elementos básicos de la política:
-
Recurso: en una política, se usa un nombre de recurso de Amazon (ARN) para identificar el recurso al que se aplica la política. Para los recursos de Directory Service, use siempre el carácter comodín (*) en las políticas de IAM. Para obtener más información, consulte Directory ServiceRecursos y operaciones de .
-
Acción: utilice palabras clave de acción para identificar las operaciones del recurso que desea permitir o denegar. Por ejemplo, con el permiso
ds:DescribeDirectories, los usuarios pueden realizar la operación Directory Service deDescribeDirectories. -
Efecto: solo debe especificar el efecto cuando el usuario solicita la acción específica. La acción se puede permitir o denegar. Si no concede acceso de forma explícita (permitir) a un recurso, el acceso se deniega implícitamente. También puede denegar explícitamente el acceso a un recurso para asegurarse de que un usuario no pueda obtener acceso a él, aunque otra política le conceda acceso.
-
Entidad principal: en las políticas basadas en identidades (políticas de IAM), el usuario al que se asocia esta política es la entidad principal implícita. Para las políticas basadas en recursos, debe especificar el usuario, la cuenta, el servicio u otra entidad que desee que reciba permisos (se aplica solo a las políticas basadas en recursos). Directory Service no admite políticas basadas en recursos.
Para obtener más información sobre la sintaxis y descripciones de las políticas de IAM, consulte Referencia de políticas JSON de IAM en la Guía del usuario de IAM.
Para ver una tabla con todas las acciones de la API de Directory Service y los recursos a los que se aplican, consulte Directory ServicePermisos de la API de : referencia de acciones, recursos y condiciones.
Especificación de las condiciones de una política
Al conceder permisos, puede utilizar el lenguaje de la política de acceso para especificar las condiciones en las que se debe aplicar una política. Por ejemplo, es posible que desee que solo se aplique una política después de una fecha específica. Para obtener más información sobre cómo especificar condiciones en un lenguaje de política, consulte Condition en la Guía del usuario de IAM.
Para expresar condiciones, se usan claves de condición predefinidas. No hay claves de condición específicas para Directory Service. No obstante, existen claves de condición de AWS que puede utilizar cuando corresponda. Para ver una lista completa de claves de AWS, consulte Claves disponibles para las condiciones globales en la Guía del usuario de IAM.
