Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Seguridad en AWS Billing Conductor
La seguridad en la nube AWS es la máxima prioridad. Como AWS cliente, usted se beneficia de una arquitectura de centro de datos y red diseñada para cumplir con los requisitos de las organizaciones más sensibles a la seguridad.
La seguridad es una responsabilidad compartida entre usted AWS y usted. El [modelo de responsabilidad compartida](https://aws.amazon.com/compliance/shared-responsibility-model/) la describe como seguridad *de* la nube y seguridad *en* la nube:
+ **Seguridad de la nube**: AWS es responsable de proteger la infraestructura que ejecuta AWS los servicios en la AWS nube. AWS también le proporciona servicios que puede utilizar de forma segura. Los auditores externos prueban y verifican periódicamente la eficacia de nuestra seguridad como parte de los [AWS programas](https://aws.amazon.com/compliance/programs/) de de . Para obtener más información sobre los programas de cumplimiento que se aplican a AWS Billing Conductor, consulte [AWS Servicios incluidos](https://aws.amazon.com/compliance/services-in-scope/) .AWS
+ **Seguridad en la nube**: su responsabilidad viene determinada por el AWS servicio que utilice. También es responsable de otros factores, incluida la confidencialidad de los datos, los requisitos de la empresa y la legislación y la normativa aplicables.
Esta documentación le ayuda a entender cómo aplicar el modelo de responsabilidad compartida al utilizar AWS Billing Conductor. Los siguientes temas le muestran cómo configurar AWS Billing Conductor para cumplir sus objetivos de seguridad y cumplimiento. También aprenderá a utilizar otros AWS servicios que le ayudan a supervisar y proteger sus recursos de AWS Billing Conductor.
**Topics**
+ [Protección de datos en AWS Billing Conductor](data-protection.md)
+ [Administración de identidad y acceso para AWS Billing Conductor](security-iam.md)
+ [Registro y supervisión en AWS Billing Conductor](billing-security-logging.md)
+ [Validación de conformidad para AWS Billing Conductor](Billing-compliance.md)
+ [La resiliencia en la AWS facturación, Conductor](disaster-recovery-resiliency.md)
+ [Seguridad de la infraestructura en AWS Billing Conductor](infrastructure-security.md)
# Protección de datos en AWS Billing Conductor
El [modelo de ](https://aws.amazon.com/compliance/shared-responsibility-model/) se aplica a protección de datos en AWS Billing Conductor. Como se describe en este modelo, AWS es responsable de proteger la infraestructura global que ejecuta todos los Nube de AWS. Eres responsable de mantener el control sobre el contenido alojado en esta infraestructura. También eres responsable de las tareas de administración y configuración de seguridad para los Servicios de AWS que utiliza. Para obtener más información sobre la privacidad de los datos, consulte las [Preguntas frecuentes sobre la privacidad de datos](https://aws.amazon.com/compliance/data-privacy-faq/). Para obtener información sobre la protección de datos en Europa, consulte la publicación de blog sobre el [Modelo de responsabilidad compartida de AWS y GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) en el * Blog de seguridad de AWS *.
Con fines de protección de datos, le recomendamos que proteja Cuenta de AWS las credenciales y configure los usuarios individuales con AWS IAM Identity Center o AWS Identity and Access Management (IAM). De esta manera, solo se otorgan a cada usuario los permisos necesarios para cumplir sus obligaciones laborales. También recomendamos proteger sus datos de la siguiente manera:
+ Utiliza la autenticación multifactor (MFA) en cada cuenta.
+ Se utiliza SSL/TLS para comunicarse con AWS los recursos. Exigimos TLS 1.2 y recomendamos TLS 1.3.
+ Configure la API y el registro de actividad de los usuarios con AWS CloudTrail. Para obtener información sobre el uso de CloudTrail senderos para capturar AWS actividades, consulte [Cómo trabajar con CloudTrail senderos](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) en la *Guía del AWS CloudTrail usuario*.
+ Utilice soluciones de AWS cifrado, junto con todos los controles de seguridad predeterminados Servicios de AWS.
+ Utiliza servicios de seguridad administrados avanzados, como Amazon Macie, que lo ayuden a detectar y proteger la información confidencial almacenada en Amazon S3.
+ Si necesita módulos criptográficos validados por FIPS 140-3 para acceder a AWS través de una interfaz de línea de comandos o una API, utilice un punto final FIPS. Para obtener más información sobre los puntos de conexión de FIPS disponibles, consulte [Estándar de procesamiento de la información federal (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
Se recomienda encarecidamente no introducir nunca información confidencial o sensible, como por ejemplo, direcciones de correo electrónico de clientes, en etiquetas o campos de formato libre, tales como el campo **Nombre**. Esto incluye cuando trabaja con AWS Billing Conductor u otra persona Servicios de AWS mediante la consola, la API o. AWS CLI AWS SDKs Cualquier dato que introduzca en etiquetas o campos de formato libre utilizados para los nombres se pueden emplear para los registros de facturación o diagnóstico. Si proporciona una URL a un servidor externo, recomendamos encarecidamente que no incluya información de credenciales en la URL a fin de validar la solicitud para ese servidor.
# Administración de identidad y acceso para AWS Billing Conductor
AWS Identity and Access Management (IAM) es una herramienta Servicio de AWS que ayuda al administrador a controlar de forma segura el acceso a AWS los recursos. Los administradores de IAM controlan quién se puede *autenticar* (iniciar sesión) y recibir *autorización* (tener permisos) para utilizar Billing Conductor. La IAM es una Servicio de AWS herramienta que puede utilizar sin coste adicional.
**Topics**
+ [Público](#security_iam_audience)
+ [Autenticación con identidades](#security_iam_authentication)
+ [Administración del acceso con políticas](#security_iam_access-manage)
+ [¿Cómo AWS Billing Conductor funciona con IAM](security_iam_service-with-iam.md)
+ [AWS Billing Conductor ejemplos de políticas basadas en la identidad](security_iam_id-based-policy-examples.md)
## Público
La forma de usar AWS Identity and Access Management (IAM) varía según la función que desempeñes:
+ **Usuario del servicio:** solicite permisos al administrador si no puede acceder a las características (consulte [Solución de problemas de AWS Billing Conductor identidad y acceso](security_iam_troubleshoot.md)).
+ **Administrador del servicio:** determine el acceso de los usuarios y envíe las solicitudes de permiso (consulte [¿Cómo AWS Billing Conductor funciona con IAM](security_iam_service-with-iam.md)).
+ **Administrador de IAM**: escribe las políticas para administrar el acceso (consulte [AWS Billing Conductor ejemplos de políticas basadas en la identidad](security_iam_id-based-policy-examples.md)).
## Autenticación con identidades
La autenticación es la forma en que inicias sesión AWS con tus credenciales de identidad. Debe autenticarse como usuario de Usuario raíz de la cuenta de AWS IAM o asumir una función de IAM.
Puede iniciar sesión como una identidad federada con las credenciales de una fuente de identidad, como AWS IAM Identity Center (IAM Identity Center), la autenticación de inicio de sesión único o las credenciales. Google/Facebook Para obtener más información sobre el inicio de sesión, consulte [Cómo iniciar sesión en la Cuenta de AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) en la *Guía del usuario de AWS Sign-In *.
Para el acceso programático, AWS proporciona un SDK y una CLI para firmar criptográficamente las solicitudes. Para obtener más información, consulte [AWS Signature Version 4 para solicitudes de API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) en la *Guía del usuario de IAM*.
### Usuario raíz de la cuenta de AWS
Al crear una Cuenta de AWS, se comienza con una identidad de inicio de sesión denominada *usuario Cuenta de AWS raíz*, que tiene acceso completo a todos los Servicios de AWS recursos. Se recomiendaencarecidamente que no utilice el usuario raíz para las tareas diarias. Para ver la lista completa de las tareas que requieren credenciales de usuario raíz, consulte [Tareas que requieren credenciales de usuario raíz](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) en la *Guía del usuario de IAM*.
### Usuarios y grupos de IAM
Un *[usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* es una identidad con permisos específicos para una sola persona o aplicación. Recomendamos el uso de credenciales temporales en lugar de usuarios de IAM con credenciales de larga duración. Para obtener más información, consulte [Exigir a los usuarios humanos que utilicen la federación con un proveedor de identidad para acceder AWS mediante credenciales temporales](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) en la Guía del *usuario de IAM*.
Un [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) especifica un conjunto de usuarios de IAM y facilita la administración de los permisos para grupos grandes de usuarios. Para obtener más información, consulte [Casos de uso para usuarios de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) en la *Guía del usuario de IAM*.
### Roles de IAM
Un *[Rol de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* es una identidad con permisos específicos que proporciona credenciales temporales. Puede asumir un rol [cambiando de un rol de usuario a uno de IAM (consola)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) o llamando a una AWS CLI operación de AWS API. Para obtener más información, consulte [Métodos para asumir un rol](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) en la *Guía del usuario de IAM*.
Los roles de IAM son útiles para el acceso de usuario federado, los permisos de usuario de IAM temporales, el acceso entre cuentas, el acceso entre servicios y las aplicaciones que se ejecutan en Amazon EC2. Para obtener más información, consulte [Acceso a recursos entre cuentas en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) en la *Guía del usuario de IAM*.
## Administración del acceso con políticas
AWS Para controlar el acceso, puede crear políticas y adjuntarlas a AWS identidades o recursos. Una política define los permisos cuando están asociados a una identidad o un recurso. AWS evalúa estas políticas cuando un director hace una solicitud. La mayoría de las políticas se almacenan AWS como documentos JSON. Para obtener más información sobre los documentos de políticas de JSON, consulte [Información general de políticas de JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) en la *Guía del usuario de IAM*.
Mediante las políticas, los administradores especifican quién tiene acceso a qué, definiendo qué **entidad principal** puede realizar **acciones** sobre qué **recursos** y en qué **condiciones**.
De forma predeterminada, los usuarios y los roles no tienen permisos. Un administrador de IAM crea políticas de IAM y las agrega a roles, que los usuarios pueden asumir posteriormente. Las políticas de IAM definen permisos independientemente del método que se utilice para realizar la operación.
### Políticas basadas en identidades
Las políticas basadas en identidad son documentos de política de permisos JSON que asocia a una identidad (usuario, grupo o rol). Estas políticas controlan qué acciones pueden realizar las identidades, en qué recursos y en qué condiciones. Para obtener más información sobre cómo crear una política basada en la identidad, consulte [Definición de permisos de IAM personalizados con políticas administradas por el cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) en la *Guía del usuario de IAM*.
Las políticas basadas en identidad pueden ser *políticas insertadas* (incrustadas directamente en una sola identidad) o *políticas administradas* (políticas independientes asociadas a varias identidades). Para obtener información sobre cómo elegir entre políticas administradas e insertadas, consulte [Selección entre políticas administradas y políticas insertadas](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) en la *Guía del usuario de IAM*.
### Políticas basadas en recursos
Las políticas basadas en recursos son documentos de políticas JSON que se asocian a un recurso. Los ejemplos incluyen las *Políticas de confianza de roles* de IAM y las *Políticas de bucket* de Amazon S3. En los servicios que admiten políticas basadas en recursos, los administradores de servicios pueden utilizarlos para controlar el acceso a un recurso específico. Debe [especificar una entidad principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) en una política basada en recursos.
Las políticas basadas en recursos son políticas insertadas que se encuentran en ese servicio. No puedes usar políticas AWS gestionadas de IAM en una política basada en recursos.
### Listas de control de acceso () ACLs
Las listas de control de acceso (ACLs) controlan qué responsables (miembros de la cuenta, usuarios o roles) tienen permisos para acceder a un recurso. ACLs son similares a las políticas basadas en recursos, aunque no utilizan el formato de documento de políticas JSON.
Amazon S3 y Amazon VPC son ejemplos de servicios compatibles. AWS WAF ACLs Para obtener más información ACLs, consulte la [descripción general de la lista de control de acceso (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) en la *Guía para desarrolladores de Amazon Simple Storage Service*.
### Otros tipos de políticas
AWS admite tipos de políticas adicionales que pueden establecer los permisos máximos otorgados por los tipos de políticas más comunes:
+ **Límites de permisos:** establecen los permisos máximos que una política basada en identidad puede conceder a una entidad de IAM. Para obtener más información, consulte [Límites de permisos para las entidades de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) en la *Guía del usuario de IAM*.
+ **Políticas de control de servicios (SCPs)**: especifican los permisos máximos para una organización o unidad organizativa en AWS Organizations. Para obtener más información, consulte [Políticas de control de servicios](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) en la *Guía del usuario de AWS Organizations *.
+ **Políticas de control de recursos (RCPs)**: establece los permisos máximos disponibles para los recursos de tus cuentas. Para obtener más información, consulte [Políticas de control de recursos (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) en la *Guía del AWS Organizations usuario*.
+ **Políticas de sesión:** políticas avanzadas que se pasan como parámetro cuando se crea una sesión temporal para un rol o un usuario federado. Para obtener más información, consulte [Políticas de sesión](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) en la *Guía del usuario de IAM*.
### Varios tipos de políticas
Cuando se aplican varios tipos de políticas a una solicitud, los permisos resultantes son más complicados de entender. Para saber cómo se AWS determina si se debe permitir una solicitud cuando se trata de varios tipos de políticas, consulte la [lógica de evaluación de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) en la *Guía del usuario de IAM*.
# ¿Cómo AWS Billing Conductor funciona con IAM
Antes de utilizar IAM para administrar el acceso a Billing Conductor, debe comprender qué características de IAM están disponibles para su uso con Billing Conductor. Para obtener una visión general de cómo funcionan Billing Conductor y otros AWS servicios con IAM, consulte [AWS Servicios que funcionan con IAM en la Guía del usuario de *IAM*](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
**Topics**
+ [Políticas basadas en identidades de Billing Conductor](#security_iam_service-with-iam-id-based-policies)
+ [Políticas basadas en recursos de Billing Conductor](#security_iam_service-with-iam-resource-based-policies)
+ [Listas de control de acceso () ACLs](#security_iam_service-with-iam-acls)
+ [Autorización basada en etiquetas de Billing Conductor](#security_iam_service-with-iam-tags)
+ [Roles de IAM de Billing Conductor](#security_iam_service-with-iam-roles)
## Políticas basadas en identidades de Billing Conductor
Con las políticas basadas en identidades de IAM, puede especificar las acciones y los recursos permitidos o denegados, así como las condiciones en las que se permiten o deniegan las acciones. Billing Conductor admite acciones, claves de condiciones y recursos específicos. Para obtener información sobre todos los elementos que utiliza en una política JSON, consulte [Referencia de los elementos de las políticas JSON de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) en la *Guía del usuario de IAM*.
### Acciones
Los administradores pueden usar las políticas de AWS JSON para especificar quién tiene acceso a qué. Es decir, qué **entidad principal** puede realizar **acciones** en qué **recursos** y en qué **condiciones**.
El elemento `Action` de una política JSON describe las acciones que puede utilizar para conceder o denegar el acceso en una política. Incluya acciones en una política para conceder permisos y así llevar a cabo la operación asociada.
Las acciones de políticas de Billing Conductor utilizan el siguiente prefijo antes de la acción: `Billing Conductor:`. Por ejemplo, para conceder a alguien permiso para ejecutar una instancia de Amazon EC2 con la operación `RunInstances` de la API de Amazon EC2, debe incluir la acción `ec2:RunInstances` en la política. Las instrucciones de la política deben incluir un elemento `Action` o un elemento `NotAction`. Billing Conductor define su propio conjunto de acciones que describen las tareas que se pueden realizar con este servicio.
Para especificar varias acciones en una única instrucción, sepárelas con comas del siguiente modo:
```
"Action": [
"ec2:action1",
"ec2:action2"
```
Puede utilizar caracteres comodín para especificar varias acciones (\$1). Por ejemplo, para especificar todas las acciones que comiencen con la palabra `Describe`, incluya la siguiente acción:
```
"Action": "ec2:Describe*"
```
Para ver una lista de las acciones del responsable de facturación, consulte [las acciones definidas por el responsable AWS de facturación](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions) en la *guía del usuario de IAM*.
### Recursos
Los administradores pueden usar las políticas de AWS JSON para especificar quién tiene acceso a qué. Es decir, qué **entidad principal** puede realizar **acciones** en qué **recursos** y en qué **condiciones**.
El elemento `Resource` de la política JSON especifica el objeto u objetos a los que se aplica la acción. Como práctica recomendada, especifique un recurso utilizando el [Nombre de recurso de Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). En el caso de las acciones que no admiten permisos por recurso, utilice un carácter comodín (\$1) para indicar que la instrucción se aplica a todos los recursos.
```
"Resource": "*"
```
El recurso de instancia de Amazon EC2 tiene el siguiente ARN:
```
arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId}
```
Para obtener más información sobre el formato de ARNs, consulte [Amazon Resource Names (ARNs) y AWS Service Namespaces](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html).
Por ejemplo, para especificar la instancia de `i-1234567890abcdef0` en su instrucción, utilice el siguiente ARN:
```
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/i-1234567890abcdef0"
```
Para especificar todas las instancias que pertenecen a una cuenta específica, utilice el carácter comodín (\$1):
```
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*"
```
Algunas acciones de Billing Conductor, como las empleadas para la creación de recursos, no se pueden llevar a cabo en un recurso específico. En dichos casos, debe utilizar el carácter comodín (\$1).
```
"Resource": "*"
```
En muchas acciones de la API de Amazon EC2 se utilizan varios recursos. Por ejemplo, `AttachVolume` asocia un volumen de Amazon EBS a una instancia, por lo que un usuario de IAM debe tener permisos para utilizar el volumen y la instancia. Para especificar varios recursos en una sola sentencia, sepárelos ARNs con comas.
```
"Resource": [
"resource1",
"resource2"
```
Para ver una lista de los tipos de recursos de Billing Conductor y sus correspondientes ARNs, consulte [los recursos definidos por AWS Billing Conductor](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-resources-for-iam-policies) en la Guía del *usuario de IAM*. Para saber con qué acciones puede especificar el ARN de cada recurso, consulte [Acciones definidas por el conductor de AWS facturación](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions).
### Claves de condición
Los administradores pueden usar las políticas de AWS JSON para especificar quién tiene acceso a qué. Es decir, qué **entidad principal** puede realizar **acciones** en qué **recursos** y en qué **condiciones**.
El elemento `Condition` especifica cuándo se ejecutan las instrucciones en función de criterios definidos. Puede crear expresiones condicionales que utilizan [operadores de condición](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), tales como igual o menor que, para que la condición de la política coincida con los valores de la solicitud. Para ver todas las claves de condición AWS globales, consulte las claves de [contexto de condición AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) en la *Guía del usuario de IAM*.
Billing Conductor define su propio conjunto de claves de condición y también admite el uso de algunas claves de condición globales. Para ver todas las claves de condición AWS globales, consulte las claves de [contexto de condición AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) en la Guía del *usuario de IAM*.
Todas las acciones de Amazon EC2 admiten las claves de condición `aws:RequestedRegion` y `ec2:Region`. Para obtener más información, consulte [Ejemplo: restricción del acceso a una región específica](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ExamplePolicies_EC2.html#iam-example-region).
Para ver una lista de las claves de condición de Billing Conductor, consulte las [claves de condición de AWS Billing Conductor](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-policy-keys) en la Guía del *usuario de IAM*. Para saber con qué acciones y recursos puede utilizar una clave de condición, consulte [Acciones definidas por el director AWS de facturación](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions).
### Ejemplos
Para ver ejemplos de políticas basadas en identidad de Billing Conductor, consulte [AWS Billing Conductor ejemplos de políticas basadas en la identidad](security_iam_id-based-policy-examples.md).
## Políticas basadas en recursos de Billing Conductor
Las políticas basadas en recursos son documentos de política JSON que especifican qué acciones puede realizar una entidad principal especificada en el recurso de Billing Conductor y en qué condiciones. Amazon S3 admite políticas de permisos basadas en recursos para Amazon S3. *buckets* Las políticas basadas en recursos le permiten otorgar permiso de uso a otras cuentas por recurso. También puede usar una política basada en recursos para permitir que un AWS servicio acceda a su Amazon S3. *buckets*
Para habilitar el acceso entre cuentas, puede especificar toda una cuenta o entidades de IAM de otra cuenta como la [entidad principal de una política basada en recursos](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Añadir a una política en función de recursos una entidad principal entre cuentas es solo una parte del establecimiento de una relación de confianza. Si el principal y el recurso están en AWS cuentas diferentes, también debe conceder permiso a la entidad principal para acceder al recurso. Conceda permiso asociando a la entidad una política basada en identidades. Sin embargo, si la política basada en recursos concede el acceso a una entidad principal de la misma cuenta, no es necesaria una política basada en identidad adicional. Para obtener más información, consulte [Cómo los roles de IAM difieren de las políticas basadas en recursos](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html) en la *Guía del usuario de IAM*.
El servicio Amazon S3 solo admite un tipo de política basada en recursos denominada **bucket*política*, que se adjunta a. *bucket* Esta política define qué entidades principales (cuentas, usuarios, roles y usuarios federados) pueden realizar acciones en el. *Billing Conductor*
### Ejemplos
Para ver ejemplos de políticas basadas en los recursos de Billing Conductor, consulte [AWS Billing Conductor ejemplos de políticas basadas en recursos](security_iam_resource-based-policy-examples.md).
## Listas de control de acceso () ACLs
Las listas de control de acceso (ACLs) son listas de beneficiarios que se pueden adjuntar a los recursos. Conceden a las cuentas permisos de acceso al recurso al que están adjuntadas. Puede adjuntarlo ACLs a un *bucket* recurso de Amazon S3.
Con las listas de control de acceso de Amazon S3 (ACLs), puede gestionar el acceso a *bucket* los recursos. Cada una *bucket* tiene una ACL adjunta como subrecurso. Define a qué AWS cuentas, usuarios o grupos de usuarios de IAM o funciones de IAM se les concede acceso y el tipo de acceso. Cuando se recibe una solicitud de un recurso, AWS comprueba la ACL correspondiente para comprobar que el solicitante tiene los permisos de acceso necesarios.
Al crear un *bucket* recurso, Amazon S3 crea una ACL predeterminada que otorga al propietario del recurso el control total sobre el recurso. En el siguiente ejemplo de *bucket* ACL, John Doe aparece como propietario de la ACL *bucket* y se le concede el control total sobre la misma*bucket*. Una ACL puede tener hasta 100 beneficiarios.
```
c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6
john-doe
c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6
john-doe
FULL_CONTROL
```
El campo ID de la ACL es el ID de usuario canónico de la AWS cuenta. Para obtener información sobre cómo ver este identificador en una cuenta de tu propiedad, consulta Cómo [encontrar un seudónimo canónico de una AWS cuenta](https://docs.aws.amazon.com/general/latest/gr/acct-identifiers.html#FindingCanonicalId).
## Autorización basada en etiquetas de Billing Conductor
Puede adjuntar etiquetas a los recursos de Billing Conductor o transferirlas en una solicitud a Billing Conductor. Para controlar el acceso en función de etiquetas, debe proporcionar información de las etiquetas en el [elemento de condición](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) de una política utilizando las claves de condición `Billing Conductor:ResourceTag/key-name`, `aws:RequestTag/key-name` o `aws:TagKeys`.
## Roles de IAM de Billing Conductor
Un [rol de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) es una entidad de tu AWS cuenta que tiene permisos específicos.
### Uso de credenciales temporales con Billing Conductor
Puede utilizar credenciales temporales para iniciar sesión con federación, asumir un rol de IAM o asumir un rol de acceso entre cuentas. Para obtener credenciales de seguridad temporales, puede llamar a operaciones de AWS STS API como [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)o [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html).
Billing Conductor admite el uso de credenciales temporales.
### Roles vinculados a servicios
Los [roles vinculados a un servicio](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) permiten a AWS los servicios acceder a los recursos de otros servicios para completar una acción en tu nombre. Los roles vinculados a servicios aparecen en la cuenta de IAM y son propiedad del servicio. Un administrador de IAM puede ver, pero no editar, los permisos de los roles vinculados a servicios.
### Roles de servicio
Esta característica permite que un servicio asuma un [rol de servicio](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) en su nombre. Este rol permite que el servicio obtenga acceso a los recursos de otros servicios para completar una acción en su nombre. Los roles de servicio aparecen en su cuenta de IAM y son propiedad de la cuenta. Esto significa que un administrador de IAM puede cambiar los permisos de este rol. Sin embargo, hacerlo podría deteriorar la funcionalidad del servicio.
Billing Conductor admite roles de servicio.
### Elección de un rol de IAM en Billing Conductor
Cuando se crea un recurso en Billing Conductor, debe elegir un rol para permitir el acceso de Billing Conductor a Amazon EC2 en su nombre. Si ha creado previamente un rol de servicio o un rol vinculado a servicios, Billing Conductor le proporciona una lista de roles para elegir. Es importante seleccionar un rol que permita el acceso para iniciar y detener instancias de Amazon EC2.
# AWS Billing Conductor ejemplos de políticas basadas en la identidad
De forma predeterminada, los usuarios y los roles de IAM no tienen permiso para crear o modificar los recursos de Billing Conductor. Tampoco pueden realizar tareas con la API Consola de administración de AWS AWS CLI, o AWS . Un administrador de IAM debe crear políticas de IAM que concedan permisos a los usuarios y a los roles para realizar operaciones de la API concretas en los recursos especificados que necesiten. El administrador debe adjuntar esas políticas a los usuarios o grupos de IAM que necesiten esos permisos.
Para obtener información acerca de cómo crear una política basada en identidad de IAM con estos documentos de políticas JSON de ejemplo, consulte [Creación de políticas en la pestaña JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) en la *Guía del usuario de IAM*.
**Topics**
+ [Prácticas recomendadas relativas a políticas](#security_iam_service-with-iam-policy-best-practices)
+ [Ejemplos de políticas basadas en identidades de Billing Conductor](#security_policy-examples)
+ [AWS políticas gestionadas para Billing Conductor AWS](security-iam-awsmanpol.md)
+ [AWS Billing Conductor ejemplos de políticas basadas en recursos](security_iam_resource-based-policy-examples.md)
+ [Solución de problemas de AWS Billing Conductor identidad y acceso](security_iam_troubleshoot.md)
## Prácticas recomendadas relativas a políticas
Las políticas basadas en identidades determinan si alguien puede crear, acceder o eliminar los recursos de Billing Conductor de la cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:
+ **Comience con las políticas AWS administradas y avance hacia los permisos con privilegios mínimos**: para empezar a conceder permisos a sus usuarios y cargas de trabajo, utilice las *políticas AWS administradas* que otorgan permisos en muchos casos de uso comunes. Están disponibles en su. Cuenta de AWS Le recomendamos que reduzca aún más los permisos definiendo políticas administradas por el AWS cliente que sean específicas para sus casos de uso. Con el fin de obtener más información, consulte las [políticas administradas por AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) o las [políticas administradas por AWS para funciones de tarea](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) en la *Guía de usuario de IAM*.
+ **Aplique permisos de privilegio mínimo**: cuando establezca permisos con políticas de IAM, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como *permisos de privilegios mínimos*. Con el fin de obtener más información sobre el uso de IAM para aplicar permisos, consulte [Políticas y permisos en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) en la *Guía del usuario de IAM*.
+ **Utilice condiciones en las políticas de IAM para restringir aún más el acceso**: puede agregar una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de políticas para especificar que todas las solicitudes deben enviarse utilizando SSL. También puedes usar condiciones para conceder el acceso a las acciones del servicio si se utilizan a través de una acción específica Servicio de AWS, por ejemplo CloudFormation. Para obtener más información, consulte [Elementos de la política de JSON de IAM: Condición](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) en la *Guía del usuario de IAM*.
+ **Utiliza el analizador de acceso de IAM para validar las políticas de IAM con el fin de garantizar la seguridad y funcionalidad de los permisos**: el analizador de acceso de IAM valida políticas nuevas y existentes para que respeten el lenguaje (JSON) de las políticas de IAM y las prácticas recomendadas de IAM. El analizador de acceso de IAM proporciona más de 100 verificaciones de políticas y recomendaciones procesables para ayudar a crear políticas seguras y funcionales. Para más información, consulte [Validación de políticas con el Analizador de acceso de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) en la *Guía del usuario de IAM*.
+ **Requerir autenticación multifactor (MFA**): si tiene un escenario que requiere usuarios de IAM o un usuario raíz en Cuenta de AWS su cuenta, active la MFA para mayor seguridad. Para exigir la MFA cuando se invoquen las operaciones de la API, añada condiciones de MFA a sus políticas. Para más información, consulte [Acceso seguro a la API con MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) en la *Guía del usuario de IAM*.
Para obtener más información sobre las prácticas recomendadas de IAM, consulte [Prácticas recomendadas de seguridad en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) en la *Guía del usuario de IAM*.
## Ejemplos de políticas basadas en identidades de Billing Conductor
Este tema contiene políticas de ejemplo que puede adjuntar a un usuario o grupo de IAM para controlar el acceso a la información y herramientas de su cuenta.
**Topics**
+ [Concesión de acceso total a la consola de Billing Conductor](#security_iam_id-based-policy-examples-console)
+ [Concesión de acceso total a la API de Billing Conductor](#security_iam_id-based-policy-examples-fullAPI)
+ [Concesión de acceso de solo lectura a la consola de Billing Conductor](#security_iam_id-based-policy-examples-readonly)
+ [Concesión de acceso a Billing Conductor a través de la consola de facturación](#security_iam_id-based-policy-examples-ABCthroughbilling)
+ [Otorgar a Billing Conductor acceso a través de los informes AWS de costos y uso](#security_iam_id-based-policy-examples-ABCthroughCUR)
+ [Concesión de acceso a la característica de importación de unidades organizativas a Billing Conductor](#security_iam_id-based-policy-examples-ABCaccessOU)
+ [Denegar a Billing y Cost Explorer el acceso a servicios y funciones que no admiten costos pro forma](#deny-access-proforma-costs)
+ [Creación de un CUR pro forma por grupo de facturación](#allow-legacy-cur)
### Concesión de acceso total a la consola de Billing Conductor
Para obtener acceso a la consola de Billing Conductor, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle registrar y consultar los detalles acerca de los recursos de Billing Conductor en su Cuenta de AWS. Si crea una política basada en identidad que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles de IAM) que tengan esa política.
Para garantizar que esas entidades puedan seguir utilizando la consola de Billing Conductor, adjunte también la siguiente política AWS gestionada a las entidades. Para obtener más información, consulte [Agregar permisos a un usuario](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) en la *Guía del usuario de IAM*:
Además de los permisos de `billingconductor:*`, `pricing:DescribeServices` es necesario para crear reglas de precios y `organizations:ListAccounts` para enumerar las cuentas vinculadas que están vinculadas a la cuenta del pagador.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "billingconductor:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"organizations:ListAccounts",
"organizations:DescribeAccount"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "pricing:DescribeServices",
"Resource": "*"
}
]
}
```
------
No es necesario conceder permisos mínimos de consola a los usuarios que solo realizan llamadas a la API AWS CLI o a la AWS API. En su lugar, permite acceso únicamente a las acciones que coincidan con la operación de API que intenta realizar.
### Concesión de acceso total a la API de Billing Conductor
En este ejemplo, concede a una entidad de IAM acceso total a la API de Billing Conductor.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "billingconductor:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "organizations:ListAccounts",
"Resource": "*"
}
]
}
```
------
### Concesión de acceso de solo lectura a la consola de Billing Conductor
En este ejemplo, concede a una entidad de IAM acceso de solo lectura a la consola de Billing Conductor.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "billingconductor:List*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "organizations:ListAccounts",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "pricing:DescribeServices",
"Resource": "*"
}
]
}
```
------
### Concesión de acceso a Billing Conductor a través de la consola de facturación
En este ejemplo, las entidades de IAM pueden cambiar y ver los datos de facturación proforma en la página de facturas de su consola de facturación.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"billing:ListBillingViews",
"aws-portal:ViewBilling"
],
"Resource": "*"
}
]
}
```
------
### Otorgar a Billing Conductor acceso a través de los informes AWS de costos y uso
En este ejemplo, las entidades de IAM pueden cambiar y ver los datos de facturación proforma a través de la página de informes de costes y uso de su consola de facturación.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"billing:ListBillingViews",
"aws-portal:ViewBilling",
"cur:DescribeReportDefinitions"
],
"Resource": "*"
}
]
}
```
------
### Concesión de acceso a la característica de importación de unidades organizativas a Billing Conductor
En este ejemplo, las entidades de IAM tienen acceso de solo lectura a las operaciones de AWS Organizations API específicas que se requieren para importar las cuentas de las unidades organizativas (OU) al crear un grupo de facturación. La función de importación de unidades organizativas se encuentra en la consola de AWS Billing Conductor.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"organizations:ListRoots",
"organizations:ListOrganizationalUnitsForParent",
"organizations:ListChildren"
],
"Resource": "*"
}
]
}
```
------
### Denegar a Billing y Cost Explorer el acceso a servicios y funciones que no admiten costos pro forma
En este ejemplo, a las entidades de IAM se les niega el acceso a los servicios y funciones que no soportan los costes proforma. Esta política incluye una lista de las acciones que se pueden realizar en la cuenta de administración y en las cuentas individuales de los miembros.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Deny",
"Action": [
"aws-portal:ModifyAccount",
"aws-portal:ModifyBilling",
"aws-portal:ModifyPaymentMethods",
"aws-portal:ViewPaymentMethods",
"aws-portal:ViewAccount",
"cur:GetClassic*",
"cur:Validate*",
"tax:List*",
"tax:Get*",
"tax:Put*",
"tax:ListTaxRegistrations",
"tax:BatchPut*",
"tax:UpdateExemptions",
"freetier:Get*",
"payments:Get*",
"payments:List*",
"payments:Update*",
"payments:GetPaymentInstrument",
"payments:GetPaymentStatus",
"purchase-orders:ListPurchaseOrders",
"purchase-orders:ListPurchaseOrderInvoices",
"consolidatedbilling:GetAccountBillingRole",
"consolidatedbilling:Get*",
"consolidatedbilling:List*",
"invoicing:List*",
"invoicing:Get*",
"account:Get*",
"account:List*",
"account:CloseAccount",
"account:DisableRegion",
"account:EnableRegion",
"account:GetContactInformation",
"account:GetAccountInformation",
"account:PutContactInformation",
"billing:GetBillingPreferences",
"billing:GetContractInformation",
"billing:GetCredits",
"billing:RedeemCredits",
"billing:Update*",
"ce:GetPreferences",
"ce:UpdatePreferences",
"ce:GetReservationCoverage",
"ce:GetReservationPurchaseRecommendation",
"ce:GetReservationUtilization",
"ce:GetSavingsPlansCoverage",
"ce:GetSavingsPlansPurchaseRecommendation",
"ce:GetSavingsPlansUtilization",
"ce:GetSavingsPlansUtilizationDetails",
"ce:ListSavingsPlansPurchaseRecommendationGeneration",
"ce:StartSavingsPlansPurchaseRecommendationGeneration",
"ce:UpdateNotificationSubscription"
],
"Resource": "*"
}]
}
```
------
Para obtener más información, consulte [Servicios de AWS que admiten la facturación basada en un formato profesional, visualice los costos](service-integrations-support-proforma.md).
### Creación de un CUR pro forma por grupo de facturación
Paso 1: Permita que los usuarios de IAM tengan acceso completo a la vista de facturación antigua de CUR y de grupos de facturación.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CurDataAccess",
"Effect": "Allow",
"Action": "cur:PutReportDefinition",
"Resource": [
"arn:*:cur:*:*:definition/*",
"arn:aws:billing::*:billingview/*"
]
}
]
}
```
Paso 2: Para asignar funciones de IAM para que tengan acceso a grupos de facturación específicos, añada el ARN de la vista de facturación al que pueda acceder el usuario.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CurDataAccess",
"Effect": "Allow",
"Action": "cur:PutReportDefinition",
"Resource":[
"arn:aws:cur:us-east-1:123456789012:definition/*",
"arn:aws:billing::AWS-account-ID:billingview/billing-group-$billinggroup-primary-account-ID"
]
}
]
}
```
Para obtener más información, consulte [Configuración de informes de costo y uso por grupo de facturación](configuring-abc.md).
# AWS políticas gestionadas para Billing Conductor AWS
Para añadir permisos a usuarios, grupos y roles, es más fácil usar políticas AWS administradas que escribirlas tú mismo. Se necesita tiempo y experiencia para [crear políticas administradas por el cliente de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) que proporcionen a su equipo solo los permisos necesarios. Para empezar rápidamente, puedes usar nuestras políticas AWS gestionadas. Estas políticas cubren casos de uso comunes y están disponibles en su Cuenta de AWS. Para obtener más información sobre las políticas AWS administradas, consulte las [políticas AWS administradas](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) en la *Guía del usuario de IAM*.
AWS los servicios mantienen y AWS actualizan las políticas gestionadas. No puede cambiar los permisos en las políticas AWS gestionadas. En ocasiones, los servicios agregan permisos adicionales a una política administrada de AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política administrada de AWS cuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no eliminan los permisos de una política AWS administrada, por lo que las actualizaciones de la política no afectarán a los permisos existentes.
Además, AWS admite políticas administradas para funciones laborales que abarcan varios servicios. Por ejemplo, la política **ReadOnlyAccess** AWS gestionada proporciona acceso de solo lectura a todos los AWS servicios y recursos. Cuando un servicio lanza una nueva función, AWS agrega permisos de solo lectura para nuevas operaciones y recursos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte [Políticas administradas de AWS para funciones de trabajo](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) en la *Guía del usuario de IAM*.
## AWS política gestionada: AWSBilling ConductorFullAccess
La política AWSBilling ConductorFullAccess gestionada otorga acceso completo a la consola AWS de Billing Conductor y APIs. Los usuarios pueden enumerar, crear y eliminar los recursos AWS de Billing Conductor.
Para ver los permisos de esta política, consulte [AWSBillingConductorFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBillingConductorFullAccess.html) en la *Referencia de la política administrada de AWS *.
## AWS política gestionada: AWSBilling ConductorReadOnlyAccess
La política AWSBilling ConductorReadOnlyAccess gestionada otorga acceso de solo lectura a la consola de AWS Billing Conductor y. APIs Los usuarios pueden ver y enumerar todos los recursos de AWS Billing Conductor. Estos usuarios no pueden crear, actualizar ni eliminar recursos.
Para ver los permisos de esta política, consulte [AWSBillingConductorReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBillingConductorReadOnlyAccess.html) en la *Referencia de la política administrada de AWS *.
## AWS Billing Conductor actualiza las políticas AWS gestionadas
Consulta los detalles sobre las actualizaciones de las políticas AWS gestionadas de AWS Billing Conductor desde que este servicio comenzó a rastrear estos cambios. Para recibir alertas automáticas sobre los cambios en esta página, suscríbase a la fuente RSS de la página del historial de documentos de AWS Billing Conductor.
| Cambio | Descripción | Fecha |
| --- | --- | --- |
| [AWSBillingConductorFullAccess](#security-iam-awsmanpol-fullaccess)- Actualización de las políticas existentes | Hemos añadido las `organizations:ListInboundResponsibilityTransfers` acciones `organizations:DescribeResponsibilityTransfer` y a la `AWSBillingConductorFullAccess` política. | 19 de noviembre de 2025 |
| [AWSBillingConductorFullAccess](#security-iam-awsmanpol-fullaccess)- Actualización de las políticas existentes | Hemos añadido las siguientes acciones a la `AWSBillingConductorFullAccess` política: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/billingconductor/latest/userguide/security-iam-awsmanpol.html) | 9 de septiembre de 2025 |
| [AWSBillingConductorReadOnlyAccess](#security-iam-awsmanpol-readonly)- Actualización de las políticas existentes | Hemos añadido las siguientes acciones a la `AWSBillingConductorReadOnlyAccess` política: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/billingconductor/latest/userguide/security-iam-awsmanpol.html) | 9 de septiembre de 2025 |
| AWSBillingConductorReadOnlyAccess | Se agregó `GetBillingGroupCostReport` a la `AWSBillingConductorReadOnlyAccess` política. | 8 de febrero de 2024 |
| AWSBillingConductorFullAccess | Política creada | 29 de marzo de 2022 |
| AWSBillingConductorReadOnlyAccess | Política creada | 29 de marzo de 2022 |
| AWS Se publicó el registro de cambios de Billing Conductor | AWS Billing Conductor comenzó a rastrear los cambios en sus políticas AWS gestionadas. | 29 de marzo de 2022 |
# AWS Billing Conductor ejemplos de políticas basadas en recursos
**Topics**
+ [Restricción del acceso del bucket Amazon S3 a direcciones IP específicas](#security_iam_resource-based-policy-examples-restrict-bucket-by-ip)
## Restricción del acceso del bucket Amazon S3 a direcciones IP específicas
En el siguiente ejemplo se conceden permisos a un usuario para que realice operaciones de Amazon S3 en objetos del bucket especificado. Sin embargo, la solicitud debe proceder del rango de direcciones IP especificado en la condición.
La condición de esta declaración identifica el rango 54.240.143.\$1 de direcciones IP del Protocolo de Internet de la versión 4 (IPv4) permitidas, con una excepción: 54.240.143.188.
El `Condition` bloque usa las `NotIpAddress` condiciones `IpAddress` y y la clave de condición, que es una clave de condición ancha`aws:SourceIp`. AWS Para obtener más información sobre estas claves de condición, consulte [Especificación de condiciones en una política](https://docs.aws.amazon.com/AmazonS3/latest/userguide/amazon-s3-policy-keys.html). Los `aws:sourceIp` IPv4 valores utilizan la notación CIDR estándar. Para obtener más información, consulte [Operadores de condición de dirección IP](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_IPAddress) en la *guía del usuario de IAM*.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id": "S3PolicyId1",
"Statement": [
{
"Sid": "IPAllow",
"Effect": "Allow",
"Principal": "*",
"Action": "s3:*",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
"Condition": {
"IpAddress": {"aws:SourceIp": "54.240.143.0/24"},
"NotIpAddress": {"aws:SourceIp": "54.240.143.188/32"}
}
}
]
}
```
------
# Solución de problemas de AWS Billing Conductor identidad y acceso
Utilice la siguiente información para diagnosticar y solucionar los problemas comunes que puedan surgir cuando trabaje con Billing Conductor e IAM.
**Topics**
+ [No tengo autorización para realizar una acción en Billing Conductor](#security_iam_troubleshoot-no-permissions)
+ [No estoy autorizado a realizar lo siguiente: PassRole](#security_iam_troubleshoot-passrole)
+ [Quiero permitir que personas ajenas a mi AWS cuenta accedan a mis recursos de Billing Conductor](#security_iam_troubleshoot-cross-account-access)
## No tengo autorización para realizar una acción en Billing Conductor
Si Consola de administración de AWS le indica que no está autorizado a realizar una acción, debe ponerse en contacto con su administrador para obtener ayuda. El administrador es la persona que le facilitó el nombre de usuario y la contraseña.
En el siguiente ejemplo, el error se produce cuando el usuario de IAM, `mateojackson`, intenta utilizar la consola para ver detalles sobre una *Billing Conductor*, pero no tiene permisos `Billing Conductor:GetWidget`.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: Billing Conductor:GetWidget on resource: my-example-Billing Conductor
```
En este caso, Mateo pide a su administrador que actualice sus políticas de forma que pueda obtener acceso al recurso `my-example-Billing Conductor` mediante la acción `Billing Conductor:GetWidget`.
## No estoy autorizado a realizar lo siguiente: PassRole
Si recibe un error que indica que no tiene autorización para realizar la acción `iam:PassRole`, las políticas se deben actualizar para permitirle pasar un rol a Billing Conductor.
Algunas Servicios de AWS permiten transferir una función existente a ese servicio en lugar de crear una nueva función de servicio o una función vinculada a un servicio. Para ello, debe tener permisos para transferir la función al servicio.
En el siguiente ejemplo, el error se produce cuando un usuario de IAM denominado `marymajor` intenta utilizar la consola para realizar una acción en Billing Conductor. Sin embargo, la acción requiere que el servicio cuente con permisos que otorguen un rol de servicio. Mary no tiene permisos para transferir el rol al servicio.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
En este caso, las políticas de Mary se deben actualizar para permitirle realizar la acción `iam:PassRole`.
Si necesita ayuda, póngase en contacto con su AWS administrador. El administrador es la persona que le proporcionó las credenciales de inicio de sesión.
## Quiero permitir que personas ajenas a mi AWS cuenta accedan a mis recursos de Billing Conductor
Se puede crear un rol que los usuarios de otras cuentas o las personas externas a la organización puedan utilizar para acceder a sus recursos. Se puede especificar una persona de confianza para que asuma el rol. En el caso de los servicios que admiten políticas basadas en recursos o listas de control de acceso (ACLs), puede usar esas políticas para permitir que las personas accedan a sus recursos.
Para obtener más información, consulte lo siguiente:
+ Para obtener información acerca de si Billing Conductor admite estas características, consulte [¿Cómo AWS Billing Conductor funciona con IAM](security_iam_service-with-iam.md).
+ Para obtener información sobre cómo proporcionar acceso a los recursos de su Cuentas de AWS propiedad, consulte [Proporcionar acceso a un usuario de IAM en otro de su propiedad en la Cuenta de AWS Guía del usuario](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) de *IAM*.
+ Para obtener información sobre cómo proporcionar acceso a tus recursos a terceros Cuentas de AWS, consulta Cómo [proporcionar acceso a recursos que Cuentas de AWS son propiedad de terceros](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) en la Guía del usuario de *IAM*.
+ Para obtener información sobre cómo proporcionar acceso mediante una federación de identidades, consulte [Proporcionar acceso a usuarios autenticados externamente (identidad federada)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) en la *Guía del usuario de IAM*.
+ Para conocer sobre la diferencia entre las políticas basadas en roles y en recursos para el acceso entre cuentas, consulte [Acceso a recursos entre cuentas en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) en la *Guía del usuario de IAM*.
# Registro y supervisión en AWS Billing Conductor
El monitoreo es una parte importante para mantener la confiabilidad, la disponibilidad y el rendimiento de su AWS cuenta. Hay varias herramientas disponibles para monitorear su uso de AWS Billing Conductor.
## AWS Informes de costos y uso
AWS Los informes de costos y AWS uso registran su consumo y proporcionan los cargos estimados asociados a su cuenta. Cada informe contiene partidas para cada combinación única de AWS productos, tipo de uso y operación que utilices en tu AWS cuenta. Puede personalizar los informes de AWS costos y uso para agregar la información por hora o por día.
Para obtener más información sobre los informes de AWS costos y uso, consulte la [https://docs.aws.amazon.com/cur/latest/userguide/what-is-cur.html](https://docs.aws.amazon.com/cur/latest/userguide/what-is-cur.html).
# Registrar las llamadas a la AWS Billing Conductor API mediante AWS CloudTrail
AWS Billing Conductor está integrado con AWS CloudTrail un servicio que proporciona un registro de las acciones realizadas por un usuario, un rol o un AWS servicio en AWS Billing Conductor. CloudTrail captura todas las llamadas a la API de AWS Billing Conductor como eventos. Las llamadas capturadas incluyen llamadas desde la consola de AWS Billing Conductor y llamadas en código a las operaciones de la API de AWS Billing Conductor. Si crea un registro, puede habilitar la entrega continua de CloudTrail eventos a un bucket de Amazon S3, incluidos los eventos de AWS Billing Conductor. Si no configura una ruta, podrá ver los eventos más recientes en la CloudTrail consola, en el **historial de eventos**. Con la información recopilada por Billing Conductor CloudTrail, puede determinar la solicitud que se realizó a AWS Billing Conductor, la dirección IP desde la que se realizó la solicitud, quién la hizo, cuándo se realizó y detalles adicionales.
Para obtener más información CloudTrail, consulte la [Guía AWS CloudTrail del usuario](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html).
## AWS Billing Conductor CloudTrail eventos
En esta sección se muestra una lista completa de los CloudTrail eventos relacionados con Billing and Cost Management.
****
| Nombre de evento | Definición |
| --- | --- |
| `AssociateAccounts` | Registra la asociación de cuentas a un grupo de facturación. |
| `AssociatePricingRules` | Registra la asociación de las reglas de precios a un plan de precios. |
| `AutoAssociateAccount` | Registra la asociación automática de una cuenta a un grupo de facturación. |
| `AutoDisassociateAccount` | Registra la desasociación automática de una cuenta de un grupo de facturación en el siguiente período de facturación. |
| `BatchAssociateResourcesToCustomLineItem` | Registra la asociación por lotes de recursos a una partida porcentual personalizada. |
| `BatchDisassociateResourcesFromCustomLineItem` | Registra la disociación por lotes de los recursos de una partida porcentual personalizada. |
| `CreateBillingGroup` | Registra la creación de un grupo de facturación. |
| `CreateCustomLineItem` | Registra la creación de una partida personalizada. |
| `CreatePricingPlan` | Registra la creación de un plan de precios. |
| `CreatePricingRule` | Registra la creación de una regla de precios. |
| `DeleteBillingGroup` | Registra la eliminación de un grupo de facturación. |
| `DeleteCustomLineItem` | Registra la eliminación de una partida personalizada. |
| `DeletePricingPlan` | Registra la eliminación de un plan de precios. |
| `DeletePricingRule` | Registra la eliminación de una regla de precios. |
| `DisassociateAccounts` | Registra la disociación de las cuentas de un grupo de facturación. |
| `DisassociatePricingRules` | Registra la disociación de las reglas de precios de un plan de precios. |
| `ListAccountAssociations` | Registra el acceso a los identificadores de cuenta del grupo de facturación. |
| `ListBillingGroupCostReports` | Registra el acceso a los AWS cargos reales del grupo de facturación. |
| `ListBillingGroups` | Registra el acceso a los grupos de facturación en un período de facturación. |
| `ListCustomLineItems` | Registra el acceso a las partidas personalizadas en un período de facturación. |
| `ListCustomLineItemVersions` | Registra el acceso a las versiones de una partida personalizada. |
| `ListPricingPlans` | Registra el acceso a los planes de precios en un período de facturación. |
| `ListPricingPlansAssociatedWithPricingRule` | Registra el acceso a los planes de precios asociados a una regla de precios. |
| `ListPricingRules` | Registra el acceso a las reglas de precios en un período de facturación. |
| `ListPricingRulesAssociatedToPricingPlan` | Registra el acceso a las reglas de precios asociadas a un plan de precios. |
| `ListResourcesAssociatedToCustomLineItem` | Registra el acceso a los recursos asociados a una partida personalizada. |
| `ListTagsForResource` | Registra el acceso a las etiquetas de un recurso. |
| `TagResource` | Registra la asociación de etiquetas en un recurso. |
| `UpdateBillingGroup` | Registra la actualización de un grupo de facturación. |
| `UpdateCustomLineItem` | Registra la actualización de una línea de pedido personalizada. |
| `UpdatePricingPlan` | Registra la actualización de un plan de precios. |
| `UpdatePricingRule` | Registra la actualización de una regla de precios. |
## AWS La información del conductor de facturación en CloudTrail
CloudTrail está habilitada en tu cuenta Cuenta de AWS al crear la cuenta. Cuando se produce una actividad en AWS Billing Conductor, esa actividad se registra en un CloudTrail evento junto con otros eventos de AWS servicio en el **historial de eventos**. Puede ver, buscar y descargar eventos recientes en su Cuenta de AWS. Para obtener más información, consulte [Visualización de eventos con el historial de CloudTrail eventos](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html).
Para tener un registro continuo de tus eventos Cuenta de AWS, incluidos los eventos de AWS Billing Conductor, crea un registro. Un *rastro* permite CloudTrail entregar archivos de registro a un bucket de Amazon S3. De forma predeterminada, cuando se crea un registro de seguimiento en la consola, el registro de seguimiento se aplica a todas las Regiones de AWS. La ruta registra los eventos de todas las regiones de la AWS partición y envía los archivos de registro al bucket de Amazon S3 que especifique. Además, puede configurar otros AWS servicios para analizar más a fondo los datos de eventos recopilados en los CloudTrail registros y actuar en función de ellos. Para más información, consulte los siguientes temas:
+ [Introducción a la creación de registros de seguimiento](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail servicios e integraciones compatibles](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html)
+ [Configuración de las notificaciones de Amazon SNS para CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html)
+ [Recibir archivos de CloudTrail registro de varias regiones](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) y [recibir archivos de CloudTrail registro de varias cuentas](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
Todas las acciones AWS de Billing Conductor las registra CloudTrail y se documentan en la [Referencia de la API AWS de Billing Conductor](https://docs.aws.amazon.com/billingconductor/latest/APIReference).
Cada entrada de registro o evento contiene información sobre quién generó la solicitud. La información de identidad del usuario le ayuda a determinar lo siguiente:
+ Si la solicitud se realizó con credenciales de usuario root o AWS Identity and Access Management (IAM).
+ Si la solicitud se realizó con credenciales de seguridad temporales de un rol o fue un usuario federado.
+ Si la solicitud la realizó otro AWS servicio.
Para obtener más información, consulte el [elemento userIdentity de CloudTrail ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
## Descripción AWS de las entradas del archivo de registro de Billing Conductor
Un rastro es una configuración que permite la entrega de eventos como archivos de registro a un bucket de Amazon S3 que usted especifique. CloudTrail Los archivos de registro contienen una o más entradas de registro. Un evento representa una solicitud única de cualquier fuente e incluye información sobre la acción solicitada, la fecha y la hora de la acción, los parámetros de la solicitud, etc. CloudTrail Los archivos de registro no son un registro ordenado de las llamadas a la API pública, por lo que no aparecen en ningún orden específico.
**Topics**
+ [AutoAssociateAccount](#CT-example-auto)
+ [CreateBillingGroup](#CT-example-create)
### AutoAssociateAccount
En el siguiente ejemplo, se muestra una entrada de CloudTrail registro que demuestra la `AutoAssociateAccount` acción.
```
{
"eventVersion": "1.09",
"userIdentity": {
"accountId": "111122223333",
"invokedBy": "billingconductor.amazonaws.com"
},
"eventTime": "2024-02-23T00:22:08Z",
"eventSource": "billingconductor.amazonaws.com",
"eventName": "AutoAssociateAccount",
"awsRegion": "us-east-1",
"sourceIPAddress": "billingconductor.amazonaws.com",
"userAgent": "billingconductor.amazonaws.com",
"requestParameters": null,
"responseElements": null,
"requestID": "1v14d239-fe63-4d2b-b3cd-450905b6c33",
"eventID": "14536982-geff-4fe8-bh18-f18jde35218d0",
"readOnly": false,
"eventType": "AwsServiceEvent",
"managementEvent": true,
"recipientAccountId": "111122223333",
"serviceEventDetails": {
"requestParameters": {
"Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666",
"AccountIds": [
"333333333333"
]
},
"responseElements": {
"Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666"
}
},
"eventCategory": "Management"
}
```
### CreateBillingGroup
El siguiente ejemplo muestra una entrada de CloudTrail registro que demuestra la `CreateBillingGroup` acción.
```
{
"eventVersion": "1.08",
"userIdentity": {
"accountId":"111122223333",
"accessKeyId":"ASIAIOSFODNN7EXAMPLE"
},
"eventTime": "2024-01-24T20:30:03Z",
"eventSource": "billingconductor.amazonaws.com",
"eventName": "CreateBillingGroup",
"awsRegion": "us-east-1",
"sourceIPAddress": "100.100.10.10",
"userAgent": "aws-internal/3 aws-sdk-java/1.11.465 Linux/4.9.124-0.1.ac.198.73.329.metal1.x86_64 OpenJDK_64-Bit_Server_VM/25.192-b12 java/1.8.0_192",
"requestParameters": {
"PrimaryAccountId": "444455556666",
"ComputationPreference": {
"PricingPlanArn": "arn:aws:billingconductor::111122223333:pricingplan/TqeITi5Bgh"
},
"X-Amzn-Client-Token": "32aafb5s-e5b6-47f5-9795-3a69935e9da4",
"AccountGrouping": {
"LinkedAccountIds": [
"444455556666",
"111122223333"
]
},
"Name": "***"
},
"responseElements": {
"Access-Control-Expose-Headers": "x-amzn-RequestId,x-amzn-ErrorType,x-amzn-ErrorMessage,Date",
"Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666"
},
"requestID": "fb26ae47-3510-a833-98fe-3dc0f602gb49",
"eventID": "3ab70d86-c63e-46fd8d-a33s-ce2970441a8",
"readOnly": false,
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "111122223333",
"eventCategory": "Management"
}
```
# Validación de conformidad para AWS Billing Conductor
Los auditores externos evalúan la seguridad y el cumplimiento de AWS los servicios como parte de varios programas de AWS cumplimiento. AWS Billing Conductor no está incluido en el ámbito de ningún programa de AWS cumplimiento.
Para obtener una lista de AWS los servicios incluidos en el ámbito de los programas de cumplimiento específicos, consulte los [AWS servicios incluidos en el ámbito de aplicación por programa de cumplimiento](https://aws.amazon.com/compliance/services-in-scope/) y . Para obtener información general, consulte Programas de [AWS cumplimiento > Programas AWS](https://aws.amazon.com/compliance/programs/) .
Puede descargar informes de auditoría de terceros utilizando AWS Artifact. Para obtener más información, consulte [Descarga de informes en AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html) .
Su responsabilidad de conformidad al utilizar AWS Billing Conductor viene determinada por la confidencialidad de sus datos, los objetivos de conformidad de su empresa y las leyes y reglamentos aplicables. AWS proporciona los siguientes recursos para ayudar con el cumplimiento:
+ [Security and Compliance Quick Start Guides](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance) (Guías de inicio rápido de seguridad y conformidad) (Guías de inicio rápido de seguridad y conformidad): Estas guías de implementación analizan las consideraciones en materia de arquitectura y proporcionan los pasos para implementar los entornos de referencia centrados en la seguridad y la conformidad en AWS.
+ [AWS Recursos](https://aws.amazon.com/compliance/resources/) de de cumplimiento: esta colección de libros de trabajo y guías puede aplicarse a su sector y ubicación.
+ [Evaluación de los recursos con las reglas](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html) de la *guía para AWS Config desarrolladores*: el AWS Config servicio evalúa en qué medida las configuraciones de los recursos cumplen con las prácticas internas, las directrices del sector y las normas.
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html)— Este AWS servicio proporciona una visión integral del estado de su seguridad AWS que le ayuda a comprobar su conformidad con los estándares y las mejores prácticas del sector de la seguridad.
# La resiliencia en la AWS facturación, Conductor
La infraestructura AWS global se basa en AWS regiones y zonas de disponibilidad. AWS Las regiones proporcionan varias zonas de disponibilidad aisladas y separadas físicamente, que están conectadas mediante redes de baja latencia, alto rendimiento y alta redundancia. Con las zonas de disponibilidad, puede diseñar y utilizar aplicaciones y bases de datos que realizan una conmutación por error automática entre las zonas sin interrupciones. Las zonas de disponibilidad tienen una mayor disponibilidad, tolerancia a errores y escalabilidad que las infraestructuras tradicionales de uno o varios centros de datos.
[Para obtener más información sobre AWS las regiones y las zonas de disponibilidad, consulte Infraestructura global.AWS](https://aws.amazon.com/about-aws/global-infrastructure/)
# Seguridad de la infraestructura en AWS Billing Conductor
Como servicio gestionado, AWS Billing Conductor está protegido por la seguridad de la red AWS global. Para obtener información sobre los servicios AWS de seguridad y cómo se AWS protege la infraestructura, consulte [Seguridad AWS en la nube](https://aws.amazon.com/security/). Para diseñar su AWS entorno utilizando las mejores prácticas de seguridad de la infraestructura, consulte [Protección de infraestructuras en un marco](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) de buena * AWS arquitectura basado en el pilar de la seguridad*.
Utiliza las llamadas a la API AWS publicadas para acceder a Billing Conductor a través de la red. Los clientes deben admitir lo siguiente:
+ Seguridad de la capa de transporte (TLS). Exigimos TLS 1.2 y recomendamos TLS 1.3.
+ Conjuntos de cifrado con confidencialidad directa total (PFS) como DHE (Ephemeral Diffie-Hellman) o ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). La mayoría de los sistemas modernos como Java 7 y posteriores son compatibles con estos modos.
# Acceda AWS Billing Conductor mediante un punto final de interfaz (AWS PrivateLink)
Puede usarlo AWS PrivateLink para crear una conexión privada entre su VPC y. AWS Billing Conductor Puede acceder a Billing Conductor como si estuviera en su VPC, sin el uso de una puerta de enlace a Internet, un dispositivo NAT, una conexión VPN o Direct Connect una conexión. Las instancias de su VPC no necesitan direcciones IP públicas para acceder a Billing Conductor.
Esta conexión privada se establece mediante la creación de un *punto de conexión de interfaz* alimentado por AWS PrivateLink. Creamos una interfaz de red de punto de conexión en cada subred habilitada para el punto de conexión de interfaz. Se trata de interfaces de red administradas por el solicitante que sirven como punto de entrada para el tráfico destinado a Billing Conductor.
*Para obtener más información, consulte [Acceso directo AWS PrivateLink en la Servicios de AWS guía](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html).AWS PrivateLink *
## Consideraciones para el conductor de facturación
Antes de configurar un punto final de interfaz para Billing Conductor, consulte [las consideraciones](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints) de la *AWS PrivateLink guía*.
Billing Conductor permite realizar llamadas a todas sus acciones de API a través del punto final de la interfaz.
Las políticas de puntos finales de VPC no son compatibles con Billing Conductor. De forma predeterminada, se permite el acceso total a Billing Conductor a través del punto final de la interfaz. Como alternativa, puede asociar un grupo de seguridad a las interfaces de red de los puntos finales para controlar el tráfico hacia Billing Conductor a través del punto final de la interfaz.
## Cree un punto final de interfaz para Billing Conductor
Puede crear un punto final de interfaz para Billing Conductor mediante la consola de Amazon VPC o el AWS Command Line Interface ()AWS CLI. Para obtener más información, consulte [Creación de un punto de conexión de interfaz](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws) en la *Guía de AWS PrivateLink *.
Cree un punto final de interfaz para Billing Conductor con el siguiente nombre de servicio:
```
com.amazonaws.region.service-name
```
Si habilita el DNS privado para el punto final de la interfaz, puede realizar solicitudes de API a Billing Conductor utilizando su nombre de DNS regional predeterminado. Por ejemplo, `service-name.us-east-1.amazonaws.com`.
## Creación de una política de puntos de conexión para el punto de conexión de interfaz
Una política de punto de conexión es un recurso de IAM que puede adjuntar al punto de conexión de su interfaz. La política de punto final predeterminada permite el acceso total a Billing Conductor a través del punto final de la interfaz. Para controlar el acceso permitido a Billing Conductor desde su VPC, adjunte una política de punto final personalizada al punto final de la interfaz.
Una política de punto de conexión especifica la siguiente información:
+ Las entidades principales que pueden llevar a cabo acciones (Cuentas de AWS, usuarios de IAM y roles de IAM).
+ Las acciones que se pueden realizar.
+ El recurso en el que se pueden realizar las acciones.
Para obtener más información, consulte [Control del acceso a los servicios con políticas de punto de conexión](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) en la *Guía del usuario de AWS PrivateLink *.
**Ejemplo: política de punto final de VPC para las acciones de Billing Conductor**
El siguiente es un ejemplo de una política de un punto de conexión personalizado. Al adjuntar esta política al punto final de la interfaz, se concede acceso a las acciones de Billing Conductor enumeradas a todos los directores de todos los recursos.
```
{
"Statement": [
{
"Principal": "*",
"Effect": "Allow",
"Action": "billingconductor:*",
"Resource":"*"
}
]
}
```