Uso de políticas basadas en identidades en el Programador de EventBridge

De forma predeterminada, los usuarios y roles no tienen permiso para crear, ver ni modificar recursos del Programador de EventBridge. Un administrador de IAM puede crear políticas de IAM para conceder permisos a los usuarios para realizar acciones en los recursos que necesitan.

Para obtener información acerca de cómo crear una política basada en identidades de IAM mediante el uso de estos documentos de políticas JSON de ejemplo, consulte Creación de políticas de IAM (consola) en la Guía del usuario de IAM.

A fin de obtener más información sobre las acciones y los tipos de recursos definidos por el Programador de EventBridge, incluido el formato de los ARN para cada tipo de recurso, consulte Acciones, recursos y claves de condición para el Programador de Amazon EventBridge en la Referencia de autorizaciones de servicio.

Prácticas recomendadas sobre las políticas

Las políticas basadas en identidades determinan si alguien puede crear, acceder o eliminar los recursos del Programador de EventBridge de la cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidades:

Para obtener más información sobre las prácticas recomendadas de IAM, consulte Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

Permisos del Programador de EventBridge

Para que una entidad principal de IAM (usuario, grupo o rol) pueda crear planificaciones en el Programador de EventBridge y acceder a los recursos del Programador de EventBridge a través de la consola o la API, la entidad principal debe tener un conjunto de permisos añadido a su política de permisos. Puede configurar estos permisos en función de la función de trabajo de la entidad principal. Por ejemplo, un usuario o rol que solo usa la consola del Programador de EventBridge para ver una lista de los horarios existentes no necesita tener los permisos necesarios para llamar a la operación de la API CreateSchedule. Le recomendamos que adapte sus permisos basados en la identidad para proporcionar solo el acceso con menos privilegios.

La siguiente lista muestra los recursos del Programador de EventBridge y sus correspondientes acciones compatibles.

Puede utilizar los permisos del Programador de EventBridge para crear sus propias políticas administradas por el cliente y utilizarlas con el Programador de EventBridge. También puede usar las políticas administradas por AWS que se describen en la siguiente sección para conceder los permisos necesarios para casos de uso comunes sin tener que administrar sus propias políticas.

Políticas administradas por AWS para el Programador de EventBridge

AWS aborda muchos casos de uso comunes proporcionando políticas de IAM independientes que AWS crea y administra. Las políticas administradas o predefinidas otorgan los permisos necesarios para casos de uso comunes, por lo que no es necesario investigar qué permisos se necesitan. Para obtener más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM. Las siguientes políticas administradas por AWS que puede asociar a usuarios de su cuenta son específicas del Programador de EventBridge:

Políticas administradas por el cliente para el Programador de EventBridge

Utilice los ejemplos que se indican a continuación para crear políticas administradas por el cliente para el Programador de EventBridge. Las políticas administradas por el cliente le permiten conceder permisos únicamente para las acciones y los recursos necesarios para las aplicaciones y los usuarios de su equipo en función de la función de trabajo de la entidad principal.

Ejemplo:: CreateSchedule

Al crear una nueva programación, puede elegir si desea cifrar sus datos en el Programador de EventBridge mediante Clave propiedad de AWS o mediante una clave administrada por el cliente.

La siguiente política permite a la entidad principal crear una programación y aplicar el cifrado mediante una Clave propiedad de AWS. Con una Clave propiedad de AWS, AWS administra los recursos en AWS Key Management Service (AWS KMS) por usted, por lo que no necesita permisos adicionales para interactuar con AWS KMS.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Use la siguiente política para permitir que una entidad principal cree una programación y use una clave administrada por el cliente AWS KMS para el cifrado. Para utilizar una clave administrada por el cliente, la entidad principal debe tener permiso para acceder a los recursos de AWS KMS de su cuenta. Esta política concede acceso a una única clave KMS específica que se utilizará para cifrar datos en el Programador de EventBridge. Como alternativa, puede usar un carácter comodín (*) para conceder acceso a todas las claves de una cuenta o a un subconjunto que coincida con un patrón de nombres determinado.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
            "arn:aws:scheduler:us-east-1:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Condition": {
                "StringLike": {
                "kms:ViaService": "scheduler.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Ejemplo:: GetSchedule

Utilice la siguiente política para permitir que la entidad principal obtenga información sobre una programación.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:GetSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        }
    ]
}

Ejemplo:: UpdateSchedule

Utilice las siguientes políticas para permitir que una entidad principal actualice una programación llamando a la acción scheduler:UpdateSchedule. Del mismo modo que CreateSchedule, la política depende de si el programa utiliza una clave AWS KMS Clave propiedad de AWS o una clave administrada por el cliente para el cifrado. Para una programación configurada con una Clave propiedad de AWS, utilice la siguiente política:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Para una programación configurada con una clave administrada por el cliente, utilice la siguiente política.​ Esta política incluye permisos adicionales que permiten a la entidad principal acceder a los recursos de AWS KMS de su cuenta:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
            "arn:aws:scheduler:us-east-1:123456789012:schedule/my-group/my-schedule-name"
    ]
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Condition": {
                "StringLike": {
                "kms:ViaService": "scheduler.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-east-1:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Ejemplo:: DeleteScheduleGroup

Use la siguiente política para permitir que una entidad principal elimine un grupo de programaciones. Cuando elimina un grupo, también elimina las programaciones asociadas a ese grupo. La entidad principal que elimine el grupo debe tener permiso para eliminar también las programaciones asociadas a ese grupo. Esta política otorga un permiso a la entidad principal para ejecutar la acción scheduler:DeleteScheduleGroup en los grupos de programaciones especificados, así como en todas las programaciones del grupo:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteSchedule",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/*"
        },
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteScheduleGroup",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Actualizaciones de políticas administradas por AWS