View a markdown version of this page

AWS Health ejemplos de políticas basadas en identidades - AWS Health
Prácticas recomendadas relativas a políticasUso de la consolaCómo permitir a los usuarios consultar sus propios permisosAcceder a la AWS Health El panel de control y el AWS Health APICondiciones basadas en recursos y en acciones

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS Health ejemplos de políticas basadas en identidades

De forma predeterminada, los usuarios y los roles de IAM no tienen permiso para crear, ver ni modificar recursos de AWS Health . Tampoco pueden realizar tareas con el Consola de administración de AWS, AWS CLI, o AWS API. Un administrador de IAM debe crear políticas de IAM que concedan permisos a los usuarios y a los roles para realizar operaciones de la API concretas en los recursos especificados que necesiten. El administrador debe adjuntar esas políticas a los usuarios o grupos de IAM que necesiten esos permisos.

Para obtener información acerca de cómo crear una política basada en identidad de IAM con estos documentos de políticas JSON de ejemplo, consulte Creación de políticas en la pestaña JSON en la Guía del usuario de IAM.

Prácticas recomendadas relativas a políticas

Identity-based las políticas determinan si alguien puede crear, acceder o eliminar AWS Health recursos de tu cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

  • Comience con AWS administró políticas y avanzó hacia permisos con privilegios mínimos — Para empezar a conceder permisos a sus usuarios y cargas de trabajo, utilice el AWS políticas administradas que otorgan permisos para muchos casos de uso comunes. Están disponibles en su Cuenta de AWS. Le recomendamos que reduzca aún más los permisos definiendo AWS políticas administradas por el cliente que sean específicas para sus casos de uso. Con el fin de obtener más información, consulte las políticas administradas por AWS o las políticas administradas por AWS para funciones de tarea en la Guía de usuario de IAM.

  • Aplique permisos de privilegio mínimo: cuando establezca permisos con políticas de IAM, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como permisos de privilegios mínimos. Con el fin de obtener más información sobre el uso de IAM para aplicar permisos, consulte Políticas y permisos en IAM en la Guía del usuario de IAM.

  • Utilice condiciones en las políticas de IAM para restringir aún más el acceso: puede agregar una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de políticas para especificar que todas las solicitudes deben enviarse utilizando SSL. También puedes usar las condiciones para conceder el acceso a las acciones del servicio si se utilizan a través de un servicio específico Servicio de AWS, como CloudFormation. Para obtener más información, consulte Elementos de la política de JSON de IAM: Condición en la Guía del usuario de IAM.

  • Utiliza el analizador de acceso de IAM para validar las políticas de IAM con el fin de garantizar la seguridad y funcionalidad de los permisos: el analizador de acceso de IAM valida políticas nuevas y existentes para que respeten el lenguaje (JSON) de las políticas de IAM y las prácticas recomendadas de IAM. El analizador de acceso de IAM proporciona más de 100 verificaciones de políticas y recomendaciones procesables para ayudar a crear políticas seguras y funcionales. Para más información, consulte Validación de políticas con el Analizador de acceso de IAM en la Guía del usuario de IAM.

  • Exigir autenticación multifactor (MFA) — Si tiene un escenario en el que se requieren usuarios de IAM o un usuario raíz en su Cuenta de AWS, active la MFA para aumentar la seguridad. Para exigir la MFA cuando se invoquen las operaciones de la API, añada condiciones de MFA a sus políticas. Para más información, consulte Acceso seguro a la API con MFA en la Guía del usuario de IAM.

Para obtener más información sobre las prácticas recomendadas de IAM, consulte Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

Uso de AWS Health consola

Para acceder al AWS Health la consola, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle enumerar y ver los detalles sobre AWS Health recursos en su AWS cuenta. Si crea una política basada en identidad que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles de IAM) que tengan esa política.

Para garantizar que esas entidades puedan seguir utilizando la AWS Health consola, puede adjuntar lo siguiente AWS política gestionada, AWSHealthFullAccess.

La política de AWSHealthFullAccess concede a una entidad acceso completo a lo siguiente:

  • Habilita o deshabilita el AWS Health función de vista organizacional para todas las cuentas de un AWS organización

  • La AWS Health Panel de control en el AWS Health consola

  • AWS Health Operaciones y notificaciones de API

  • Consulta la información sobre las cuentas que forman parte de tu AWS organización

  • Consulte las unidades organizativas (OU) de la cuenta de administración

ejemplo: AWSHealthFullAccess
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"         
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",    
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "health.amazonaws.com"
                }
            }
        }
    ]
}
nota

También puedes usar el Health_OrganizationsServiceRolePolicy AWS política administrada, de modo que AWS Health puede ver los eventos de otras cuentas de su organización. Para obtener más información, consulte Uso de funciones vinculadas a servicios para AWS Health.

No es necesario que concedas permisos mínimos de consola a los usuarios que solo realizan llamadas a AWS CLI o el AWS API. En su lugar, permite acceso únicamente a las acciones que coincidan con la operación de API que intenta realizar.

Para obtener más información, consulte Adición de permisos a un usuario en la Guía del usuario de IAM.

Cómo permitir a los usuarios consultar sus propios permisos

En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas administradas e insertadas que se asocian a la identidad de sus usuarios. Esta política incluye los permisos para completar esta acción en la consola o mediante programación mediante el AWS CLI o AWS API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Acceder a la AWS Health El panel de control y el AWS Health API

El AWS Health El tablero está disponible para todos AWS cuentas. El AWS Health La API solo está disponible para cuentas con AWS Soporte empresarial+, AWS Soporte empresarial, o AWS Plan de operaciones unificadas. Para obtener más información, consulte Soporte.

Puede usar IAM para crear entidades (usuarios, grupos o funciones) y, a continuación, conceder a esas entidades permisos para acceder al AWS Health El panel de control y el AWS Health API.

De forma predeterminada, los usuarios de IAM no tienen acceso a la AWS Health Dashboard o el AWS Health API. Das a los usuarios acceso a tu cuenta AWS Health información adjuntando políticas de IAM a un solo usuario, a un grupo de usuarios o a un rol. Para obtener más información, consulte Identidades (usuarios, grupos y roles) e Información general sobre las políticas de IAM.

Después de crear los usuarios de IAM, puede asignarles contraseñas. A continuación, pueden iniciar sesión en tu cuenta y ver AWS Health información mediante una página de inicio de sesión específica para la cuenta. Para obtener más información, consulte Cómo inician sesión los usuarios en la cuenta.

nota

Un usuario de IAM con permisos de visualización AWS Health El panel de control tiene acceso de solo lectura a la información de salud en todos AWS los servicios de la cuenta, que pueden incluir, entre otros, AWS los ID de recursos, como los ID de instancia de Amazon EC2, las direcciones IP de las instancias de EC2 y las notificaciones de seguridad generales.

Por ejemplo, si una política de IAM otorga acceso solo a AWS Health El panel de control y el AWS Health API, entonces el usuario o rol al que se aplica la política puede acceder a toda la información publicada sobre AWS servicios y recursos relacionados, incluso si otras políticas de IAM no permiten ese acceso.

Puedes usar dos grupos de API para AWS Health.

Para obtener más información sobre las operaciones de la API disponibles, consulte la Referencia de la API de AWS Health.

Acciones individuales

Puede establecer el elemento Action de una política de IAM en health:Describe*. Esto permite el acceso a AWS Health Panel de control y AWS Health. AWS Health admite el control de acceso a los eventos en función de eventTypeCode y servicio.

Describir el acceso

Esta declaración de política otorga acceso a AWS Health Panel de control y cualquiera de los Describe* AWS Health Operaciones de API. Por ejemplo, un usuario de IAM con esta política puede acceder a AWS Health Panel de control en el Consola de administración de AWS y llama al AWS Health DescribeEvents operación de API.

ejemplo: describir el acceso
JSON
{
  "Version":"2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  }]
}

Denegar el acceso

Esta declaración de política niega el acceso a AWS Health Dashboard y el AWS Health API. Un usuario de IAM con esta política no puede ver la AWS Health Panel de control en el Consola de administración de AWS y no puede llamar a ninguno de los AWS Health Operaciones de API.

ejemplo: denegar el acceso
JSON
{
  "Version":"2012-10-17",
  "Statement": [
  {
    "Effect": "Deny",
    "Action": [
      "health:*"
    ],
    "Resource": "*"
  }]
}

Vista organizativa

Si quieres habilitar la vista organizacional para AWS Health, debe permitir el acceso a AWS Health y AWS Organizations acciones.

El elemento Action de una política de IAM debe incluir los siguientes permisos:

  • iam:CreateServiceLinkedRole

  • organizations:EnableAWSServiceAccess

  • organizations:DescribeAccount

  • organizations:DisableAWSServiceAccess

  • organizations:ListAccounts

  • organizations:ListDelegatedAdministrators

  • organizations:ListParents

Para conocer los permisos exactos que se necesitan para cada API, consulta Acciones definidas por AWS Health API y notificaciones en el Guía del usuario de IAM.

nota

Debe usar las credenciales de la cuenta de administración para que una organización acceda al AWS Health API para AWS Organizations. Para obtener más información, consulte Agregando AWS Health eventos en todas las cuentas.

Permitir el acceso a AWS Health vista organizativa

Esta declaración de política otorga acceso a todos AWS Health y AWS Organizations acciones que necesita para la función de vista organizacional.

ejemplo: Permitir AWS Health acceso a la vista organizacional
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "health:*",
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",  
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}

Denegar el acceso a AWS Health vista organizativa

Esta declaración de política niega el acceso a AWS Organizations acciones, pero permite el acceso a AWS Health acciones para una cuenta individual.

ejemplo: Denegar AWS Health acceso a la vista organizacional
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "health:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "health.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:ListAccounts",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListParents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/health.amazonaws.com/AWSServiceRoleForHealth*"
        }
    ]
}
nota

Si el usuario o el grupo al que quieres conceder permisos ya tiene una política de IAM, puedes añadir AWS Health-declaración de política específica a esa política.

Condiciones basadas en recursos y en acciones

AWS Health soporta condiciones de IAM para el DescribeAffectedEntities y DescribeEventDetails Operaciones de API. Puede usar condiciones basadas en recursos y acciones para restringir los eventos que AWS Health La API envía a un usuario, grupo o rol.

Para ello, actualice el bloque Condition de la política de IAM o establezca el elemento Resource. Puedes usar Condiciones de cadena para restringir el acceso en función de ciertas AWS Health campos de eventos.

Puede usar los siguientes campos al especificar un AWS Health evento en su póliza:

  • eventTypeCode

  • service

Notas
ejemplo: Action-based estado

Esta declaración de política otorga acceso a AWS Health Dashboard y el AWS Health Describe* Operaciones de API, pero niega el acceso a cualquier AWS Health eventos relacionados con Amazon EC2.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "health:service": "EC2"
                }
            }
        }
    ]
}
ejemplo: Resource-based estado

La política siguiente tiene el mismo efecto, pero utiliza el elemento Resource en su lugar.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "health:Describe*"
    ],
    "Resource": "*"
  },
  {
    "Effect": "Deny",
    "Action": [
      "health:DescribeEventDetails",
      "health:DescribeAffectedEntities"
    ],
    "Resource": "arn:aws:health:*::event/EC2/*/*"
  }]
}
ejemplo: eventoTypeCode estado

Esta declaración de política otorga acceso a AWS Health Dashboard y el AWS Health Describe* Operaciones de API, pero niega el acceso a cualquier AWS Health eventos con el eventTypeCode que coincide AWS_EC2_*.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "health:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "health:DescribeAffectedEntities",
                "health:DescribeEventDetails"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "health:eventTypeCode": "AWS_EC2_*"
                }
            }
        }
    ]
}
importante

Si llamas al DescribeAffectedEntities y DescribeEventDetails operaciones y no tienes permiso para acceder al AWS Health evento, el AccessDeniedException aparece un error. Para obtener más información, consulte Resolución de problemas AWS Health identidad y acceso.