Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configurar el acceso a Cuentas de AWS

Las instancias organizativas de IAM Identity Center están integradas con AWS Organizations. Esto le permite gestionar de forma centralizada los permisos de varias cuentas Cuentas de AWS sin configurar el acceso de forma individual a cada cuenta.

En la siguiente tabla, se comparan las opciones de administración del acceso a las cuentas que debe considerar:

Cuenta de AWS tipos

Hay dos tipos de Cuentas de AWS entrada AWS Organizations:

Para obtener más información sobre Cuenta de AWS los tipos, consulte AWS Organizations Terminología y conceptos en la Guía del AWS Organizations usuario.

También puede optar por registrar una cuenta de miembro como administrador delegado de IAM Identity Center. Los usuarios de esta cuenta pueden realizar la mayoría de las tareas administrativas de IAM Identity Center. Para obtener más información, consulte Administración delegada.

La siguiente tabla indica si los usuarios de la cuenta pueden realizar la tarea administrativa de IAM Identity Center para cada tipo de tarea y cuenta.

* Consulte las prácticas recomendadas para la administración delegada en relación con las asignaciones de usuarios y grupos a la cuenta de administración.

Assigning Cuenta de AWS acceder

Puede usar los conjuntos de permisos para simplificar la forma en que asigna el acceso a los usuarios, grupos y Cuentas de AWS de su organización. Los conjuntos de permisos se guardan en IAM Identity Center y definen el nivel de acceso que tienen los usuarios y grupos en una cuenta Cuenta de AWS. Puede crear un único conjunto de permisos y asignarlo a varios miembros Cuentas de AWS de su organización. También puede asignar varios conjuntos de permisos al mismo usuario.

También puedes usar el administrador de acceso a la cuenta, una función de IAM, para asignar las funciones de IAM existentes a los usuarios y grupos del IAM Identity Center de las cuentas de tu organización. Puedes usar el administrador de acceso a la cuenta por sí solo o junto con los conjuntos de permisos. El administrador de acceso a la cuenta te da acceso a todo el conjunto de funciones de IAM, incluidas las políticas de confianza personalizadas, las etiquetas de funciones para ABAC y las rutas de funciones configurables.

Para obtener más información sobre los conjuntos de permisos, consulte Creación, administración y eliminación de conjuntos de permisos.

End-user experiencia

El portal de AWS acceso proporciona a los usuarios del Centro de Identidad de IAM un acceso único a todas sus aplicaciones Cuentas de AWS y asignadas a través de un portal web. El portal de AWS acceso es diferente del Consola de administración de AWS, que es un conjunto de consolas de servicio para administrar los recursos. AWS

Al crear un conjunto de permisos, el nombre que especifique para el conjunto de permisos aparece en el portal de AWS acceso como un rol disponible. Los usuarios inician sesión en el portal de AWS acceso, eligen un rol y Cuenta de AWS, a continuación, eligen el rol. Tras elegir el rol, pueden acceder a AWS los servicios mediante el Consola de administración de AWS o recuperar credenciales temporales para acceder a AWS los servicios mediante programación.

Para abrir las credenciales temporales Consola de administración de AWS o recuperarlas para acceder a ellas AWS mediante programación, los usuarios deben completar los pasos siguientes:

Para obtener una guía paso a paso que podrá facilitar a los usuarios de personal, consulte Configuración y uso del AWS portal de acceso y Obtener las credenciales de usuario del IAM Identity Center para AWS CLI o AWS SDK.

Aplicación y limitación del acceso

Al habilitar IAM Identity Center, este crea un rol vinculado a un servicio. También puede usar políticas de control de servicios (SCP).

Delegación y aplicación del acceso

Un rol vinculado a un servicio es un tipo de rol de IAM que está vinculado directamente a un servicio. AWS Tras habilitar el IAM Identity Center, IAM Identity Center puede crear un rol vinculado al servicio en cada miembro de la organización. Cuenta de AWS Esta función proporciona permisos predefinidos que permiten a IAM Identity Center delegar y hacer cumplir qué usuarios tienen acceso de inicio de sesión único a personas específicas de su organización. Cuentas de AWS AWS Organizations Para utilizar esta característica, debe asignar a uno o más usuarios el acceso a una cuenta. Para obtener más información, consulte Entender los roles vinculados a servicios en IAM Identity Center y Uso de roles vinculados a servicios para IAM Identity Center.

Límite de acceso al almacén de identidades desde las cuentas de los miembros

En el caso del servicio de almacén de identidades utilizado por IAM Identity Center, los usuarios que tienen acceso a una cuenta de miembro pueden utilizar acciones de la API que requieren permisos de lectura. Las cuentas de los miembros tienen acceso a las acciones de lectura en los espacios de nombres sso-directory e identitystore. Para obtener más información, consulte Acciones, recursos y claves de condición para el AWS IAM Identity Center directorio y Acciones, recursos y claves de condición para AWS Identity Store en la referencia de autorización del servicio.

Para evitar que los usuarios de las cuentas de los miembros utilicen las operaciones de la API en el almacén de identidades, puede asociar una política de control de servicio (SCP). Un SCP es un tipo de política de organización que puede utilizar para administrar permisos en su organización. El siguiente ejemplo de SCP impide que los usuarios de las cuentas de los miembros accedan a cualquier operación de la API del almacén de identidades.

        {
            "Sid": "ExplicitlyBlockIdentityStoreAccess",
            "Effect": "Deny",
            "Action": ["identitystore:*", "sso-directory:*"],
            "Resource": "*"
        }

Para obtener más información, consulte Políticas de control de servicios (SCP) en la Guía del usuario de AWS Organizations .