Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Bloqueo de acceso público de instantáneas de Amazon EBS Para impedir que sus instantáneas se compartan públicamente, puede habilitar el *bloqueo del acceso público de las instantáneas*. Tras habilitar el bloqueo del acceso público de las instantáneas de una región, se bloquea automáticamente cualquier intento de compartir públicamente las instantáneas en esa región. Esto puede ser de ayuda para mejorar la seguridad de sus instantáneas y para proteger sus datos contra el acceso no autorizado o no intencionado. El bloqueo del acceso público de las instantáneas se puede habilitar de dos modos: + **Bloquear todo el uso compartido**: bloquea todo el uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Además, las instantáneas que ya se compartieron públicamente se consideran privadas y ya no están disponibles públicamente. + **Bloquear el nuevo uso compartido**: bloquea solo el uso compartido público nuevo de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Sin embargo, las instantáneas que ya se compartieron públicamente seguirán siendo de acceso público. **Consideraciones** Tenga en cuenta lo siguiente cuando trabaje con el bloqueo de acceso público para instantáneas. + Bloquear el acceso público de las instantáneas no impide que se compartan las instantáneas de forma privada. + Si habilita la opción de bloquear el acceso público de las instantáneas en el modo *Bloqueo de todo el uso compartido*, no se cambiarán los permisos de las instantáneas que ya se hayan compartido públicamente. En su lugar, impide que estas instantáneas sean visibles y de acceso público. Por lo tanto, los atributos de estas instantáneas siguen indicando que se comparten públicamente, aunque no estén disponibles públicamente. Si más adelante desactiva el bloqueo del acceso público o cambia el modo para *bloquear nuevos usos compartidos*, estas instantáneas volverán a estar disponibles públicamente. + El bloqueo del acceso público de las instantáneas es una configuración regional. Se aplica a todas las instantáneas de la región en la que está habilitado. Debe habilitar el bloqueo del acceso público de las instantáneas en cada región en la que quiera impedir que se compartan públicamente sus instantáneas. + El bloqueo del acceso público es una configuración de nivel de cuenta. Se aplica a todos los usuarios de la cuenta, incluidos los gestionadores. No puede habilitar el bloqueo del acceso público de las instantáneas en el nivel de organización. + Este bloqueo del acceso público se configura directamente en la cuenta o mediante una política declarativa. El uso de una política declarativa permite aplicar la configuración en varias regiones simultáneamente, así como en varias cuentas simultáneamente. Cuando se utiliza una política declarativa, no se puede modificar la configuración directamente en una cuenta. En este tema se describe cómo configurar el ajuste directamente dentro de una cuenta. Para obtener información sobre el uso de políticas declarativas, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) en la *Guía del usuario de AWS Organizations .* + Bloquear el acceso público a las instantáneas no impide que se compartan públicamente las copias respaldadas por AMIs EBS. Si habilitas el bloqueo del acceso público a las instantáneas, los usuarios podrán seguir compartiéndolas públicamente respaldadas por EBS. AMIs Si una AMI basada en EBS se comparte públicamente, los usuarios con acceso a esa AMI pueden crear volúmenes a partir de las instantáneas asociadas. Para evitar que sus usuarios se compartan públicamente AMIs, active *[Bloquear el acceso público](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/sharingamis-intro.html#block-public-access-to-amis)* para. AMIs + Bloquear el acceso público a las instantáneas no es compatible con las instantáneas locales activadas. AWS Outposts **Precios** El bloqueo del acceso público de las instantáneas se puede habilitar sin costo adicional. **Contents** + [Permisos de IAM](block-public-access-snapshots-perms.md) + [Configuración de Bloquear el acceso público](block-public-access-snapshots-enable.md) + [Visualización de la configuración de bloqueo de acceso público](block-public-access-snapshots-view.md) + [Inhabilitación del bloqueo del acceso público](block-public-access-snapshots-disable.md) + [Supervisión del bloqueo de acceso público](block-public-access-snapshots-events.md) # Permisos de IAM para bloqueo de acceso público de las instantáneas de Amazon EBS De forma predeterminada, los usuarios no tienen permiso para usar el bloqueo del acceso público de las instantáneas. Para permitir que los usuarios trabajen con el bloqueo del acceso público de las instantáneas, tiene que crear políticas de IAM que les concedan permisos para utilizar acciones de API específicas. Una vez creadas las políticas, tendrá que agregar permisos a los usuarios, grupos o roles. Para usar el bloqueo del acceso público de las instantáneas, los usuarios necesitan los siguientes permisos. + `ec2:EnableSnapshotBlockPublicAccess`: habilitar el bloqueo del acceso público de las instantáneas y modificar el modo. + `ec2:DisableSnapshotBlockPublicAccess`: deshabilite el bloqueo del acceso público de las instantáneas. + `ec2:GetSnapshotBlockPublicAccessState`: ver el bloqueo del acceso público de las instantáneas de una región. A continuación, se muestra una política de IAM de ejemplo. Si algunos permisos no se necesitan, puede eliminarlos de la política. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "ec2:EnableSnapshotBlockPublicAccess", "ec2:DisableSnapshotBlockPublicAccess", "ec2:GetSnapshotBlockPublicAccessState" ], "Resource": "*" }] } ``` ------ Para dar acceso, agregue permisos a los usuarios, grupos o roles: + Usuarios y grupos en: AWS IAM Identity Center Cree un conjunto de permisos. Siga las instrucciones de [Creación de un conjunto de permisos](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html) en la *Guía del usuario de AWS IAM Identity Center *. + Usuarios gestionados en IAM a través de un proveedor de identidades: Cree un rol para la federación de identidades. Siga las instrucciones descritas en [Creación de un rol para un proveedor de identidad de terceros (federación)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html) en la *Guía del usuario de IAM*. + Usuarios de IAM: + Cree un rol que el usuario pueda aceptar. Siga las instrucciones descritas en [Creación de un rol para un usuario de IAM](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html) en la *Guía del usuario de IAM*. + (No recomendado) Adjunte una política directamente a un usuario o agregue un usuario a un grupo de usuarios. Siga las instrucciones descritas en [Adición de permisos a un usuario (consola)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) de la *Guía del usuario de IAM*. # Configuración del bloqueo del acceso público de las instantáneas de Amazon EBS Habilite el bloqueo del acceso público de las instantáneas para evitar que sus instantáneas se compartan públicamente en la región. Una vez habilitada esta característica, se bloquean las solicitudes para compartir públicamente las instantáneas en la región. **importante** Si habilita la opción de bloquear el acceso público de las instantáneas en el modo *Bloqueo de todo el uso compartido*, no se cambiarán los permisos de las instantáneas que ya se hayan compartido públicamente. En su lugar, impide que estas instantáneas sean visibles y de acceso público. Por lo tanto, los atributos de estas instantáneas siguen indicando que se comparten públicamente, aunque no estén disponibles públicamente. Si más adelante desactiva el bloqueo del acceso público o cambia el modo para *bloquear nuevos usos compartidos*, estas instantáneas volverán a estar disponibles públicamente. **nota** Este ajuste se configura a nivel de cuenta, ya sea directamente en la cuenta o mediante una política declarativa. Debe configurarse en cada uno de los Región de AWS lugares en los que desee evitar que se compartan las instantáneas en público. El uso de una política declarativa permite aplicar la configuración en varias regiones simultáneamente, así como en varias cuentas simultáneamente. Cuando se utiliza una política declarativa, no se puede modificar la configuración directamente en una cuenta. En este tema se describe cómo configurar el ajuste directamente dentro de una cuenta. Para obtener información sobre el uso de políticas declarativas, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) en la *Guía del usuario de AWS Organizations .* ------ #### [ Console ] **Configuración del bloqueo del acceso público de las instantáneas** 1. Abra la consola de Amazon EC2 en [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. En el panel de navegación, elija **Panel de EC2** y, a continuación, en **Atributos de la cuenta** (a la derecha), elija **Protección y seguridad de datos**. 1. En la sección **Bloquear el acceso público de las instantáneas de EBS**, seleccione **Administrar**. 1. Seleccione **Bloquear acceso público** y, a continuación, elija una de las siguientes opciones: + **Bloquear todo el uso compartido**: para bloquear todo el uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Además, las instantáneas que ya se compartieron públicamente se consideran privadas y dejan de ser de acceso público. + **Bloquear el nuevo uso compartido público**: para bloquear solo el uso compartido público nuevo de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Sin embargo, las instantáneas que ya se compartieron públicamente seguirán siendo de acceso público. 1. Elija **Actualizar**. ------ #### [ AWS CLI ] **Habilitación o modificación del bloqueo del acceso público de las instantáneas** Utilice el comando [enable-snapshot-block-public-access](https://docs.aws.amazon.com/cli/latest/reference/ec2/enable-snapshot-block-public-access.html). En `--state`, especifique uno de los siguientes valores: + `block-all-sharing`: para bloquear todo el uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Además, las instantáneas que ya se compartieron públicamente se consideran privadas y dejan de ser de acceso público. + `block-new-sharing`: para bloquear solo el nuevo uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Sin embargo, las instantáneas que ya se compartieron públicamente seguirán siendo de acceso público. **Cómo habilitar o modificar el bloqueo del acceso público de las instantáneas para una región específica** ``` aws ec2 enable-snapshot-block-public-access \ --state block-new-sharing \ --region us-east-1 ``` A continuación, se muestra un ejemplo del resultado. ``` { "State": "block-new-sharing" } ``` **Cómo habilitar o modificar el bloqueo del acceso público de las instantáneas para todas las regiones** ``` echo -e "Region \t Public Access State" ; \ echo -e "-------------- \t ----------------------" ; \ for region in $( aws ec2 describe-regions \ --region us-east-1 \ --query "Regions[*].[RegionName]" \ --output text ); do (output=$( aws ec2 enable-snapshot-block-public-access \ --region $region \ --state block-new-sharing \ --output text) echo -e "$region \t $output" ); done ``` A continuación, se muestra un ejemplo del resultado. ``` Region Public Access State -------------- ---------------------- ap-south-1 block-new-sharing eu-north-1 block-new-sharing eu-west-3 block-new-sharing ... ``` ------ #### [ PowerShell ] **Habilitación o modificación del bloqueo del acceso público de las instantáneas** Utilice el [Enable-EC2SnapshotBlockPublicAccess](https://docs.aws.amazon.com/powershell/latest/reference/items/Enable-EC2SnapshotBlockPublicAccess.html)comando. En `-State`, especifique uno de los siguientes valores: + `block-all-sharing`: para bloquear todo el uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Además, las instantáneas que ya se compartieron públicamente se consideran privadas y dejan de ser de acceso público. + `block-new-sharing`: para bloquear solo el nuevo uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Sin embargo, las instantáneas que ya se compartieron públicamente seguirán siendo de acceso público. **Cómo habilitar o modificar el bloqueo del acceso público de las instantáneas para una región específica** ``` Enable-EC2SnapshotBlockPublicAccess ` -Region us-east-1 ` -State block-new-sharing ``` A continuación, se muestra un ejemplo del resultado. ``` Value ----- block-new-sharing ``` **Cómo habilitar o modificar el bloqueo del acceso público de las instantáneas para todas las regiones** ``` (Get-EC2Region -Region us-east-1).RegionName | ` ForEach-Object { [PSCustomObject]@{ Region = $_ PublicAccessState = ( Enable-EC2SnapshotBlockPublicAccess ` -Region $_ ` -State block-new-sharing) } } | Format-Table -AutoSize ``` A continuación, se muestra un ejemplo del resultado. ``` Region PublicAccessState ------ ----------------- ap-south-1 block-new-sharing eu-north-1 block-new-sharing eu-west-3 block-new-sharing ... ``` ------ # Visualización de la configuración de bloqueo del acceso público de las instantáneas de Amazon EBS El bloqueo del acceso público puede encontrarse en uno de los siguientes estados para cada región de su cuenta. + **Bloquear todo el uso compartido**: se bloquea todo el uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Además, las instantáneas que ya se compartieron públicamente se consideran privadas y no son de acceso público. + **Bloquear el nuevo uso compartido**: solo se bloquea el nuevo uso compartido público de sus instantáneas. Los usuarios de la cuenta no pueden solicitar un nuevo uso compartido público. Sin embargo, las instantáneas que ya se compartieron públicamente seguirán siendo de acceso público. + **Desbloqueado**: el uso compartido público no está bloqueado. Los usuarios pueden compartir las instantáneas públicamente. ------ #### [ Console ] **Visualización de la configuración del bloqueo del acceso público de las instantáneas** 1. Abra la consola de Amazon EC2 en [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. En el panel de navegación, elija **Panel de EC2** y, a continuación, en **Atributos de la cuenta** (a la derecha), elija **Protección y seguridad de datos**. 1. En la sección **Bloquear el acceso público a las instantáneas de EBS** se muestra la configuración actual. ------ #### [ AWS CLI ] **Visualización de la configuración del bloqueo del acceso público de las instantáneas** Utilice el comando [get-snapshot-block-public-access-state](https://docs.aws.amazon.com/cli/latest/reference/ec2/get-snapshot-block-public-access-state.html). + Para una región específica ``` aws ec2 get-snapshot-block-public-access-state ``` En este resultado de ejemplo, el campo `ManagedBy` indica la entidad que configuró la configuración y la `account` indica que la configuración se configuró directamente en la cuenta. Un valor de `declarative-policy` significaría que el ajuste se configuró mediante una política declarativa. Para obtener más información, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) en la *Guía del usuario de AWS Organizations *. ``` { "State": "unblocked", "ManagedBy": "account" } ``` + Para todas las regiones ``` echo -e "Region \t Public Access State" ; \ echo -e "-------------- \t ----------------------" ; \ for region in $( aws ec2 describe-regions \ --region us-east-1 \ --query "Regions[*].[RegionName]" \ --output text ); do (output=$( aws ec2 get-snapshot-block-public-access-state \ --region $region \ --output text) echo -e "$region \t $output" ); done ``` A continuación, se muestra un ejemplo del resultado. ``` Region Public Access State -------------- ---------------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ``` ------ #### [ PowerShell ] **Visualización de la configuración del bloqueo del acceso público de las instantáneas** Utilice el cmdlet. [Get-EC2SnapshotBlockPublicAccessState](https://docs.aws.amazon.com/powershell/latest/reference/items/Get-EC2SnapshotBlockPublicAccessState.html) + Para una región específica ``` Get-EC2SnapshotBlockPublicAccessState -Region us-east-1 ``` A continuación, se muestra un ejemplo del resultado. ``` Value ----- block-new-sharing ``` + Para todas las regiones ``` (Get-EC2Region -Region us-east-1).RegionName | ` ForEach-Object { [PSCustomObject]@{ Region = $_ PublicAccessState = (Get-EC2SnapshotBlockPublicAccessState -Region $_) } } | Format-Table -AutoSize ``` A continuación, se muestra un ejemplo del resultado. ``` Region Public Access State -------------- ---------------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ... ``` ------ # Deshabilitación del bloqueo del acceso público de las instantáneas de Amazon EBS Deshabilite el bloqueo del acceso público de las instantáneas para permitir que sus instantáneas se compartan públicamente en la región. Una vez deshabilitada esta característica, los usuarios pueden compartir las instantáneas de forma pública en la región. **importante** Si habilita la opción de bloquear el acceso público de las instantáneas en el modo *Bloqueo de todo el uso compartido*, no se cambiarán los permisos de las instantáneas que ya se hayan compartido públicamente. En su lugar, impide que estas instantáneas sean visibles y de acceso público. Por lo tanto, los atributos de estas instantáneas siguen indicando que se comparten públicamente, aunque no estén disponibles públicamente. Si desactiva el bloqueo del acceso público, estas instantáneas volverán a estar disponibles públicamente. **nota** Este ajuste se configura a nivel de cuenta, ya sea directamente en la cuenta o mediante una política declarativa. Debe configurarse en cada uno de los Región de AWS lugares en los que desee permitir el uso compartido público de las instantáneas. El uso de una política declarativa permite aplicar la configuración en varias regiones simultáneamente, así como en varias cuentas simultáneamente. Cuando se utiliza una política declarativa, no se puede modificar la configuración directamente en una cuenta. En este tema se describe cómo configurar el ajuste directamente dentro de una cuenta. Para obtener información sobre el uso de políticas declarativas, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) en la *Guía del usuario de AWS Organizations .* ------ #### [ Console ] **Deshabilitación del bloqueo del acceso público de las instantáneas** 1. Abra la consola de Amazon EC2 en [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. En el panel de navegación, elija **Panel de EC2** y, a continuación, en **Atributos de la cuenta** (a la derecha), elija **Protección y seguridad de datos**. 1. En la sección **Bloquear el acceso público de las instantáneas de EBS**, seleccione **Administrar**. 1. Desmarque **Bloquear acceso público** y elija **Actualizar**. ------ #### [ AWS CLI ] **Deshabilitación del bloqueo del acceso público de las instantáneas** Utilice el comando [disable-snapshot-block-public-access](https://docs.aws.amazon.com/cli/latest/reference/ec2/disable-snapshot-block-public-access.html). + Para una región específica ``` aws ec2 disable-snapshot-block-public-access --region us-east-1 ``` A continuación, se muestra un ejemplo del resultado. ``` { "State": "unblocked" } ``` + Para todas las regiones ``` echo -e "Region \t Public Access State" ; \ echo -e "-------------- \t ----------------------" ; \ for region in $( aws ec2 describe-regions \ --region us-east-1 \ --query "Regions[*].[RegionName]" \ --output text ); do (output=$( aws ec2 disable-snapshot-block-public-access \ --region $region \ --output text) echo -e "$region \t $output" ); done ``` A continuación, se muestra un ejemplo del resultado. ``` Region Public Access State -------------- ---------------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ``` ------ #### [ PowerShell ] **Deshabilitación del bloqueo del acceso público de las instantáneas** Utilice el [Disable-EC2SnapshotBlockPublicAccess](https://docs.aws.amazon.com/powershell/latest/reference/items/Disable-EC2SnapshotBlockPublicAccess.html)cmdlet. + Para una región específica ``` Disable-EC2SnapshotBlockPublicAccess -Region us-east-1 ``` A continuación, se muestra un ejemplo del resultado. ``` Value ----- unblocked ``` + Para todas las regiones ``` (Get-EC2Region -Region us-east-1).RegionName | ` ForEach-Object { [PSCustomObject]@{ Region = $_ PublicAccessState = (Disable-EC2SnapshotBlockPublicAccess -Region $_) } } | ` Format-Table -AutoSize ``` A continuación, se muestra un ejemplo del resultado. ``` Region PublicAccessState ------ ----------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ... ``` ------ # Supervise y bloquee el acceso público a las instantáneas de Amazon EBS mediante EventBridge Amazon EBS emite eventos relacionados con el bloqueo del acceso público de las instantáneas. Puedes usar AWS Lambda Amazon EventBridge para gestionar las notificaciones de eventos mediante programación. Los eventos se emiten en la medida de lo posible. Para obtener más información, consulta la [Guía del EventBridge usuario de Amazon](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html). Se emiten los siguientes eventos: + Habilitación del bloqueo del acceso público de las instantáneas en el modo para bloquear todo el uso compartido ``` { "version": "0", "id": "01234567-0123-0123-0123-012345678901", "detail-type": "EBS Snapshot Block Public Access Enabled", "source": "aws.ec2", "account": "123456789012", "time": "2019-05-31T21:49:54Z", "region": "us-east-1", "detail": { "SnapshotBlockPublicAccessState": "block-all-sharing", "message": "Block Public Access was successfully enabled in 'block-all-sharing' mode" } } ``` + Habilitación del bloqueo del acceso público de las instantáneas en el modo para bloquear el nuevo uso compartido ``` { "version": "0", "id": "01234567-0123-0123-0123-012345678901", "detail-type": "EBS Snapshot Block Public Access Enabled", "source": "aws.ec2", "account": "123456789012", "time": "2019-05-31T21:49:54Z", "region": "us-east-1", "detail": { "SnapshotBlockPublicAccessState": "block-new-sharing", "message": "Block Public Access was successfully enabled in 'block-new-sharing' mode" } } ``` + Deshabilitar el bloqueo del acceso público de las instantáneas ``` { "version": "0", "id": "01234567-0123-0123-0123-012345678901", "detail-type": "EBS Snapshot Block Public Access Disabled", "source": "aws.ec2", "account": "123456789012", "time": "2019-05-31T21:49:54Z", "region": "us-east-1", "detail": { "SnapshotBlockPublicAccessState": "unblocked", "message": "Block Public Access was successfully disabled" } } ```