Configurar el Programador de Amazon EventBridge - Programador de EventBridge
Registrarse en AWSCreación un usuario de IAMUsar políticas administradas porConfigurar el rol de ejecuciónConfigurar un destinoSiguientes pasos

Configurar el Programador de Amazon EventBridge

Antes de poder utilizar el Programador de EventBridge, debe llevar a cabo los pasos siguientes.

Registrarse en AWS

Si no dispone de una Cuenta de AWS, siga los pasos que figuran a continuación para crear una.

Procedimiento para registrarse en Cuenta de AWS

  1. Abra https://portal.aws.amazon.com/billing/signup.

  2. Siga las instrucciones que se le indiquen.

    Parte del procedimiento de registro consiste en recibir una llamada telefónica o mensaje de texto e indicar un código de verificación en el teclado del teléfono.

    Al registrarse en una Cuenta de AWS, se crea un Usuario raíz de la cuenta de AWS. El usuario raíz tendrá acceso a todos los Servicios de AWS y recursos de esa cuenta. Como práctica recomendada de seguridad, asigne acceso administrativo a un usuario y utilice únicamente el usuario raíz para realizar tareas que requieren acceso de usuario raíz.

Creación un usuario de IAM

Para crear un usuario administrador, elija una de las siguientes opciones.

Elegir una forma de administrar el administrador Para Haga esto También puede
En IAM Identity Center

(recomendado)

 Usar credenciales a corto plazo para acceder a AWS.

Esto se ajusta a las prácticas recomendadas de seguridad. Para obtener información sobre las prácticas recomendadas, consulta Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM.

 Siga las instrucciones en Introducción en la Guía del usuario de AWS IAM Identity Center. Configurar el acceso programático mediante Configuración de la AWS CLI para usar AWS IAM Identity Center en la Guía del usuario de AWS Command Line Interface.
En IAM

(no recomendado)

 Usar credenciales a largo plazo para acceder a AWS. Siguiendo las instrucciones de Crear un usuario de IAM para acceso de emergencia de la Guía del usuario de IAM. Configure el acceso programático mediante Administrar las claves de acceso de los usuarios de IAM en la Guía del usuario de IAM.

Usar políticas administradas por

En el paso anterior, configuró un usuario de IAM con las credenciales para acceder a sus recursos de AWS. En la mayoría de los casos, para utilizar el Programador de EventBridge de forma segura, se recomienda crear usuarios, grupos o roles independientes con solo los permisos necesarios para utilizar el Programador de EventBridge. El Programador de EventBridge admite las políticas administradas que se describen a continuación para casos de uso habituales.

  • AmazonEventBridgeSchedulerFullAccess: concede acceso completo al Programador de EventBridge mediante la consola y la API.

  • AmazonEventBridgeSchedulerReadOnlyAccess: concede acceso de solo lectura al Programador de EventBridge.

Puede adjuntar estas políticas administradas a sus entidades principales de IAM del mismo modo que adjuntó la política AdministratorAccess en el paso anterior. Para obtener más información acerca de cómo administrar el acceso al Programador de EventBridge mediante políticas de IAM basadas en identidades, consulte Uso de políticas basadas en identidades en el Programador de EventBridge.

Configurar el rol de ejecución

Un rol de ejecución es un rol de IAM que asume el Programador de EventBridge para interactuar con Servicios de AWS en su nombre. Adjunte políticas de permisos a este rol para conceder acceso al Programador de EventBridge para invocar destinos.

También puede crear una nueva función de ejecución cuando utilice la consola para crear una nueva programación. Si utiliza la consola, el Programador de EventBridge crea un rol en su nombre con permisos en función del destino que elija. Cuando el Programador de EventBridge crea un rol para usted, la política de confianza del rol incluye claves de condición que limitan las entidades principales que pueden asumir el rol en su nombre. Esto protege contra el posible problema de seguridad del suplente adjunto.

Los pasos que se describen a continuación describen cómo crear un nuevo rol de ejecución y cómo conceder acceso al Programador de EventBridge para invocar un destino. En este tema se describen los permisos para los destinos basados en plantillas más populares. Para obtener información sobre cómo añadir permisos para otros destinos, consulte Uso de destinos basados en plantillas en el Programador de EventBridge.

Para crear un rol de ejecución con la AWS CLI

  1. Copie la siguiente política JSON de asumir rol y guárdela localmente como Scheduler-Execution-Role.json. Esta política de confianza permite que el Programador de EventBridge asuma el rol en nombre de usted.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "scheduler.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
    importante

    Para configurar un rol de ejecución en un entorno de producción, recomendamos implementar medidas de seguridad adicionales para evitar errores del suplente confuso. Para obtener más información y una política de ejemplo, consulte Prevención del suplente confuso en el Programador de EventBridge.

  2. En AWS Command Line Interface (AWS CLI), escriba el siguiente comando para crear un nuevo rol. Sustituya SchedulerExecutionRole por el nombre que desee asignar a este rol. 

    $ aws iam create-role --role-name SchedulerExecutionRole --assume-role-policy-document file://Scheduler-Execution-Role.json

    Si todo va bien, obtendrá el siguiente resultado:

    {
    "Role": {
        "Path": "/",
        "RoleName": "Scheduler-Execution-Role",
        "RoleId": "BR1L2DZK3K4CTL5ZF9EIL",
        "Arn": "arn:aws:iam::123456789012:role/SchedulerExecutionRole",
        "CreateDate": "2022-03-10T18:45:01+00:00",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",		 	 	 
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "scheduler.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole"
                }
            ]
        }
    }
}

  3. Para crear una nueva política que permita al Programador de EventBridge invocar un destino, elija uno de los siguientes destinos comunes. Copie la política de permisos de JSON y guárdela localmente como un archivo .json.

    Amazon SQS – SendMessage

    Lo siguiente permite al Programador de EventBridge activar la acción sqs:SendMessage en todas las colas de Amazon SQS de su cuenta.

    JSON
    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "sqs:SendMessage"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}
    Amazon SNS – Publish

    Lo siguiente permite a el Programador de EventBridge iniciar la acción sns:Publish en todos los temas de Amazon SNS de su cuenta.

    JSON
    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "sns:Publish"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}
    Lambda – Invoke

    Lo siguiente permite a el Programador de EventBridge ejecutar la acción lambda:InvokeFunction en todas las funciones de Lambda de su cuenta.

    JSON
    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

  4. Ejecute el siguiente comando para crear la nueva política de permisos. Sustituya PolicyName por el nombre que desee asignar a esta política. 

    $ aws iam create-policy --policy-name PolicyName --policy-document file://PermissionPolicy.json

    Si todo va bien, obtendrá el siguiente resultado. Anote el ARN de la política. Utilice este ARN en el siguiente paso para asociar la política a nuestro rol de ejecución.

    {
    "Policy": {
        "PolicyName": "PolicyName",
        "CreateDate": "2022-03-015T19:31:18.620Z",
        "AttachmentCount": 0,
        "IsAttachable": true,
        "PolicyId": "ZXR6A36LTYANPAI7NJ5UV",
        "DefaultVersionId": "v1",
        "Path": "/",
        "Arn": "arn:aws:iam::123456789012:policy/PolicyName",
        "UpdateDate": "2022-03-015T19:31:18.620Z"
    }
}

  5. Ejecute el siguiente comando para adjuntar la política a su rol de ejecución. Sustituya your-policy-arn por el ARN de la política que creó en el paso anterior. Sustituya SchedulerExecutionRole por el nombre de su rol de ejecución. 

    $ aws iam attach-role-policy --policy-arn your-policy-arn --role-name SchedulerExecutionRole

    La operación attach-role-policy no devuelve una respuesta en la línea de comandos.

Configurar un destino

Antes de crear una programación del Programador de EventBridge, necesita al menos un destino que la programación pueda invocar. Puede usar un recurso de AWS existente o crear uno nuevo. Los pasos que se describen a continuación muestran cómo crear una cola Amazon SQS estándar con CloudFormation.

Para crear una nueva cola de Amazon SQS

  1. Copie la siguiente plantilla CloudFormation JSON y guárdela localmente como SchedulerTargetSQS.json.

    {
   "AWSTemplateFormatVersion": "2010-09-09",
   "Resources": {
      "MyQueue": {
         "Type": "AWS::SQS::Queue",
         "Properties": {
            "QueueName": "MyQueue"
             }
         }
      },
   "Outputs": {
      "QueueName": {
         "Description": "The name of the queue",
         "Value": {
            "Fn::GetAtt": [
               "MyQueue",
               "QueueName"
            ]
         }
      },
      "QueueURL": {
         "Description": "The URL of the queue",
         "Value": {
            "Ref": "MyQueue"
         }
      },
      "QueueARN": {
         "Description": "The ARN of the queue",
         "Value": {
            "Fn::GetAtt": [
               "MyQueue",
               "Arn"
            ]
         }
      }
   }
}

  2. Desde AWS CLI, ejecute el siguiente comando para crear una pila CloudFormation a partir de la plantilla Scheduler-Target-SQS.json. 

    $ aws cloudformation create-stack --stack-name Scheduler-Target-SQS --template-body file://Scheduler-Target-SQS.json

    Si todo va bien, obtendrá el siguiente resultado:

    {
    "StackId": "arn:aws:cloudformation:us-west-2:123456789012:stack/Scheduler-Target-SQS/1d2af345-a121-12eb-abc1-012e34567890"
}

  3. Ejecute el siguiente comando para ver información resumida de la pila CloudFormation. Esta información incluye el estado de la pila y los resultados especificados en la plantilla. 

    $ aws cloudformation describe-stacks --stack-name Scheduler-Target-SQS

    Si la operación se realiza correctamente, el comando crea la cola de Amazon SQS y devuelve el siguiente resultado:

    {
    "Stacks": [
        {
            "StackId": "arn:aws:cloudformation:us-west-2:123456789012:stack/Scheduler-Target-SQS/1d2af345-a121-12eb-abc1-012e34567890",
            "StackName": "Scheduler-Target-SQS",
            "CreationTime": "2022-03-17T16:21:29.442000+00:00",
            "RollbackConfiguration": {},
            "StackStatus": "CREATE_COMPLETE",
            "DisableRollback": false,
            "NotificationARNs": [],
            "Outputs": [
                {
                    "OutputKey": "QueueName",
                    "OutputValue": "MyQueue",
                    "Description": "The name of the queue"
                },
                {
                    "OutputKey": "QueueARN",
                    "OutputValue": "arn:aws:sqs:us-west-2:123456789012:MyQueue",
                    "Description": "The ARN of the queue"
                },
                {
                    "OutputKey": "QueueURL",
                    "OutputValue": "https://sqs.us-west-2.amazonaws.com/123456789012/MyQueue",
                    "Description": "The URL of the queue"
                }
            ],
            "Tags": [],
            "EnableTerminationProtection": false,
            "DriftInformation": {
                "StackDriftStatus": "NOT_CHECKED"
            }
        }
    ]
}

    Más adelante en esta guía, utilizará el valor de QueueARN para configurar la cola como destino del Programador de EventBridge.

Siguientes pasos

Cuando haya completado el paso de configuración, utilice la guía de Introducción para crear su primer programador del Programador de EventBridge e invocar un destino.