AWS Application Discovery Service ya no está abierto a nuevos clientes. Como alternativa, utilice AWS Transform uno que ofrezca capacidades similares. Para obtener más información, consulte [Cambio de disponibilidad de AWS Application Discovery Service](https://docs.aws.amazon.com/application-discovery/latest/userguide/application-discovery-service-availability-change.html).

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# AWS Application Discovery Service ejemplos de políticas basadas en la identidad
<a name="security_iam_id-based-policy-examples"></a>

De forma predeterminada, los usuarios y roles de IAM no tienen permiso para crear o modificar los recursos de Application Discovery Service. Tampoco pueden realizar tareas mediante la AWS API Consola de administración de AWS AWS CLI, o. Un administrador de IAM debe crear políticas de IAM que concedan permisos a los usuarios y a los roles para realizar operaciones de la API concretas en los recursos especificados que necesiten. El administrador debe adjuntar esas políticas a los usuarios o grupos de IAM que necesiten esos permisos.

Para obtener información acerca de cómo crear una política basada en identidad de IAM con estos documentos de políticas JSON de ejemplo, consulte [Creación de políticas en la pestaña JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) en la *Guía del usuario de IAM*.

**Topics**
+ [Prácticas recomendadas relativas a políticas](#security_iam_service-with-iam-policy-best-practices)
+ [Concesión de acceso completo a Application Discovery Service](#security_iam_id-based-policy-examples-ads-fullaccess)
+ [Otorgar acceso a los agentes de detección](#security_iam_id-based-policy-examples-ads-agentaccess)
+ [Otorgar permisos para la recopilación de datos de los agentes](#security_iam_id-based-policy-examples-ads-export-service)
+ [Otorgar permisos para la exploración de datos](#security_iam_id-based-policy-examples-ads-export-firehose)
+ [Conceder permisos para usar el diagrama de red de la consola de Migration Hub](#security_iam_id-based-policy-examples-network-connection-graph)

## Prácticas recomendadas relativas a políticas
<a name="security_iam_service-with-iam-policy-best-practices"></a>

Las políticas basadas en la identidad determinan si alguien puede crear, acceder o eliminar los recursos de Application Discovery Service de su cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:
+ **Comience con las políticas AWS administradas y opte por los permisos con privilegios mínimos: para empezar a conceder permisos** a sus usuarios y cargas de trabajo, utilice las *políticas AWS administradas* que otorgan permisos para muchos casos de uso comunes. Están disponibles en su. Cuenta de AWS Le recomendamos que reduzca aún más los permisos definiendo políticas administradas por el AWS cliente que sean específicas para sus casos de uso. Con el fin de obtener más información, consulte las [políticas administradas por AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) o las [políticas administradas por AWS para funciones de tarea](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) en la *Guía de usuario de IAM*.
+ **Aplique permisos de privilegio mínimo**: cuando establezca permisos con políticas de IAM, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como *permisos de privilegios mínimos*. Con el fin de obtener más información sobre el uso de IAM para aplicar permisos, consulte [Políticas y permisos en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) en la *Guía del usuario de IAM*.
+ **Utilice condiciones en las políticas de IAM para restringir aún más el acceso**: puede agregar una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de políticas para especificar que todas las solicitudes deben enviarse utilizando SSL. También puedes usar condiciones para conceder el acceso a las acciones del servicio si se utilizan a través de una acción específica Servicio de AWS, por ejemplo CloudFormation. Para obtener más información, consulte [Elementos de la política de JSON de IAM: Condición](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) en la *Guía del usuario de IAM*.
+ **Utiliza el analizador de acceso de IAM para validar las políticas de IAM con el fin de garantizar la seguridad y funcionalidad de los permisos**: el analizador de acceso de IAM valida políticas nuevas y existentes para que respeten el lenguaje (JSON) de las políticas de IAM y las prácticas recomendadas de IAM. El analizador de acceso de IAM proporciona más de 100 verificaciones de políticas y recomendaciones procesables para ayudar a crear políticas seguras y funcionales. Para más información, consulte [Validación de políticas con el Analizador de acceso de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) en la *Guía del usuario de IAM*.
+ **Requerir autenticación multifactor (MFA**): si tiene un escenario que requiere usuarios de IAM o un usuario raíz en Cuenta de AWS su cuenta, active la MFA para mayor seguridad. Para exigir la MFA cuando se invoquen las operaciones de la API, añada condiciones de MFA a sus políticas. Para más información, consulte [Acceso seguro a la API con MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) en la *Guía del usuario de IAM*.

Para obtener más información sobre las prácticas recomendadas de IAM, consulte [Prácticas recomendadas de seguridad en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) en la *Guía del usuario de IAM*.

## Concesión de acceso completo a Application Discovery Service
<a name="security_iam_id-based-policy-examples-ads-fullaccess"></a>

La política AWSApplication DiscoveryServiceFullAccess gestionada concede a la cuenta de usuario de IAM acceso a Application Discovery Service y a Migration Hub APIs. 

Un usuario de IAM con esta política asociada a su cuenta puede configurar Application Discovery Service, iniciar y detener agentes, iniciar y detener el descubrimiento sin agentes y consultar datos de la base de datos de AWS Discovery Service. Para obtener más información sobre esta política, consulte [AWS políticas gestionadas para AWS Application Discovery Service](security-iam-awsmanpol.md). 

**Example AWSApplicationDiscoveryServiceFullAccess política**    
****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "mgh:*",
                "discovery:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "iam:GetRole"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}
```

## Otorgar acceso a los agentes de detección
<a name="security_iam_id-based-policy-examples-ads-agentaccess"></a>

La política AWSApplication DiscoveryAgentAccess administrada otorga al Application Discovery Agent acceso para registrarse y comunicarse con Application Discovery Service. Para obtener más información sobre esta política, consulte [AWS políticas gestionadas para AWS Application Discovery Service](security-iam-awsmanpol.md).

Adjunte esta política a cualquier usuario cuyas credenciales utilice Application Discovery Agent. 

Esta política también concede acceso al usuario a Arsenal. Arsenal es un servicio de agente administrado y alojado por AWS. El Arsenal reenvía los datos a Application Discovery Service en la nube.

**Example AWSApplicationDiscoveryAgentAccess Política**    
****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "arsenal:RegisterOnPremisesAgent"
            ],
            "Resource": "*"
        }
    ]
}
```

## Otorgar permisos para la recopilación de datos de los agentes
<a name="security_iam_id-based-policy-examples-ads-export-service"></a>

La política ApplicationDiscoveryServiceContinuousExportServiceRolePolicy gestionada permite AWS Application Discovery Service crear transmisiones de Amazon Data Firehose para transformar y entregar los datos recopilados por los agentes de Application Discovery Service a un bucket de Amazon S3 de su AWS cuenta.

Además, esta política crea un catálogo de AWS Glue datos con una nueva base de datos denominada `application_discovery_service_database` y tablas de esquemas para mapear los datos recopilados por los agentes. 

Para obtener información sobre el uso de esta política, consulte [AWS políticas gestionadas para AWS Application Discovery Service](security-iam-awsmanpol.md).

**Example ApplicationDiscoveryServiceContinuousExportServiceRolePolicy**    
****  

```
{
   "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "glue:CreateDatabase",
                "glue:UpdateDatabase",
                "glue:CreateTable",
                "glue:UpdateTable",
                "firehose:CreateDeliveryStream",
                "firehose:DescribeDeliveryStream",
                "logs:CreateLogGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "firehose:DeleteDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:UpdateDestination"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:firehose:*:*:deliverystream/aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:PutBucketLogging",
                "s3:PutEncryptionConfiguration"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*"
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::aws-application-discovery-service*/*"
        },
        {
            "Action": [
                "logs:CreateLogStream",
                "logs:PutRetentionPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/service-role/AWSApplicationDiscoveryServiceFirehose",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "firehose.amazonaws.com"
                }
            }
        }
    ]        
}
```

## Otorgar permisos para la exploración de datos
<a name="security_iam_id-based-policy-examples-ads-export-firehose"></a>

La AWSDiscovery ContinuousExportFirehosePolicy política es obligatoria para utilizar la exploración de datos en Amazon Athena. Permite a Amazon Data Firehose escribir los datos recopilados desde Application Discovery Service en Amazon S3. Para obtener información sobre el uso de esta política, consulte [Crear el rol AWSApplication DiscoveryServiceFirehose](security-iam-awsmanpol.md#security-iam-awsmanpol-create-firehose-role). 

**Example AWSDiscoveryContinuousExportFirehosePolicy**    
****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetTableVersions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-application-discovery-service-*",
                "arn:aws:s3:::aws-application-discovery-service-*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/application-discovery-service/firehose:log-stream:*"
            ]
        }
    ]
}
```

## Conceder permisos para usar el diagrama de red de la consola de Migration Hub
<a name="security_iam_id-based-policy-examples-network-connection-graph"></a>

Para conceder acceso al diagrama de red de la AWS Migration Hub consola al crear una política basada en la identidad que permita o deniegue el acceso a Application Discovery Service o a Migration Hub, puede que tenga que añadir la `discovery:GetNetworkConnectionGraph` acción a la política.

Debe utilizar la `discovery:GetNetworkConnectionGraph` acción en las políticas nuevas o actualizar las políticas anteriores si se cumplen las dos condiciones siguientes para la política:
+ La política permite o deniega el acceso a Application Discovery Service o al Migration Hub.
+ La política otorga permisos de acceso mediante una acción de descubrimiento más específica, como `discovery:{{action-name}}` en lugar de hacerlo`discovery:*`.

En el siguiente ejemplo, se muestra cómo utilizar la `discovery:GetNetworkConnectionGraph` acción en una política de IAM.

**Example**    
****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["discovery:GetNetworkConnectionGraph"],
            "Resource": "*"
        }
    ]
}
```

Para obtener información sobre el diagrama de red de Migration Hub, consulte [Visualización de las conexiones de red en Migration Hub](https://docs.aws.amazon.com/migrationhub/latest/ug/network-diagram.html).