Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Aplique un control de acceso basado en etiquetas en Connect Customer

Los controles de acceso basados en etiquetas se utilizan para configurar el acceso detallado a recursos específicos en función de las etiquetas de recursos asignadas. Puede configurar los controles de acceso basados en etiquetas mediante el sitio web de administración API/SDK o el sitio web de Connect Customer administración de los recursos compatibles.

Aplique un control de acceso basado en etiquetas mediante el API/SDK

Para usar etiquetas a fin de controlar el acceso a los recursos en sus cuentas de AWS, debe proporcionar información de las etiquetas en el elemento de condición de una política de IAM. Por ejemplo, para controlar el acceso a tu dominio de Voice ID en función de las etiquetas que le hayas asignado, usa la clave aws:ResourceTag/key-name condicionada y un operador específico, por ejemplo, StringEquals para especificar qué par de etiqueta y valor debe adjuntarse al dominio para que pueda realizar determinadas acciones.

Para obtener más información sobre el control de acceso basado en etiquetas, consulte Control de acceso a recursos de AWS mediante etiquetas en la Guía del usuario de IAM.

Aplica un control de acceso basado en etiquetas mediante la Connect Customer sitio web de administración

Una etiqueta de recurso es una etiqueta de metadatos personalizada que se puede añadir a un recurso para facilitar su identificación, organización y búsqueda en una búsqueda. Puede aplicar etiquetas mediante programación mediante Connect Customer y SDK/APIs, para determinados recursos, puede aplicar etiquetas desde la consola de Connect Customer. Para obtener más información sobre el etiquetado de recursos, consulte Añadir etiquetas a los recursos en Connect Customer.

Una etiqueta de control de acceso es similar a una etiqueta de recursos en el sentido de que utiliza la misma Key:valueestructura. Sin embargo, la diferencia con una etiqueta de control de acceso es que introduce controles de autorización que limitan el acceso de un usuario, únicamente a recursos específicos que contienen etiquetas de recursos con Key:valuepares idénticos. Las etiquetas de control de acceso se definen en los perfiles de seguridad: primero se selecciona el recurso (perfil de enrutamiento, cola, usuarios, etc.) al que se va a controlar el acceso y, a continuación, se define el Key:valuepar en el que deben coincidir. Una vez que se haya aplicado a un usuario un perfil de seguridad con etiquetas de control de acceso, este limitará el acceso del usuario en función de la combinación definida de los recursos seleccionados y las etiquetas de control de acceso (Key:value). Sin etiquetas de control de acceso aplicadas, un usuario podrá ver todos los recursos si se le da permiso para hacerlo.

Para usar etiquetas para controlar el acceso a los recursos del sitio web de administración de su instancia de Connect Customer, debe configurar la sección de control de acceso dentro de un perfil de seguridad determinado. Por ejemplo, para controlar el acceso a un perfil de enrutamiento en función de las etiquetas que le haya asignado, debe especificar el perfil de enrutamiento como un recurso de acceso controlado y, a continuación, especificar el Key:valuepar de etiquetas al que desea habilitar el acceso.

Limitaciones de la configuración

Las etiquetas de control de acceso se configuran en un perfil de seguridad. Puede configurar hasta cuatro etiquetas de control de acceso en un único perfil de seguridad. Agregar etiquetas de control de acceso adicionales provocará que un perfil de seguridad sea más restrictivo. Por ejemplo, si agregara dos etiquetas de control de acceso como Department:X y Country:Y, el usuario solo podrá ver los recursos que contengan ambas etiquetas.

A los usuarios se les puede asignar un máximo de tres perfiles de seguridad que contengan etiquetas de control de acceso. Cuando se asignan varios perfiles de seguridad que contienen etiquetas de control de acceso a un solo usuario, los controles de acceso basados en etiquetas se vuelven menos restrictivos. Por ejemplo, si un usuario tuviera un perfil de seguridad con una etiqueta de control de acceso como Country:USA y otro perfil de seguridad con una etiqueta de control de acceso como Country:Argentina, el usuario podría ver los recursos etiquetados con Country:USA o Country:Argentina. Un usuario puede tener otros perfiles de seguridad, siempre que esos perfiles de seguridad adicionales no contengan etiquetas. Si hay varios perfiles de seguridad con permisos de recursos que se solapen, se aplicará el perfil de seguridad sin controles de acceso basados en etiquetas en lugar del perfil con controles de acceso basados en etiquetas.

Los roles vinculados al servicio son necesarios para configurar las etiquetas de recursos o las etiquetas de control de acceso. Si su instancia se creó después de octubre de 2018, estará disponible de forma predeterminada con su instancia de Connect Customer. Sin embargo, si tiene una instancia anterior, consulte Usar funciones vinculadas a servicios para Connect Customer para obtener instrucciones sobre cómo habilitar las funciones vinculadas a servicios.

Prácticas recomendadas para aplicar controles de acceso basado en etiquetas

La aplicación de controles de acceso basados en etiquetas es una función de configuración avanzada compatible con Connect Customer y que sigue el modelo de responsabilidad AWS compartida. Es importante asegurarse de configurar correctamente la instancia para cumplir con las necesidades de autorización deseadas. Para obtener más información, consulte el modelo de responsabilidades compartidas de AWS.

Asegúrese de haber habilitado al menos los permisos Ver para los recursos para los que habilita el control de acceso basado en etiquetas. Esto garantizará que se eviten las incoherencias de permisos que den lugar a la denegación de las solicitudes de acceso.

Tag-based los controles de acceso están habilitados a nivel de recurso, lo que significa que cada recurso se puede restringir de forma independiente. En algunos casos de uso, esto puede ser aceptable, pero se recomienda habilitar los controles de acceso basados en etiquetas en todos los recursos a la vez. Por ejemplo, permitir el acceso a los usuarios, pero no a los perfiles de seguridad, permitiría a un usuario crear un perfil de seguridad con privilegios que reemplazarían la configuración de control de acceso de usuario prevista.

Al iniciar sesión en la consola Connect Customer con controles de acceso basados en etiquetas aplicados, los usuarios no podrán acceder a los registros de cambios históricos de los recursos a los que están restringidos.

Como práctica recomendada, debe deshabilitar el acceso a lo siguiente resources/modules al aplicar controles de acceso basados en etiquetas en la consola de Connect Customer. Si no deshabilita el acceso a estos recursos, los usuarios con controles de acceso basados en etiquetas en un recurso en concreto que vean estas páginas pueden ver una lista sin restricciones de usuarios, perfiles de seguridad, perfiles de enrutamiento, colas, flujos o módulos de flujos. Para obtener más información sobre cómo administrar los permisos, consulte Lista de permisos del perfil de seguridad en Connect Customer.