Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Administración de identidades y accesos para Amazon Kendra AWS Identity and Access Management (IAM) es una herramienta Servicio de AWS que ayuda al administrador a controlar de forma segura el acceso a los AWS recursos. Los administradores de IAM controlan quién se puede *autenticar* (iniciar sesión) y *autorizar* (tener permisos) para utilizar los recursos de Amazon Kendra. La IAM es una Servicio de AWS herramienta que puede utilizar sin coste adicional. **Topics** + [Público](#security_iam_audience) + [Autenticación con identidades](#security_iam_authentication) + [Administración del acceso con políticas](#security_iam_access-manage) + [Cómo funciona Amazon Kendra con IAM](security_iam_service-with-iam.md) + [Ejemplos de políticas basadas en identidades de Amazon Kendra](security_iam_id-based-policy-examples.md) + [AWS políticas gestionadas para Amazon Kendra](security-iam-awsmanpol.md) + [Solución de problemas de identidad y acceso de Amazon Kendra](security_iam_troubleshoot.md) ## Público La forma de usar AWS Identity and Access Management (IAM) varía según la función que desempeñes: + **Usuario del servicio:** solicite permisos al administrador si no puede acceder a las características (consulte [Solución de problemas de identidad y acceso de Amazon Kendra](security_iam_troubleshoot.md)). + **Administrador del servicio:** determine el acceso de los usuarios y envíe las solicitudes de permiso (consulte [Cómo funciona Amazon Kendra con IAM](security_iam_service-with-iam.md)). + **Administrador de IAM**: escribe las políticas para administrar el acceso (consulte [Ejemplos de políticas basadas en identidades de Amazon Kendra](security_iam_id-based-policy-examples.md)). ## Autenticación con identidades La autenticación es la forma en que inicias sesión AWS con tus credenciales de identidad. Debe autenticarse como usuario de Usuario raíz de la cuenta de AWS IAM o asumir una función de IAM. Puede iniciar sesión como una identidad federada con las credenciales de una fuente de identidad, como AWS IAM Identity Center (IAM Identity Center), la autenticación de inicio de sesión único o las credenciales. Google/Facebook Para obtener más información sobre el inicio de sesión, consulte [Cómo iniciar sesión en la Cuenta de AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) en la *Guía del usuario de AWS Sign-In *. Para el acceso programático, AWS proporciona un SDK y una CLI para firmar criptográficamente las solicitudes. Para obtener más información, consulte [AWS Signature Version 4 para solicitudes de API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) en la *Guía del usuario de IAM*. ### Cuenta de AWS usuario root Al crear un Cuenta de AWS, se comienza con una identidad de inicio de sesión denominada *usuario Cuenta de AWS raíz* que tiene acceso completo a todos Servicios de AWS los recursos. Se recomiendaencarecidamente que no utilice el usuario raíz para las tareas diarias. Para ver la lista completa de las tareas que requieren credenciales de usuario raíz, consulte [Tareas que requieren credenciales de usuario raíz](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) en la *Guía del usuario de IAM*. ### Usuarios y grupos de IAM Un *[usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* es una identidad con permisos específicos para una sola persona o aplicación. Recomendamos el uso de credenciales temporales en lugar de usuarios de IAM con credenciales de larga duración. Para obtener más información, consulte [Exigir a los usuarios humanos que utilicen la federación con un proveedor de identidad para acceder AWS mediante credenciales temporales](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) en la Guía del *usuario de IAM*. Un [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) especifica un conjunto de usuarios de IAM y facilita la administración de los permisos para grupos grandes de usuarios. Para obtener más información, consulte [Casos de uso para usuarios de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) en la *Guía del usuario de IAM*. ### Roles de IAM Un *[Rol de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* es una identidad con permisos específicos que proporciona credenciales temporales. Puede asumir un rol [cambiando de un rol de usuario a uno de IAM (consola)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) o llamando a una AWS CLI operación de AWS API. Para obtener más información, consulte [Métodos para asumir un rol](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) en la *Guía del usuario de IAM*. Los roles de IAM son útiles para el acceso de usuario federado, los permisos de usuario de IAM temporales, el acceso entre cuentas, el acceso entre servicios y las aplicaciones que se ejecutan en Amazon EC2. Para obtener más información, consulte [Acceso a recursos entre cuentas en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) en la *Guía del usuario de IAM*. ## Administración del acceso con políticas El acceso se controla AWS creando políticas y adjuntándolas a AWS identidades o recursos. Una política define los permisos cuando están asociados a una identidad o un recurso. AWS evalúa estas políticas cuando un director hace una solicitud. La mayoría de las políticas se almacenan AWS como documentos JSON. Para obtener más información sobre los documentos de políticas de JSON, consulte [Información general de políticas de JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) en la *Guía del usuario de IAM*. Mediante las políticas, los administradores especifican quién tiene acceso a qué, definiendo qué **entidad principal** puede realizar **acciones** sobre qué **recursos** y en qué **condiciones**. De forma predeterminada, los usuarios y los roles no tienen permisos. Un administrador de IAM crea políticas de IAM y las agrega a roles, que los usuarios pueden asumir posteriormente. Las políticas de IAM definen permisos independientemente del método que se utilice para realizar la operación. ### Políticas basadas en identidades Las políticas basadas en identidad son documentos de política de permisos JSON que asocia a una identidad (usuario, grupo o rol). Estas políticas controlan qué acciones pueden realizar las identidades, en qué recursos y en qué condiciones. Para obtener más información sobre cómo crear una política basada en la identidad, consulte [Definición de permisos de IAM personalizados con políticas administradas por el cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) en la *Guía del usuario de IAM*. Las políticas basadas en identidad pueden ser *políticas insertadas* (incrustadas directamente en una sola identidad) o *políticas administradas* (políticas independientes asociadas a varias identidades). Para obtener información sobre cómo elegir entre políticas administradas e insertadas, consulte [Selección entre políticas administradas y políticas insertadas](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) en la *Guía del usuario de IAM*. ### Políticas basadas en recursos Las políticas basadas en recursos son documentos de políticas JSON que se asocian a un recurso. Los ejemplos incluyen las *Políticas de confianza de roles* de IAM y las *Políticas de bucket* de Amazon S3. En los servicios que admiten políticas basadas en recursos, los administradores de servicios pueden utilizarlos para controlar el acceso a un recurso específico. Debe [especificar una entidad principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) en una política basada en recursos. Las políticas basadas en recursos son políticas insertadas que se encuentran en ese servicio. No puedes usar políticas AWS gestionadas de IAM en una política basada en recursos. ### Listas de control de acceso () ACLs Las listas de control de acceso (ACLs) controlan qué responsables (miembros de la cuenta, usuarios o roles) tienen permisos para acceder a un recurso. ACLs son similares a las políticas basadas en recursos, aunque no utilizan el formato de documento de políticas JSON. Amazon S3 y Amazon VPC son ejemplos de servicios compatibles. AWS WAF ACLs Para obtener más información ACLs, consulte la [descripción general de la lista de control de acceso (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) en la *Guía para desarrolladores de Amazon Simple Storage Service*. ### Otros tipos de políticas AWS admite tipos de políticas adicionales que pueden establecer los permisos máximos otorgados por los tipos de políticas más comunes: + **Límites de permisos:** establecen los permisos máximos que una política basada en identidad puede conceder a una entidad de IAM. Para obtener más información, consulte [Límites de permisos para las entidades de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) en la *Guía del usuario de IAM*. + **Políticas de control de servicios (SCPs)**: especifican los permisos máximos para una organización o unidad organizativa en AWS Organizations. Para obtener más información, consulte [Políticas de control de servicios](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) en la *Guía del usuario de AWS Organizations *. + **Políticas de control de recursos (RCPs)**: establece los permisos máximos disponibles para los recursos de tus cuentas. Para obtener más información, consulte [Políticas de control de recursos (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) en la *Guía del AWS Organizations usuario*. + **Políticas de sesión:** políticas avanzadas que se pasan como parámetro cuando se crea una sesión temporal para un rol o un usuario federado. Para obtener más información, consulte [Políticas de sesión](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) en la *Guía del usuario de IAM*. ### Varios tipos de políticas Cuando se aplican varios tipos de políticas a una solicitud, los permisos resultantes son más complicados de entender. Para saber cómo se AWS determina si se debe permitir una solicitud cuando se trata de varios tipos de políticas, consulte la [lógica de evaluación de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) en la *Guía del usuario de IAM*. # Cómo funciona Amazon Kendra con IAM Antes de utilizar IAM para administrar el acceso a Amazon Kendra, debe conocer qué características de IAM están disponibles con Amazon Kendra. *Para obtener una visión general de cómo Amazon Kendra y otros AWS servicios funcionan con IAM, consulte [AWS Servicios que funcionan con IAM en la Guía del usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).* **Topics** + [Políticas de Amazon Kendra basadas en identidades](#security_iam_service-with-iam-id-based-policies) + [Políticas de Amazon Kendra basadas en recursos](#security_iam_service-with-iam-resource-based-policies) + [Listas de control de acceso () ACLs](#security_iam_service-with-iam-acls) + [Autorización basada en etiquetas de Amazon Kendra](#security_iam_service-with-iam-tags) + [Roles de IAM en Amazon Kendra](#security_iam_service-with-iam-roles) ## Políticas de Amazon Kendra basadas en identidades Con las políticas basadas en identidades de IAM, puede especificar las acciones y los recursos permitidos o denegados, así como las condiciones en las que se permiten o deniegan las acciones. Amazon Kendra admite acciones, claves de condiciones y recursos específicos. Para obtener información sobre todos los elementos que utiliza en una política JSON, consulte [Referencia de los elementos de las políticas JSON de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) en la *Guía del usuario de IAM*. ### Acciones Los administradores pueden usar las políticas de AWS JSON para especificar quién tiene acceso a qué. Es decir, qué **entidad principal** puede realizar **acciones** en qué **recursos** y en qué **condiciones**. El elemento `Action` de una política JSON describe las acciones que puede utilizar para conceder o denegar el acceso en una política. Incluya acciones en una política para conceder permisos y así llevar a cabo la operación asociada. Las acciones de políticas de Amazon Kendra utilizan el siguiente prefijo antes de la acción: `kendra:`. Por ejemplo, para conceder permiso a alguien para que publique índices de Amazon Kendra con la operación de [ListIndices](https://docs.aws.amazon.com/kendra/latest/dg/API_ListIndices.html)API, debe incluir la `kendra:ListIndices` acción en su política. Las instrucciones de la política deben incluir un elemento `Action` o un elemento `NotAction`. Amazon Kendra define su propio conjunto de acciones que describen las tareas que se pueden realizar con este servicio. Para especificar varias acciones en una única instrucción, sepárelas con comas del siguiente modo: ``` "Action": [ "kendra:action1", "kendra:action2" ``` Puede utilizar caracteres comodín para especificar varias acciones (\$1). Por ejemplo, para especificar todas las acciones que comiencen con la palabra `Describe`, incluya la siguiente acción: ``` "Action": "kendra:Describe*" ``` Para ver una lista de las acciones de Amazon Kendra, consulte [Acciones definidas por Amazon Kendra](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_kendra.html#kendra-actions-as-permissions) en la *Guía del usuario de IAM*. ### Recursos Los administradores pueden usar las políticas de AWS JSON para especificar quién tiene acceso a qué. Es decir, qué **entidad principal** puede realizar **acciones** en qué **recursos** y en qué **condiciones**. El elemento `Resource` de la política JSON especifica el objeto u objetos a los que se aplica la acción. Como práctica recomendada, especifique un recurso utilizando el [Nombre de recurso de Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). En el caso de las acciones que no admiten permisos por recurso, utilice un carácter comodín (\$1) para indicar que la instrucción se aplica a todos los recursos. ``` "Resource": "*" ``` El recurso de índice de Amazon Kendra tiene el siguiente ARN: ``` arn:${Partition}:kendra:${Region}:${Account}:index/${IndexId} ``` Para obtener más información sobre el formato de ARNs, consulte [Amazon Resource Names (ARNs) y AWS Service Namespaces](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html). Por ejemplo, para especificar un índice en su instrucción, utilice el GUID del índice en el ARN siguiente: ``` "Resource": "arn:aws:kendra:${Region}:${Account}:index/${GUID}" ``` Para especificar todos los índices que pertenecen a una cuenta específica, utilice el carácter comodín (\$1): ``` "Resource": "arn:aws:${Region}:${Account}:index/*" ``` Algunas acciones de Amazon Kendra, como las que se utilizan para crear recursos, no se pueden llevar a cabo en un recurso específico. En dichos casos, debe utilizar el carácter comodín (\$1). ``` "Resource": "*" ``` Para ver una lista de los tipos de recursos de Amazon Kendra y sus tipos ARNs, consulte [Recursos definidos por Amazon Kendra](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_kendra.html#kendra-resources-for-iam-policies) en *la Guía del* usuario de IAM. Para obtener información acerca de las acciones con las que puede especificar el ARN de cada recurso, consulte [Acciones definidas por Amazon Kendra](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_kendra.html#kendra-actions-as-permissions). ### Claves de condición Los administradores pueden usar las políticas de AWS JSON para especificar quién tiene acceso a qué. Es decir, qué **entidad principal** puede realizar **acciones** en qué **recursos** y en qué **condiciones**. El elemento `Condition` especifica cuándo se ejecutan las instrucciones en función de criterios definidos. Puede crear expresiones condicionales que utilizan [operadores de condición](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), tales como igual o menor que, para que la condición de la política coincida con los valores de la solicitud. Para ver todas las claves de condición AWS globales, consulte las claves de [contexto de condición AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) en la *Guía del usuario de IAM*. Amazon Kendra no proporciona ninguna clave de condición específica del servicio, pero sí admite el uso de algunas claves de condición globales. Para ver todas las claves de condición AWS globales, consulte las claves de [contexto de condición AWS globales](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) en la Guía del *usuario de IAM*. ### Ejemplos Para ver ejemplos de políticas basadas en identidad de Amazon Kendra, consulte [Ejemplos de políticas basadas en identidades de Amazon Kendra](security_iam_id-based-policy-examples.md). ## Políticas de Amazon Kendra basadas en recursos Amazon Kendra no admite las políticas basadas en recursos. ## Listas de control de acceso () ACLs Amazon Kendra no admite listas de control de acceso (ACLs) para acceder a AWS los servicios y recursos. ## Autorización basada en etiquetas de Amazon Kendra Puede asociar etiquetas a determinados tipos de recursos de Amazon Kendra para autorizar el acceso a dichos recursos. Para controlar el acceso utilizando etiquetas, debe proporcionar información de las etiquetas en el elemento de condición de una política utilizando las claves de condición `aws:RequestTag/key-name` o `aws:TagKeys`. En la tabla siguiente se enumeran las acciones, los tipos de recursos correspondientes y las claves de condición para el control de acceso basado en etiquetas. Cada acción se autoriza en función de las etiquetas asociadas al tipo de recurso correspondiente. | Action | Tipo de recurso | Claves de condición | | --- | --- | --- | | [CreateDataSource](https://docs.aws.amazon.com/kendra/latest/dg/API_CreateDataSource.html) |   | aws:RequestTag, aws:TagKeys | | [CreateFaq](https://docs.aws.amazon.com/kendra/latest/dg/API_CreateFaq.html) |   | aws:RequestTag, aws:TagKeys | | [CreateIndex](https://docs.aws.amazon.com/kendra/latest/dg/API_CreateIndex.html) |   | aws:RequestTag, aws:TagKeys | | [API\$1ListTagsForResource](https://docs.aws.amazon.com/kendra/latest/dg/API_ListTagsForResource.html) | origen de datos, preguntas frecuentes, índice |   | | [TagResource](https://docs.aws.amazon.com/kendra/latest/dg/API_TagResource.html) | origen de datos, preguntas frecuentes, índice | aws:RequestTag, aws:TagKeys | | [UntagResource](https://docs.aws.amazon.com/kendra/latest/dg/API_UntagResource.html) | origen de datos, preguntas frecuentes, índice | aws:TagKeys | Para obtener información acerca del etiquetado de recursos de Amazon Kendra, consulte [Tags](tagging.md). Para obtener un ejemplo de política basada en identidad que limita el acceso a un recurso basado en etiquetas de recurso, consulte [Ejemplo de política basada en etiquetas](security_iam_id-based-policy-examples.md#examples-tagging). Para obtener más información sobre el uso de etiquetas para limitar el acceso a los recursos, consulte [Control del acceso mediante etiquetas](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html) en la *Guía del usuario de IAM*. ## Roles de IAM en Amazon Kendra Un [rol de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) es una entidad de su AWS cuenta que tiene permisos específicos. ### Uso de credenciales temporales con Amazon Kendra Puede utilizar credenciales temporales para iniciar sesión con federación, asumir un rol de IAM o asumir un rol de acceso entre cuentas. Para obtener credenciales de seguridad temporales, puede llamar a operaciones de AWS STS API como [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)o [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html). Amazon Kendra admite el uso de credenciales temporales. ### Roles de servicio Esta característica permite que un servicio asuma un [rol de servicio](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) en su nombre. Este rol permite que el servicio obtenga acceso a los recursos de otros servicios para completar una acción en su nombre. Los roles de servicio aparecen en su cuenta de IAM y son propiedad de la cuenta. Esto significa que un administrador de IAM puede cambiar los permisos de este rol. Sin embargo, hacerlo podría deteriorar la funcionalidad del servicio. Amazon Kendra admite roles de servicio. ### Elegir un rol de IAM en Amazon Kendra Al crear un índice, llamar a la operación `BatchPutDocument`, crear un origen de datos o crear una sección de preguntas frecuentes, debe proporcionar un rol de acceso Nombre de recurso de Amazon (ARN) que Amazon Kendra utilice para acceder a los recursos necesarios en su nombre. Si ya ha creado un rol, la consola de Amazon Kendra proporciona una lista de roles para elegir. Es importante elegir un rol que permita el acceso a los recursos que necesita. Para obtener más información, consulte [IAM Roles de acceso de para Amazon Kendra](iam-roles.md). # Ejemplos de políticas basadas en identidades de Amazon Kendra De forma predeterminada, los usuarios y roles no tienen permiso para crear ni modificar los recursos de Amazon Kendra. Tampoco pueden realizar tareas con la AWS API Consola de administración de AWS AWS CLI, o. Un administrador de IAM debe crear políticas de IAM que concedan permisos a los usuarios y a los roles para realizar operaciones de la API concretas en los recursos especificados que necesiten. El administrador debe asociar esas políticas a los usuarios o grupos que necesiten esos permisos. Para obtener información acerca de cómo crear una política basada en identidad de IAM con estos documentos de políticas JSON de ejemplo, consulte [Creación de políticas en la pestaña JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) en la *Guía del usuario de IAM*. **Topics** + [Prácticas recomendadas relativas a políticas](#security_iam_service-with-iam-policy-best-practices) + [AWS Políticas administradas (predefinidas) para Amazon Kendra](#security_iam_id-predefined-policies) + [Cómo permitir a los usuarios consultar sus propios permisos](#security_iam_id-based-policy-examples-view-own-permissions) + [Acceso a un índice de Amazon Kendra](#security_iam_id-based-policy-examples-access-query-index) + [Ejemplo de política basada en etiquetas](#examples-tagging) ## Prácticas recomendadas relativas a políticas Las políticas basadas en identidades determinan si alguien puede crear, eliminar o acceder a los recursos de Amazon Kendra de la cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades: + **Comience con las políticas AWS administradas y avance hacia los permisos con privilegios mínimos**: para empezar a conceder permisos a sus usuarios y cargas de trabajo, utilice las *políticas AWS administradas* que otorgan permisos en muchos casos de uso comunes. Están disponibles en su. Cuenta de AWS Le recomendamos que reduzca aún más los permisos definiendo políticas administradas por el AWS cliente que sean específicas para sus casos de uso. Con el fin de obtener más información, consulte las [políticas administradas por AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) o las [políticas administradas por AWS para funciones de tarea](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) en la *Guía de usuario de IAM*. + **Aplique permisos de privilegio mínimo**: cuando establezca permisos con políticas de IAM, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como *permisos de privilegios mínimos*. Con el fin de obtener más información sobre el uso de IAM para aplicar permisos, consulte [Políticas y permisos en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) en la *Guía del usuario de IAM*. + **Utilice condiciones en las políticas de IAM para restringir aún más el acceso**: puede agregar una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de políticas para especificar que todas las solicitudes deben enviarse utilizando SSL. También puedes usar condiciones para conceder el acceso a las acciones del servicio si se utilizan a través de una acción específica Servicio de AWS, por ejemplo CloudFormation. Para obtener más información, consulte [Elementos de la política de JSON de IAM: Condición](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) en la *Guía del usuario de IAM*. + **Utiliza el analizador de acceso de IAM para validar las políticas de IAM con el fin de garantizar la seguridad y funcionalidad de los permisos**: el analizador de acceso de IAM valida políticas nuevas y existentes para que respeten el lenguaje (JSON) de las políticas de IAM y las prácticas recomendadas de IAM. El analizador de acceso de IAM proporciona más de 100 verificaciones de políticas y recomendaciones procesables para ayudar a crear políticas seguras y funcionales. Para más información, consulte [Validación de políticas con el Analizador de acceso de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) en la *Guía del usuario de IAM*. + **Requerir autenticación multifactor (MFA**): si tiene un escenario que requiere usuarios de IAM o un usuario raíz en Cuenta de AWS su cuenta, active la MFA para mayor seguridad. Para exigir la MFA cuando se invoquen las operaciones de la API, añada condiciones de MFA a sus políticas. Para más información, consulte [Acceso seguro a la API con MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) en la *Guía del usuario de IAM*. Para obtener más información sobre las prácticas recomendadas de IAM, consulte [Prácticas recomendadas de seguridad en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) en la *Guía del usuario de IAM*. ## AWS Políticas administradas (predefinidas) para Amazon Kendra AWS aborda muchos casos de uso comunes al proporcionar políticas de IAM independientes que son creadas y administradas por. AWS Estas políticas se denominan políticas AWS gestionadas. AWS Las políticas administradas le permiten asignar permisos a los usuarios, grupos y roles con más facilidad que si tuviera que escribir las políticas usted mismo. Para obtener más información, consulte [Adición de permisos a un usuario](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) en la *Guía del usuario de IAM*. Las siguientes políticas AWS gestionadas, que puede adjuntar a los grupos y roles de su cuenta, son específicas de Amazon Kendra: + **AmazonKendraReadOnly**— Otorga acceso de solo lectura a los recursos de Amazon Kendra. + **AmazonKendraFullAccess**— Otorga acceso completo para crear, leer, actualizar, eliminar, etiquetar y ejecutar todos los recursos de Amazon Kendra. En el caso de la consola, su rol también debe tener permisos `iam:CreateRole`, `iam:CreatePolicy`, `iam:AttachRolePolicy` y `s3:ListBucket`. **nota** Para consultar estos permisos, inicie sesión en la consola de IAM y busque las políticas específicas. También puede crear sus propias políticas personalizadas con el fin de conceder permisos para realizar acciones de la API de Amazon Kendra. Puede asociar estas políticas personalizadas a los roles o grupos de IAM que requieran esos permisos. Para obtener ejemplos de políticas de IAM para Amazon Kendra, consulte [Ejemplos de políticas basadas en identidades de Amazon Kendra](#security_iam_id-based-policy-examples). ## Cómo permitir a los usuarios consultar sus propios permisos En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas administradas e insertadas que se asocian a la identidad de sus usuarios. Esta política incluye permisos para completar esta acción en la consola o mediante programación mediante la AWS CLI API o. AWS ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Acceso a un índice de Amazon Kendra En este ejemplo, quieres conceder a un usuario de tu AWS cuenta acceso para consultar un índice. ## Ejemplo de política basada en etiquetas Las políticas basadas en etiquetas son documentos de política JSON que especifican las acciones que una entidad principal puede realizar en recursos etiquetados. ### Ejemplo: usar una etiqueta para acceder a un recurso Este ejemplo de política otorga a un usuario o rol de su AWS cuenta permiso para usar la `Query` operación con cualquier recurso etiquetado con la clave **department** y el valor**finance**. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kendra:Query" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/department": "finance" } } } ] } ``` ------ ### Ejemplo: usar una etiqueta para activar operaciones de Amazon Kendra Este ejemplo de política otorga a un usuario o rol de su AWS cuenta permiso para usar cualquier operación de Amazon Kendra, excepto la `TagResource` operación con cualquier recurso etiquetado con la clave **department** y el valor. **finance** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "kendra:*", "Resource": "*" }, { "Effect": "Deny", "Action": [ "kendra:TagResource" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/department": "finance" } } } ] } ``` ------ ### Ejemplo: usar una etiqueta para restringir el acceso a una operación Este ejemplo de política restringe el acceso de un usuario o rol de su AWS cuenta para usar la `CreateIndex` operación, a menos que el usuario proporcione la **department** etiqueta y tenga los valores **finance** permitidos y. **IT** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "kendra:CreateIndex", "Resource": "*" }, { "Effect": "Deny", "Action": "kendra:CreateIndex", "Resource": "*", "Condition": { "Null": { "aws:RequestTag/department": "true" } } }, { "Effect": "Deny", "Action": "kendra:CreateIndex", "Resource": "*", "Condition": { "ForAnyValue:StringNotEquals": { "aws:RequestTag/department": [ "finance", "IT" ] } } } ] } ``` ------ # AWS políticas gestionadas para Amazon Kendra Para añadir permisos a usuarios, grupos y roles, es más fácil usar políticas AWS administradas que escribirlas usted mismo. Se necesita tiempo y experiencia para [crear políticas administradas por el cliente de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) que proporcionen a su equipo solo los permisos necesarios. Para empezar rápidamente, puedes usar nuestras políticas AWS gestionadas. Estas políticas cubren casos de uso comunes y están disponibles en tu AWS cuenta. Para obtener más información sobre las políticas AWS administradas, consulte las [políticas AWS administradas](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) en la *Guía del usuario de IAM*. AWS los servicios mantienen y AWS actualizan las políticas gestionadas. No puede cambiar los permisos en las políticas AWS gestionadas. En ocasiones, los servicios agregan permisos adicionales a una política administrada de AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política administrada de AWS cuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no eliminan los permisos de una política AWS administrada, por lo que las actualizaciones de la política no afectarán a los permisos existentes. Además, AWS admite políticas administradas para funciones laborales que abarcan varios servicios. Por ejemplo, la política **ReadOnlyAccess** AWS gestionada proporciona acceso de solo lectura a todos los AWS servicios y recursos. Cuando un servicio lanza una nueva función, AWS agrega permisos de solo lectura para nuevas operaciones y recursos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte [Políticas administradas de AWS para funciones de trabajo](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) en la *Guía del usuario de IAM*. ## AWS política gestionada: AmazonKendraReadOnly Concede acceso de solo lectura a los recursos de Amazon Kendra. Esta política incluye los siguientes permisos. + `kendra`: permite a los usuarios realizar acciones que devuelven una lista de elementos o detalles sobre un elemento. Esto incluye las operaciones de la API que comienzan con `Describe`, `List`, `Query`, `BatchGetDocumentStatus`, `GetQuerySuggestions` o `GetSnapshots`. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "kendra:Describe*", "kendra:List*", "kendra:Query", "kendra:BatchGetDocumentStatus", "kendra:GetQuerySuggestions", "kendra:GetSnapshots" ], "Effect": "Allow", "Resource": "*" } ] } ``` ------ ## AWS política gestionada: AmazonKendraFullAccess Concede acceso para crear, leer, actualizar, eliminar, etiquetar y ejecutar todos los recursos de Amazon Kendra. Esta política incluye los siguientes permisos. + `kendra`: permite a las entidades principales acceso de lectura y escritura a todas las acciones de Amazon Kendra. + `s3`: permite a las entidades principales obtener ubicaciones de buckets de Amazon S3 y enumerar buckets. + `iam`: permite a las entidades principales transmitir y enumerar roles. + `kms`—Permite a los directores describir y enumerar AWS KMS las claves y los alias. + `secretsmanager`: permite a las entidades principales crear, describir y enumerar secretos. + `ec2`—Permite a los directores describir los grupos de seguridad VCPs (nube privada virtual) y las subredes. + `cloudwatch`: permite a las entidades principales ver las métricas de Cloud Watch. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": "kendra.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "iam:ListRoles" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "ec2:DescribeSecurityGroups", "ec2:DescribeVpcs", "ec2:DescribeSubnets" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "kms:ListKeys", "kms:ListAliases", "kms:DescribeKey" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "s3:ListAllMyBuckets", "s3:GetBucketLocation" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "secretsmanager:ListSecrets" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "cloudwatch:GetMetricData" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "secretsmanager:CreateSecret", "secretsmanager:DescribeSecret" ], "Resource": "arn:aws:secretsmanager:*:*:secret:AmazonKendra-*" }, { "Effect": "Allow", "Action": "kendra:*", "Resource": "*" } ] } ``` ------ ## Amazon Kendra actualiza las políticas gestionadas AWS Consulte los detalles sobre las actualizaciones de las políticas AWS gestionadas de Amazon Kendra desde que este servicio comenzó a realizar el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página de historial de documentos de Amazon Kendra. | Cambio | Descripción | Fecha | | --- | --- | --- | | [AmazonKendraReadOnly—Añadir permiso para dar soporte, GetSnapshots BatchGetDocumentStatus APIs](https://docs.aws.amazon.com/kendra/latest/dg/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonKendraReadOnly) | Amazon Kendra agregó nuevas APIs `GetSnapshots` y. `BatchGetDocumentStatus` `GetSnapshots`proporciona datos que muestran cómo interactúan sus usuarios con su aplicación de búsqueda. `BatchGetDocumentStatus`supervisa el progreso de la indexación de los documentos. | 3 de enero de 2022 | | [AmazonKendraReadOnly—Agregue un permiso para respaldar la operación GetQuerySuggestions ](https://docs.aws.amazon.com/kendra/latest/dg/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonKendraReadOnly) | Amazon Kendra agregó una nueva API `GetQuerySuggestions` que permite acceder a sugerencias de consultas de búsqueda populares, lo que ayuda a guiar la búsqueda de los usuarios. Cuando los usuarios escriben su consulta de búsqueda, la consulta sugerida ayuda a completar automáticamente la búsqueda. | 27 de mayo de 2021 | | Amazon Kendra comenzó a realizar el seguimiento de los cambios | Amazon Kendra comenzó a realizar un seguimiento de los cambios en sus políticas AWS gestionadas. | 27 de mayo de 2021 | # Solución de problemas de identidad y acceso de Amazon Kendra Utilice la siguiente información para diagnosticar y solucionar los problemas habituales que pueden surgir cuando se trabaja con Amazon Kendra e IAM. **Topics** + [No tengo autorización para realizar una acción en Amazon Kendra](#security_iam_troubleshoot-no-permissions) + [No estoy autorizado a realizar lo siguiente: PassRole](#security_iam_troubleshoot-passrole) + [Soy administrador y deseo permitir que otras personas accedan a Amazon Kendra](#security_iam_troubleshoot-admin-delegate) + [Quiero permitir que personas ajenas a mi AWS cuenta accedan a mis recursos de Amazon Kendra](#security_iam_troubleshoot-cross-account-access) ## No tengo autorización para realizar una acción en Amazon Kendra Si Consola de administración de AWS le indica que no está autorizado a realizar una acción, debe ponerse en contacto con su administrador para obtener ayuda. El administrador es la persona que le proporcionó las credenciales de inicio de sesión. En el siguiente ejemplo, el error se produce cuando el usuario `mateojackson` intenta utilizar la consola para ver detalles sobre un índice, pero no tiene permisos `kendra:DescribeIndex`. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: kendra:DescribeIndex on resource: index ARN ``` En este caso, Mateo pide a su administrador que actualice sus políticas de forma que pueda obtener acceso al recurso `index` mediante la acción `kendra:DescribeIndex`. ## No estoy autorizado a realizar lo siguiente: PassRole Si recibe un error que indica que no tiene autorización para llevar a cabo la acción `iam:PassRole`, las políticas se deben actualizar para permitirle pasar un rol a Amazon Kendra. Algunas Servicios de AWS permiten transferir una función existente a ese servicio en lugar de crear una nueva función de servicio o una función vinculada a un servicio. Para ello, debe tener permisos para transferir la función al servicio. En el siguiente ejemplo, el error se produce cuando un usuario de IAM denominado `marymajor` intenta utilizar la consola para realizar una acción en Amazon Kendra. Sin embargo, la acción requiere que el servicio cuente con permisos que otorguen un rol de servicio. Mary no tiene permisos para transferir el rol al servicio. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` En este caso, las políticas de Mary se deben actualizar para permitirle realizar la acción `iam:PassRole`. Si necesita ayuda, póngase en contacto con su AWS administrador. El administrador es la persona que le proporcionó las credenciales de inicio de sesión. ## Soy administrador y deseo permitir que otras personas accedan a Amazon Kendra Para permitir que otros accedan a Amazon Kendra, debe conceder permiso a las personas o aplicaciones que necesitan acceso. Si usa AWS IAM Identity Center para administrar las personas y las aplicaciones, debe asignar conjuntos de permisos a los usuarios o grupos para definir su nivel de acceso. Los conjuntos de permisos crean políticas de IAM y las asignan a los roles de IAM asociados a la persona o aplicación de forma automática. Para obtener más información, consulte la sección [Conjuntos de permisos](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html) en la *Guía del usuario de AWS IAM Identity Center *. Si no utiliza IAM Identity Center, debe crear entidades de IAM (usuarios o roles) para las personas o aplicaciones que necesitan acceso. A continuación, debe asociar una política a la entidad que les conceda los permisos correctos en Amazon Kendra. Una vez concedidos los permisos, proporcione las credenciales al usuario o al desarrollador de la aplicación. Utilizarán esas credenciales para acceder a AWS. Para obtener más información sobre la creación de usuarios, grupos, políticas y permisos de IAM, consulte [Identidades de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html) y [Políticas y permisos en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) en la *Guía del usuario de IAM*. ## Quiero permitir que personas ajenas a mi AWS cuenta accedan a mis recursos de Amazon Kendra Se puede crear un rol que los usuarios de otras cuentas o las personas externas a la organización puedan utilizar para acceder a sus recursos. Se puede especificar una persona de confianza para que asuma el rol. En el caso de los servicios que admiten políticas basadas en recursos o listas de control de acceso (ACLs), puede usar esas políticas para permitir que las personas accedan a sus recursos. Para obtener más información, consulte lo siguiente: + Para saber si Amazon Kendra admite estas características, consulte [Cómo funciona Amazon Kendra con IAM](security_iam_service-with-iam.md). + Para obtener información sobre cómo proporcionar acceso a los recursos de su Cuentas de AWS propiedad, consulte [Proporcionar acceso a un usuario de IAM en otro de su propiedad en la Cuenta de AWS Guía del usuario](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) de *IAM*. + Para obtener información sobre cómo proporcionar acceso a tus recursos a terceros Cuentas de AWS, consulta Cómo [proporcionar acceso a recursos que Cuentas de AWS son propiedad de terceros](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) en la Guía del usuario de *IAM*. + Para obtener información sobre cómo proporcionar acceso mediante una federación de identidades, consulte [Proporcionar acceso a usuarios autenticados externamente (identidad federada)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) en la *Guía del usuario de IAM*. + Para conocer sobre la diferencia entre las políticas basadas en roles y en recursos para el acceso entre cuentas, consulte [Acceso a recursos entre cuentas en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) en la *Guía del usuario de IAM*.