Configuración de los permisos de IAM necesarios para usar la consola de administración de Amazon DataZone - Amazon DataZone
Asociación de las políticas obligatorias y opcionales a un usuario, grupo o rol para el acceso a la consola de administraciónCreación de una política personalizada para los permisos de IAM a fin de habilitar la creación simplificada de roles en la consolaCreación de una política personalizada de permisos para administrar una cuenta asociada a un dominio(Opcional) Creación de una política personalizada para que los permisos de AWS Identity Center puedan añadir y eliminar el acceso de usuarios y grupos de SSO a los dominios(Opcional) Agregación de su entidad principal de IAM como usuario clave para crear su dominio con una clave administrada por el cliente desde AWS Key Management Service (KMS)

Configuración de los permisos de IAM necesarios para usar la consola de administración de Amazon DataZone

Para acceder y configurar sus dominios, esquemas y usuarios de Amazon DataZone, y para crear el portal de datos de Amazon DataZone, debe utilizar la consola de administración de Amazon DataZone.

Debe completar los siguientes procedimientos para configurar los permisos obligatorios u opcionales para cualquier usuario, grupo o rol que quiera usar la consola de administración de Amazon DataZone.

Asociación de las políticas obligatorias y opcionales a un usuario, grupo o rol para el acceso a la consola de Amazon DataZone

Complete el siguiente procedimiento para asociar las políticas personalizadas obligatorias y opcionales a un usuario, grupo o rol. Para obtener más información, consulte Políticas administradas de AWS para Amazon DataZone.

  1. Inicie sesión en AWS Management Console y abra la consola IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación, seleccione Políticas.

  3. Elija las siguientes políticas de permisos para adjuntarlas a su usuario, grupo o rol.

  4. Elija Acciones y, a continuación, elija Asociar.

  5. Elija el usuario, grupo o rol al que desea asociar la política. Puede utilizar el menú Filtro y el cuadro de búsqueda para filtrar la lista entidades principales. Después de elegir el usuario, el grupo o el rol, elija Asociar política.

Creación de una política personalizada para los permisos de IAM a fin de habilitar la creación simplificada de roles en la consola de servicio de Amazon DataZone.

Complete el siguiente procedimiento para crear una política insertada personalizada que le permita disponer de los permisos necesarios para que Amazon DataZone pueda crear los roles necesarios en la consola de administración de AWS en su nombre.

nota

Para obtener información sobre las prácticas recomendadas en torno a la configuración de permisos para permitir la creación de roles de servicio, consulte https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Inicie sesión en AWS Management Console y abra la consola IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación, elija Usuarios o Grupos de usuarios.

  3. En la lista, seleccione el nombre del usuario o del grupo en el que integrará una política.

  4. Elija la pestaña Permissions (Permisos) y, si es necesario, expanda la sección Permissions Policies (Políticas de permisos).

  5. Elija Agregar permisos y el enlace Crear política insertada.

  6. En la pantalla Crear una política, en la sección Editor de políticas, elija JSON.

    Cree un documento de política con las siguientes instrucciones JSON y, a continuación, elija Revisar política.

    JSON
    
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        }
    ]
}

  7. En la pantalla Revisar política, introduzca un nombre para la política. Cuando esté satisfecho con la política, elija Crear política. Asegúrese de que no aparece ningún error en un cuadro rojo en la parte superior de la pantalla. Corrija todos los errores notificados.

Creación de una política personalizada de permisos para administrar una cuenta asociada a un dominio de Amazon DataZone

Realice el siguiente procedimiento para crear una política insertada personalizada que le permita disponer de los permisos necesarios en una cuenta de AWS asociada para enumerar, aceptar y rechazar los recursos compartidos de un dominio y, a continuación, habilitar, configurar y deshabilitar los esquemas de entorno en la cuenta asociada. Para habilitar la creación simplificada de roles opcional en la consola de servicio de Amazon DataZone, disponible durante la configuración del esquema, también debe seguir el procedimiento descrito en Creación de una política personalizada para los permisos de IAM a fin de habilitar la creación simplificada de roles en la consola de servicio de Amazon DataZone. .

nota

Para obtener información sobre las prácticas recomendadas en torno a la configuración de permisos para permitir la creación de roles de servicio, consulte https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Inicie sesión en AWS Management Console y abra la consola IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación, elija Usuarios o Grupos de usuarios.

  3. En la lista, seleccione el nombre del usuario o del grupo en el que integrará una política.

  4. Elija la pestaña Permissions (Permisos) y, si es necesario, expanda la sección Permissions Policies (Políticas de permisos).

  5. Elija Agregar permisos y el enlace Crear política insertada.

  6. En la pantalla Crear una política, en la sección Editor de políticas, elija JSON. Cree un documento de política con las siguientes instrucciones JSON y, a continuación, elija Revisar política.

    JSON
    
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "datazone:ListEnvironmentBlueprintConfigurations",
                "datazone:PutEnvironmentBlueprintConfiguration",
                "datazone:GetDomain",
                "datazone:ListDomains",
                "datazone:GetEnvironmentBlueprintConfiguration",
                "datazone:ListEnvironmentBlueprints",
                "datazone:GetEnvironmentBlueprint",
                "datazone:ListAccountEnvironments",
                "datazone:DeleteEnvironmentBlueprintConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::*:role/AmazonDataZone",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "datazone.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:RejectResourceShareInvitation",
                "ram:GetResourceShareInvitations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::amazon-datazone*"
        }
    ]
}

  7. En la pantalla Revisar política, introduzca un nombre para la política. Cuando esté satisfecho con la política, elija Crear política. Asegúrese de que no aparece ningún error en un cuadro rojo en la parte superior de la pantalla. Corrija todos los errores notificados.

(Opcional) Creación de una política personalizada para los permisos de AWS Identity Center para añadir y eliminar el acceso de usuarios y grupos de SSO a los dominios de Amazon DataZone

Complete el siguiente procedimiento para crear una política insertada personalizada que le permita disponer de los permisos necesarios para añadir y eliminar el acceso de usuarios y grupos de SSO a su dominio de Amazon DataZone.

  1. Inicie sesión en AWS Management Console y abra la consola IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación, elija Usuarios o Grupos de usuarios.

  3. En la lista, seleccione el nombre del usuario o del grupo en el que integrará una política.

  4. Elija la pestaña Permissions (Permisos) y, si es necesario, expanda la sección Permissions Policies (Políticas de permisos).

  5. Elija Agregar permisos y Crear política insertada.

  6. En la pantalla Crear una política, en la sección Editor de políticas, elija JSON.

    Cree un documento de política con las siguientes instrucciones JSON y, a continuación, elija Revisar política.

    JSON
    
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sso:GetManagedApplicationInstance",
        "sso:ListProfiles",
        "sso:AssociateProfile",
        "sso:DisassociateProfile",
        "sso:GetProfile"
      ],
      "Resource": "*"
    }
  ]
}

  7. En la pantalla Revisar política, introduzca un nombre para la política. Cuando esté satisfecho con la política, elija Crear política. Asegúrese de que no aparece ningún error en un cuadro rojo en la parte superior de la pantalla. Corrija todos los errores notificados.

(Opcional) Agregación de su entidad principal de IAM como usuario clave para crear su dominio de Amazon DataZone con una clave administrada por el cliente de AWS Key Management Service (KMS)

Antes de poder crear opcionalmente su dominio de Amazon DataZone con una clave administrada por el cliente (CMK) del AWS Key Management Service (KMS), complete el siguiente procedimiento para convertir a su entidad principal de IAM en usuario de su clave de KMS.

  1. Inicie sesión en la consola de administración de AWS y abra la consola KMS en https://console.aws.amazon.com/kms/.

  2. Si desea ver las claves de la cuenta que usted crea y administra, elija en el panel de navegación, Claves administradas por el cliente.

  3. En la lista de claves KMS, elija el alias o ID de clave de la clave KMS que desea examinar.

  4. Para agregar o eliminar usuarios de claves y para permitir o no permitir que las cuentas de externas a AWS usen la clave KMS, utilice los controles de la sección Usuarios de claves de la página. Los usuarios de claves pueden usar la clave KMS en operaciones criptográficas, como cifrar, descifrar, volver a cifrar y generar claves de datos.