Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Introducción al IAM Identity Center A continuación se describe cómo comenzar a utilizar IAM Identity Center. 1. **Activar IAM Identity Center** Al [activar IAM Identity Center](enable-identity-center.md), puede elegir entre dos tipos de instancias de IAM Identity Center. Estos tipos son las [*instancias de organización*](organization-instances-identity-center.md) (recomendadas) y las [*instancias de cuentas*](account-instances-identity-center.md). Para obtener más información sobre las distintas funciones de estos tipos de instancias, consulte [Organization and account instances of IAM Identity Center](identity-center-instances.md). **nota** Una vez activado IAM Identity Center, puede iniciar sesión y abrir la [consola de IAM Identity Center](https://console.aws.amazon.com//singlesignon/) mediante una de las siguientes acciones: **Instancia de organización**: inicie sesión para AWS usar credenciales con permisos administrativos en la cuenta de administración. **Instancia de cuenta**: inicie sesión con AWS credenciales con permisos administrativos en la ubicación en la Cuenta de AWS que el Centro de Identidad de IAM esté activado. 1. **Conectar su origen de identidad de IAM Identity Center** En la consola de IAM Identity Center, confirme el origen de identidad que desee utilizar. Consulte lo siguiente para ver los orígenes de identidad: + **Proveedor de identidad externo**: si ya tiene un proveedor de identidades para administrar los usuarios de su personal, puede conectarlo a IAM Identity Center. Para obtener más información acerca de cómo configurar los proveedores de identidad de uso habitual para que funcionen con IAM Identity Center, consulte [Tutoriales de orígenes de identidad de IAM Identity Center](tutorials.md). + **Active Directory**: si utiliza Active Directory para administrar los usuarios de su personal, puede conectarlo a IAM Identity Center. Para obtener más información, consulte [Uso de Active Directory como origen de identidad](gs-ad.md). + **IAM Identity Center**: también puede [crear y administrar usuarios y grupos directamente en IAM Identity Center](quick-start-default-idc.md). **nota** Actualmente, debe utilizar un proveedor de identidad externo como fuente de identidad para aprovechar una configuración multirregional con su centro de identidad de IAM. Para obtener más información sobre las ventajas de esta configuración, consulte. [Uso del centro de identidad de IAM en varios Regiones de AWS](multi-region-iam-identity-center.md) 1. **Configure el acceso de los usuarios a Cuentas de AWS (solo a la instancia de la organización)** Si utiliza una instancia de organización del Centro de identidades de IAM, puede [asignar el acceso de un usuario o grupo a Cuentas de AWS](https://docs.aws.amazon.com//singlesignon/latest/userguide/assignusers.html), utilizando [conjuntos de permisos](https://docs.aws.amazon.com//singlesignon/latest/userguide/permissionsetsconcept.html) para conceder a sus usuarios acceso a los recursos Cuentas de AWS y a los recursos. 1. **Configuración del acceso del usuario a las aplicaciones** Con IAM Identity Center, puede conceder a los usuarios acceso a dos tipos de aplicaciones: 1. **[AWS aplicaciones gestionadas](awsapps.md)** + Puede utilizar IAM Identity Center con aplicaciones AWS gestionadas como Amazon Q Business y Amazon Redshift. AWS CLI Para obtener más información, consulte [AWS aplicaciones gestionadas](awsapps.md) y [Integración de AWS CLI con IAM Identity Center](integrating-aws-cli.md). 1. **[Aplicaciones administradas por el cliente](customermanagedapps.md)** + Puede integrar cualquiera de los siguientes tipos de aplicaciones administradas por el cliente con IAM Identity Center: + [Aplicaciones incluidas en el catálogo de IAM Identity Center](saasapps.md) + [Sus aplicaciones personalizadas](customermanagedapps-set-up-your-own-app-saml2.md) + Tras configurar la aplicación, puede [asignar a sus usuarios el acceso a la aplicación](assignuserstoapp.md). 1. **Proporcionar a sus usuarios las instrucciones de inicio de sesión para el portal de acceso de AWS ** El portal de AWS acceso es un portal web que proporciona a sus usuarios un acceso sin problemas a todas las aplicaciones asignadas Cuentas de AWS, o a ambas. Los nuevos usuarios del Centro de Identidad de IAM deben activar sus credenciales de usuario antes de poder iniciar sesión en el portal de AWS acceso. Para obtener información sobre cómo iniciar sesión en el portal de AWS acceso, consulte [Iniciar sesión en el portal de AWS acceso](https://docs.aws.amazon.com//signin/latest/userguide/iam-id-center-sign-in-tutorial.html) en la *Guía del AWS Sign-In usuario*. Para obtener más información sobre el proceso de inicio de sesión en el portal de AWS acceso, consulte Iniciar [sesión en el portal de AWS acceso](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtosignin.html). # Requisitos previos y consideraciones sobre el IAM Identity Center Puede utilizar IAM Identity Center para acceder únicamente a las aplicaciones AWS gestionadas, Cuentas de AWS únicamente o a ambas. Si utiliza la federación de IAM para gestionar el acceso Cuentas de AWS, puede seguir haciéndolo mientras utiliza el IAM Identity Center para acceder a las aplicaciones. Antes de habilitar IAM Identity Center, considere lo siguiente: + AWS Región Primero debe habilitar el Centro de Identidad de IAM en una sola región [compatible](regions.md) para cada instancia del Centro de Identidad de IAM. Si desea utilizar IAM Identity Center para acceder a las cuentas de AWS mediante un único inicio de sesión, todos los usuarios de su organización deben poder acceder a la región. Si piensa utilizar el Centro de identidad de IAM para acceder a las aplicaciones, tenga en cuenta que algunas aplicaciones AWS gestionadas, como Amazon SageMaker AI, solo pueden funcionar en las regiones que admiten. Además, la mayoría de las aplicaciones AWS administradas requieren que el Centro de Identidad de IAM esté disponible en la misma región que la aplicación. Esto puede lograrse ubicándolas en la misma región o, si es posible, replicando la instancia del IAM Identity Center en la región de despliegue deseada de una aplicación gestionada. AWS Para obtener más información, consulte [Consideraciones para elegir un Región de AWS](identity-center-region-considerations.md). + Acceso de aplicaciones Puede usar el Centro de identidad de IAM solo para que los usuarios accedan a aplicaciones como Kiro, utilizando su proveedor de identidad actual. Para obtener más información, consulte [Uso del IAM Identity Center únicamente para el acceso de los usuarios a las aplicaciones](identity-center-for-apps-only.md). **nota** El propietario de la aplicación administra de forma independiente el acceso a los recursos de la aplicación. + Cuota de roles de IAM IAM Identity Center crea roles de IAM para conceder a los usuarios permisos a los recursos de la cuenta. Para obtener más información, consulte [Roles de IAM creados por IAM Identity Center](identity-center-and-iam-roles.md). + Centro de identidad de IAM y AWS Organizations AWS Organizations se recomienda, pero no es obligatorio, para su uso con el Centro de identidades de IAM. Si no ha configurado una organización, no tiene que hacerlo. Si ya ha configurado el Centro de Identidad de IAM AWS Organizations y lo va a añadir a su organización, asegúrese de que todas las AWS Organizations funciones estén habilitadas. Para obtener más información, consulte [Centro de identidad de IAM y AWS Organizations](identity-center-and-orgs.md). Las interfaces web del IAM Identity Center, incluidos el portal de acceso y la consola del IAM Identity Center, están pensadas para que las personas puedan acceder a ellas a través de navegadores web compatibles. Los navegadores compatibles incluyen las tres últimas versiones de Microsoft Edge, Mozilla Firefox, Google Chrome y Apple Safari. No se admite el acceso a estos puntos finales mediante rutas que no estén basadas en el navegador. Para el acceso programático a los servicios del Centro de Identidad de IAM, recomendamos utilizar la documentación APIs disponible en las guías de referencia del Centro de Identidad de IAM y la API de Identity Store. # Consideraciones para elegir un Región de AWS Puede activar el Centro de Identidad de IAM en una sola unidad, con el soporte Región de AWS que prefiera y que esté disponible para los usuarios de todo el mundo. Esta disponibilidad global le facilita la configuración del acceso de los usuarios a múltiples Cuentas de AWS aplicaciones. Las siguientes son consideraciones clave para elegir una Región de AWS. + **Ubicación geográfica de sus usuarios**: si selecciona una región que esté geográficamente más cercana a la mayoría de sus usuarios finales, estos tendrán una latencia de acceso más baja al portal de AWS acceso y a las aplicaciones AWS gestionadas, como Amazon SageMaker AI. + Regiones de **suscripción voluntaria (regiones que están deshabilitadas de forma predeterminada)**: una región de suscripción voluntaria es aquella Región de AWS que está deshabilitada de forma predeterminada. Debe activar la región registrada para utilizarla. Para obtener más información, consulte [Managing IAM Identity Center in an opt-in Region](regions.md#manually-enabled-regions). + **Replicación del centro de identidad de IAM en regiones adicionales**: si planea replicar el centro de identidad de IAM en más regiones Regiones de AWS, debe elegir una región que esté habilitada de forma predeterminada. Para obtener más información, consulte [Uso del centro de identidad de IAM en varios Regiones de AWS](multi-region-iam-identity-center.md). + **Selección de regiones de despliegue para las aplicaciones AWS gestionadas**: las aplicaciones AWS gestionadas solo pueden funcionar en las regiones Regiones de AWS en las que estén disponibles. Muchas aplicaciones AWS gestionadas también pueden funcionar solo en una región en la que el Centro de Identidad de IAM esté activado o en la que esté replicado (región principal o adicional). Para confirmar si su instancia del IAM Identity Center admite la replicación en regiones adicionales, consulte. [Uso del centro de identidad de IAM en varios Regiones de AWS](multi-region-iam-identity-center.md) Si la replicación no es una opción, considere habilitar el IAM Identity Center en la región en la que planea usar las aplicaciones AWS administradas. + **Soberanía digital**: las normas de soberanía digital o las políticas de la empresa pueden exigir el uso de una determinada Región de AWS. Consulte con el departamento legal de su empresa. + **Fuente de identidad**: si utiliza [AWS Managed Microsoft AD](connectawsad.md)su directorio autogestionado de [Active Directory (AD)](connectonpremad.md) como fuente de identidad, su región de origen debe coincidir con la región Región de AWS en la que habilitó el IAM Identity Center. + **Correos electrónicos entre regiones con Amazon Simple Email Service**: en algunas regiones, IAM Identity Center puede llamar a [Amazon Simple Email Service (Amazon SES)](https://docs.aws.amazon.com/ses/latest/dg/Welcome.html) de una región diferente para enviar correos electrónicos. En estas llamadas entre regiones, el IAM Identity Center envía determinados atributos de usuario a la otra región. Para obtener más información, consulte [Correos electrónicos entre regiones con Amazon SES](regions.md#cross-region-calls). + **AWS Control Tower**— Si habilitas una instancia de organización del IAM Identity Center desde AWS Control Tower, la instancia se creará en la misma región que la AWS Control Tower landing zone. **Topics** + [Operaciones y almacenamiento de datos regionales de IAM Identity Center](regions.md) + [Conmutación Regiones de AWS](switching-regions.md) + [Deshabilitar un Región de AWS lugar donde el Centro de identidad de IAM esté activado](disabling-region-with-identity-center.md) # Operaciones y almacenamiento de datos regionales de IAM Identity Center Descubra cómo IAM Identity Center gestiona el almacenamiento de datos y las operaciones en todas las Regiones de AWS. ## Comprenda cómo IAM Identity Center almacena los datos Al activar el Centro de identidades de IAM, todos los datos que configure en el Centro de identidades de IAM se almacenan en la región en la que los haya activado. Estos datos incluyen configuraciones de directorios, conjuntos de permisos, instancias de aplicaciones y asignaciones de usuarios a Cuenta de AWS las aplicaciones. Si utiliza el almacén de identidades de IAM Identity Center, todos los usuarios y grupos que cree en IAM Identity Center también se almacenan en la misma región. Si replicas tu instancia del Centro de Identidad de IAM en otras regiones, el Centro de Identidad de IAM replica automáticamente los usuarios, los grupos, los conjuntos de permisos y sus asignaciones, así como otros metadatos y configuraciones en esas regiones. ## Correos electrónicos entre regiones con Amazon SES IAM Identity Center utiliza [Amazon Simple Email Service (Amazon SES)](https://docs.aws.amazon.com/ses/latest/dg/Welcome.html) para enviar correos electrónicos a los usuarios finales cuando estos intentan iniciar sesión con una contraseña de un solo uso (OTP) como segundo factor de autenticación. Estos correos electrónicos también se envían para determinados eventos de administración de identidades y credenciales, como cuando se invita al usuario a configurar una contraseña inicial, verificar una dirección de correo electrónico y restablecer la contraseña. Amazon SES está disponible en un subconjunto de los Regiones de AWS que admite IAM Identity Center. IAM Identity Center llama a los puntos de conexión locales de Amazon SES cuando Amazon SES está disponible localmente en una Región de AWS. Cuando Amazon SES no está disponible localmente, IAM Identity Center llama a los puntos de conexión de Amazon SES que se encuentren en una Región de AWS diferente, como se indica en la siguiente tabla. | Código de región de IAM Identity Center | Nombre de región de IAM Identity Center | Código de región de Amazon SES | Nombre de región de Amazon SES | | --- | --- | --- | --- | | ap-east-1 | Asia-Pacífico (Hong Kong) | ap-northeast-2 | Asia-Pacífico (Seúl) | | ap-east-2 | Asia-Pacífico (Taipéi) | ap-northeast-1 | Asia-Pacífico (Tokio) | | ap-south-2 | Asia-Pacífico (Hyderabad) | ap-south-1 | Asia-Pacífico (Mumbai) | | ap-southeast-4 | Asia-Pacífico (Melbourne) | ap-southeast-2 | Asia-Pacífico (Sídney) | | ap-southeast-5 | Asia-Pacífico (Malasia) | ap-southeast-1 | Asia-Pacífico (Singapur) | | ap-southeast-6 | Asia-Pacífico (Nueva Zelanda) | ap-southeast-2 | Asia-Pacífico (Sídney) | | ap-southeast-7 | Asia-Pacífico (Tailandia) | ap-northeast-3 | Asia-Pacífico (Osaka) | | ca-west-1 | Oeste de Canadá (Calgary) | ca-central-1 | Canadá (centro) | | eu-south-2 | Europa (España) | eu-west-3 | Europa (París) | | eu-central-2 | Europa (Zúrich) | eu-central-1 | Europa (Fráncfort) | | mx-central-1 | México (centro) | us-east-2 | Este de EE. UU. (Ohio) | | me-central-1 | Medio Oriente (EAU) | eu-central-1 | Europa (Fráncfort) | | us-gov-east-1 | AWS GovCloud (Este de EE. UU.) | us-gov-west-1 | AWS GovCloud (Estados Unidos-Oeste) | En estas llamadas entre regiones, IAM Identity Center puede enviar los siguientes atributos de usuario: + Dirección de correo electrónico + Nombre + Apellido + Cuenta en AWS Organizations + AWS URL del portal de acceso + Nombre de usuario + ID de directorio + ID de usuario ## Administrar IAM Identity Center en una región de activación opcional (región que está deshabilitada de forma predeterminada) La mayoría Regiones de AWS están habilitadas para funcionar en todos los AWS servicios de forma predeterminada, pero debe habilitar las siguientes [regiones de suscripción](https://docs.aws.amazon.com/glossary/latest/reference/glos-chap.html?icmpid=docs_homepage_addtlrcs#optinregion) si quiere utilizar el Centro de identidad de IAM: + África (Ciudad del Cabo) + Asia Pacific (Hong Kong) + Asia-Pacífico (Taipéi) + Asia-Pacífico (Hyderabad) + Asia-Pacífico (Yakarta) + Asia-Pacífico (Melbourne) + Asia-Pacífico (Malasia) + Asia-Pacífico (Nueva Zelanda) + Asia-Pacífico (Tailandia) + Oeste de Canadá (Calgary) + Europa (Milán) + Europa (España) + Europa (Zúrich) + Israel (Tel Aviv) + México (centro) + Middle East (Bahrain) + Medio Oriente (EAU) Si implementa IAM Identity Center en una región de activación opcional, debe habilitar esta región en todas las cuentas para las que desee administrar el acceso a IAM Identity Center. Todas las cuentas necesitan esta configuración, independientemente de si va a crear recursos en esa región o no. Puede habilitar una región para las cuentas actuales de su organización y debe repetir esta acción cuando agrega cuentas nuevas. Para obtener instrucciones, consulte [Enable or disable a Region in your organization](https://docs.aws.amazon.com//accounts/latest/reference/manage-acct-regions.html#manage-acct-regions-enable-organization) en la *Guía del usuario de AWS Organizations *. Para evitar repetir estos pasos adicionales, puede optar por implementar su IAM Identity Center en una [Región habilitada de forma predeterminada](#regions-enabled-by-default). **nota** Su cuenta de AWS miembro debe estar habilitada en la misma región que la región en la que se encuentra su instancia del Centro de Identidad de IAM para que pueda acceder a la cuenta de AWS miembro desde el portal de acceso. AWS **Metadatos almacenados en regiones de activación opcional** Al habilitar el Centro de Identidad de IAM para una cuenta de administración en una suscripción voluntaria Región de AWS, los siguientes metadatos del Centro de Identidad de IAM correspondientes a cualquier cuenta de miembro se almacenan en la región. + ID de cuenta + Nombre de cuenta + Correo electrónico de la cuenta + Nombres de recursos de Amazon (ARNs) de las funciones de IAM que el Centro de Identidad de IAM crea en la cuenta del miembro ## Regiones de AWS que están habilitados de forma predeterminada Las siguientes regiones están habilitadas de forma predeterminada, y puede habilitar IAM Identity Center en estas regiones. + Este de EE. UU. (Ohio) + Este de EE. UU. (Norte de Virginia) + Oeste de EE. UU. (Oregón) + Oeste de EE. UU. (Norte de California) + Europa (París) + América del Sur (São Paulo) + Asia-Pacífico (Mumbai) + Europa (Estocolmo) + Asia-Pacífico (Seúl) + Asia-Pacífico (Tokio) + Europa (Irlanda) + Europa (Fráncfort) + Europa (Londres) + Asia-Pacífico (Singapur) + Asia-Pacífico (Sídney) + Canadá (centro) + Asia-Pacífico (Osaka) # Conmutación Regiones de AWS Le recomendamos que instale IAM Identity Center en una región que desee mantener disponible para los usuarios, no en una región que pueda tener que deshabilitar. Para obtener más información, consulte [Consideraciones para elegir un Región de AWS](identity-center-region-considerations.md). Para cambiar de región en IAM Identity Center, solo tiene que [eliminar la instancia actual de IAM Identity Center](delete-config.md) y crear una nueva en otra región. Si ya ha activado una aplicación administrada por AWS con su instancia existente de IAM Identity Center, desactive la aplicación antes de eliminarla de IAM Identity Center. Para obtener instrucciones sobre cómo deshabilitar las aplicaciones AWS administradas, consulte[Deshabilitar una aplicación AWS gestionada](awsapps-remove.md). **nota** Si está pensando en cambiar la región del centro de identidad de IAM para permitir el despliegue de una aplicación AWS gestionada en otra región, considere replicar la instancia del centro de identidad de IAM en esa región. Para obtener más información, consulte [Uso del centro de identidad de IAM en varios Regiones de AWS](multi-region-iam-identity-center.md). **Consideraciones de configuración en la nueva región** Debe volver a crear los usuarios, los grupos, los conjuntos de permisos, las aplicaciones y las asignaciones en la nueva instancia de IAM Identity Center. Puede utilizar la asignación de cuentas y aplicaciones del IAM Identity Center [APIs](https://docs.aws.amazon.com/singlesignon/latest/APIReference/welcome.html)para obtener una instantánea de la configuración y, a continuación, utilizarla para volver a crear la configuración en una nueva región. Al cambiar a otra región, también se cambia la URL del [portal de AWS acceso](using-the-portal.md), lo que proporciona a los usuarios un acceso de inicio de sesión único a sus Cuentas de AWS aplicaciones. Es posible que también necesite volver a crear parte de la configuración de IAM Identity Center a través de la consola de administración de la nueva instancia. # Deshabilitar un Región de AWS lugar donde el Centro de identidad de IAM esté activado Si deshabilita uno Región de AWS en el que esté instalado el Centro de Identidad de IAM, el Centro de Identidad de IAM también estará deshabilitado. Una vez deshabilitado IAM Identity Center en una región, los usuarios de esa región no tendrán acceso mediante un inicio de sesión único a las Cuentas de AWS y sus aplicaciones. Para volver a activar el Centro de Identidad de IAM de forma [opcional Regiones de AWS](regions.md#manually-enabled-regions), debe volver a activar la región. IAM Identity Center debe volver a procesar todos los eventos pausados, por lo que volver a habilitarlo puede llevar algún tiempo. **nota** El Centro de Identidad de IAM solo puede gestionar el acceso a aquellos Cuentas de AWS que estén habilitados para su uso en un. Región de AWS Para gestionar el acceso a todas las cuentas de su organización, active el Centro de identidad de IAM en la cuenta de gestión de forma Región de AWS que se active automáticamente para su uso con el Centro de identidades de IAM. *Para obtener más información sobre la activación y la desactivación Regiones de AWS, consulte [Gestión Regiones de AWS en la AWS referencia general](https://docs.aws.amazon.com/general/latest/gr/rande-manage.html).* # Uso del IAM Identity Center únicamente para el acceso de los usuarios a las aplicaciones Puede utilizar el Centro de identidad de IAM para que los usuarios accedan a aplicaciones como Kiro o a Cuentas de AWS ambas. Puede conectar su proveedor de identidad actual y sincronizar los usuarios y grupos de su directorio, o bien [crear y gestionar usuarios directamente en el IAM Identity Center](quick-start-default-idc.md). Para obtener información sobre cómo conectar su proveedor de identidad actual al IAM Identity Center, consulte el [Tutoriales de orígenes de identidad de IAM Identity Center](tutorials.md). **¿Ya utilizas IAM para acceder a? Cuentas de AWS** No necesita realizar ningún cambio en sus Cuenta de AWS flujos de trabajo actuales para utilizar el IAM Identity Center y acceder a las aplicaciones AWS gestionadas. Si utiliza la [federación con IAM](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_providers.html#id_roles_providers_iam) para el Cuenta de AWS acceso, sus usuarios pueden seguir Cuentas de AWS accediendo de la misma manera que siempre lo han hecho, y usted puede seguir utilizando sus flujos de trabajo actuales para gestionar ese acceso. # Roles de IAM creados por IAM Identity Center Al asignar un usuario a una AWS cuenta, el Centro de Identidad de IAM crea funciones de IAM para conceder a los usuarios permisos de acceso a los recursos. Cuando asigna un conjunto de permisos, el IAM Identity Center crea los roles de IAM controlados por el IAM Identity Center correspondientes en cada cuenta y adjunta a esos roles las políticas especificadas en el conjunto de permisos. El Centro de Identidad de IAM administra la función y permite que los usuarios autorizados que haya definido la asuman mediante el portal de acceso o. AWS AWS CLI A medida que modifica el conjunto de permisos, IAM Identity Center garantiza que las políticas y los roles de IAM correspondientes se actualicen en consecuencia. La replicación de su instancia del IAM Identity Center en regiones adicionales no afecta a las funciones de IAM existentes ni crea nuevas funciones de IAM. **nota** Los conjuntos de permisos no se utilizan para conceder permisos a aplicaciones. Si ya has configurado funciones de IAM en tu cuenta Cuenta de AWS, te recomendamos que compruebes si tu cuenta se acerca a la cuota de funciones de IAM. La cuota predeterminada de roles de IAM por cuenta es de 1000 roles. Para obtener más información, consulte [Cuotas de objetos de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html#reference_iam-quotas-entities). Si se acerca a la cuota, considere solicitar un aumento de la cuota. De lo contrario, es posible que tenga problemas con IAM Identity Center al aprovisionar conjuntos de permisos a cuentas que hayan superado la cuota de roles de IAM. Para obtener información sobre cómo solicitar un aumento de cuota, consulte [Solicitar un aumento de cuota](https://docs.aws.amazon.com/servicequotas/latest/userguide/request-quota-increase.html) en la *Guía del usuario de Service Quotas*. **nota** Si quiere revisar los roles de IAM en una cuenta que ya utiliza IAM Identity Center, es posible que observe que los nombres de rol comienzan por “AWSReservedSSO\$1”. Se trata de los roles que el servicio de IAM Identity Center ha creado en la cuenta y provienen de la asignación de un conjunto de permisos a la cuenta. # Centro de identidad de IAM y AWS Organizations AWS Organizations se recomienda, pero no es obligatorio, para su uso con el Centro de identidades de IAM. Si no ha configurado una organización, no tiene que hacerlo. Al activar el Centro de Identidad de IAM, elegirá si desea habilitar el servicio con. AWS Organizations Al configurar una organización, la cuenta Cuenta de AWS que la configura se convierte en la cuenta de administración de la organización. El usuario raíz de la Cuenta de AWS es ahora el propietario de la cuenta de administración de la organización. Todas las Cuentas de AWS adicionales que invite a su organización son cuentas de miembro. La cuenta de administración crea los recursos, las unidades organizativas y las políticas de la organización que administran las cuentas de miembro. La cuenta de administración delega los permisos a las cuentas de miembro. **nota** Le recomendamos que habilite el Centro de Identidad de IAM con AWS Organizations, lo que crea una instancia de organización del Centro de Identidad de IAM. Nuestra práctica recomendada es una instancia de organización, ya que es compatible con todas las características de IAM Identity Center y proporciona capacidades de administración centralizada. Para obtener más información, consulte [Instancias de organización de IAM Identity Center](organization-instances-identity-center.md). Si ya ha configurado el Centro de Identidad de IAM AWS Organizations y lo va a añadir a su organización, asegúrese de que todas las AWS Organizations funciones estén habilitadas. Al crear una organización, las características se habilitan de manera predeterminada. Para obtener más información, consulte [Habilitar todas las características en la organización](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_support-all-features.html) en la *Guía del usuario de AWS Organizations *. Para habilitar una instancia de organización del Centro de identidades de IAM, debe iniciar sesión en su cuenta de AWS Organizations administración como usuario con credenciales administrativas o como usuario raíz (no se recomienda a menos que no existan otros usuarios administrativos). Consola de administración de AWS Para obtener más información, consulte [Creación y administración de una AWS organización](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org.html) en la *Guía del AWS Organizations usuario*. Si ha iniciado sesión con las credenciales administrativas de una cuenta de AWS Organizations miembro, puede habilitar una instancia de cuenta del IAM Identity Center. Las instancias de cuentas tienen capacidades limitadas y están vinculadas a una sola AWS cuenta. # Instancias de organización y cuenta de IAM Identity Center Una instancia es una implementación única de IAM Identity Center. Hay dos tipos de instancias disponibles para IAM Identity Center: las *instancias de organización* y las *instancias de cuenta*. + Instancia de organización (recomendada) Una instancia de IAM Identity Center que se habilita en la cuenta AWS Organizations de administración. Las instancias de organización son compatibles con todas las características de IAM Identity Center. Le recomendamos que implemente una instancia de organización en lugar de una instancia de cuenta para minimizar la cantidad de puntos de administración. + Instancia de cuenta Una instancia del IAM Identity Center que está vinculada a una única Cuenta de AWS instancia y que solo es visible en la Cuenta de AWS AWS región en la que está habilitada. Utilice una instancia de cuenta para situaciones más sencillas de una sola cuenta. Puede habilitar una instancia de cuenta a partir de cualquiera de las siguientes opciones: + Y Cuenta de AWS eso no lo gestiona AWS Organizations + Una cuenta de miembro en AWS Organizations ## Cuenta de AWS tipos que pueden habilitar el IAM Identity Center Para habilitar el Centro de identidades de IAM, inicie sesión en Consola de administración de AWS el con una de las siguientes credenciales, en función del tipo de instancia que desee crear: + **Su cuenta AWS Organizations de administración (recomendada)**: necesaria para crear una [instancia organizativa](organization-instances-identity-center.md) del IAM Identity Center. Utilice una instancia de organización para los permisos de varias cuentas y las asignaciones de aplicaciones en toda la organización. + **Su cuenta de AWS Organizations miembro**: utilícela para crear una [instancia de cuenta](account-instances-identity-center.md) del IAM Identity Center para permitir la asignación de solicitudes dentro de esa cuenta de miembro. En una organización pueden existir una o más cuentas con una instancia de nivel de miembro. + **Una instancia independiente Cuenta de AWS**: se utiliza para crear una instancia de [organización o una instancia](organization-instances-identity-center.md) de [cuenta](account-instances-identity-center.md) del IAM Identity Center. La versión independiente Cuenta de AWS no está gestionada por. AWS Organizations Solo puede asociar una instancia del IAM Identity Center a una instancia independiente Cuenta de AWS y utilizarla para las asignaciones de aplicaciones dentro de esa instancia independiente. Cuenta de AWS Use la siguiente tabla para comparar las capacidades que ofrece el tipo de instancia: | Funcionalidad | Instancia en la cuenta de AWS Organizations administración (recomendado) | Instancia en una cuenta de miembro | Instancia en una instancia independiente Cuenta de AWS | | --- | --- | --- | --- | | Administración de usuarios | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | | AWS portal de acceso para acceder con un solo inicio de sesión a sus aplicaciones gestionadas AWS | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | | OAuth Aplicaciones 2.0 (OIDC) administradas por el cliente | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png)Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png)Sí | | Permisos para varias cuentas | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | | AWS portal de acceso para acceder con un solo inicio de sesión a su Cuentas de AWS | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | | Aplicaciones de SAML 2.0 administradas por el cliente | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | | El administrador delegado puede administrar la instancia | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | | Cifrado en reposo mediante una clave KMS administrada por el cliente | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | | Replicación del centro de identidad de IAM en regiones adicionales | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | ![\[No\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-no.png) No | Para obtener más información sobre las aplicaciones AWS gestionadas y el Centro de identidad de IAM, consulte. [AWS aplicaciones gestionadas que puede utilizar con IAM Identity Center](awsapps-that-work-with-identity-center.md) **Topics** + [Cuenta de AWS tipos que pueden habilitar el IAM Identity Center](#identity-center-instances-account-types) + [Instancias de organización de IAM Identity Center](organization-instances-identity-center.md) + [Instancias de cuenta de IAM Identity Center](account-instances-identity-center.md) + [Eliminación de la instancia de IAM Identity Center](delete-config.md) # Instancias de organización de IAM Identity Center Al activar el Centro de Identidad de IAM junto con AWS Organizations, se crea una instancia organizativa del Centro de Identidad de IAM. La instancia de organización debe estar habilitada en su cuenta de administración y puede administrar de forma centralizada el acceso de los usuarios y grupos con una sola instancia de organización. Solo puede tener una instancia de organización para cada cuenta de administración de AWS Organizations. Si habilitó IAM Identity Center antes del 15 de noviembre de 2023, tiene una instancia de organización de IAM Identity Center. Para habilitar una instancia de organización del IAM Identity Center, consulte [Para habilitar una instancia de cuenta de IAM Identity Center](enable-identity-center.md#to-enable-identity-center-instance). ## Cuándo usar una instancia de organización Las instancias de organización son el método principal para activar IAM Identity Center y, con frecuencia, se recomienda usar una instancia de organización. Las instancias de organización ofrecen los siguientes beneficios: + **Support para todas las funciones de IAM Identity Center**, incluida la administración de permisos para varios Cuentas de AWS miembros de su organización, la asignación del acceso a las aplicaciones administradas por el cliente y la replicación multirregional. + **Reducción de la cantidad de puntos de administración**: una instancia de organización tiene un único punto de administración, que es la cuenta de administración. Le recomendamos que habilite una instancia de organización en lugar de una instancia de cuenta para reducir la cantidad de puntos de administración. + **Control centralizado de la creación de instancias de cuentas**: puede controlar si las cuentas de los miembros de su organización pueden crear instancias de cuentas, siempre y cuando no haya implementado una instancia del Centro de Identidad de IAM en su organización en una región habilitada (Región de AWS esta opción está desactivada de forma predeterminada). Para obtener instrucciones a fin de habilitar una instancia de organización de IAM Identity Center, consulte [Para habilitar una instancia de cuenta de IAM Identity Center](enable-identity-center.md#to-enable-identity-center-instance). # Instancias de cuenta de IAM Identity Center Con una instancia de cuenta de IAM Identity Center, puede implementar aplicaciones AWS gestionadas compatibles y aplicaciones gestionadas por clientes basadas en el OIDC. Las instancias de cuentas permiten el despliegue aislado de aplicaciones en una sola aplicación Cuenta de AWS, aprovechando las funciones del portal de acceso e identidad de los empleados de IAM Identity Center. Las instancias de cuenta están vinculadas a una sola cuenta Cuenta de AWS y se utilizan únicamente para gestionar el acceso de usuarios y grupos a las aplicaciones compatibles de la misma cuenta y. Región de AWS Está limitado a una instancia de cuenta por Cuenta de AWS. Puedes crear una instancia de cuenta a partir de una de las siguientes opciones: una cuenta de miembro AWS Organizations o una cuenta independiente Cuenta de AWS que no esté gestionada por AWS Organizations. Para obtener instrucciones sobre cómo habilitar una instancia de cuenta de IAM Identity Center, consulte [Para habilitar una instancia de cuenta de IAM Identity Center](enable-identity-center.md#to-enable-identity-center-instance) y seleccione la pestaña **Cuenta**. ## Cuándo usar la instancia de cuenta En la mayoría de los casos, se recomienda usar una [instancia de organización](organization-instances-identity-center.md). Use las instancias de cuenta solo si se da una de las siguientes situaciones: + Desea ejecutar una prueba temporal de una aplicación AWS gestionada compatible para determinar si la aplicación se adapta a las necesidades de su empresa. + No tiene previsto adoptar el IAM Identity Center en toda su organización, pero quiere dar soporte a una o más aplicaciones AWS gestionadas. + Tiene una instancia de organización de IAM Identity Center, pero desea implementar una aplicación administrada por AWS compatible en un conjunto aislado de usuarios que son distintos de los usuarios de la instancia de organización. + No controla la AWS organización en la que opera. Por ejemplo, un tercero controla la AWS organización que administra su Cuentas de AWS. **importante** Si piensa utilizar IAM Identity Center para admitir aplicaciones en varias cuentas, cree una instancia de organización. Las instancias de cuentas no admiten este caso de uso. ## AWS aplicaciones administradas que admiten instancias de cuentas Consulte [AWS aplicaciones gestionadas que puede utilizar con IAM Identity Center](awsapps-that-work-with-identity-center.md) para saber qué aplicaciones AWS gestionadas son compatibles con las instancias de cuentas de IAM Identity Center. Compruebe la disponibilidad de la creación de instancias de cuentas con su aplicación AWS gestionada. ## Restricciones de disponibilidad de las cuentas de los miembros Para implementar instancias de cuentas del IAM Identity Center en las cuentas de AWS Organizations los miembros, debe cumplirse una de las siguientes condiciones: + No hay ninguna instancia de organización del IAM Identity Center en su organización de . + Hay una instancia de organización de IAM Identity Center en su organización y el administrador de la instancia permite la creación de instancias de cuentas de IAM Identity Center (para las instancias de la organización creadas después del 15 de noviembre de 2023). + Hay una instancia de organización del IAM Identity Center en su organización de y el administrador de la instancia ha habilitado manualmente la creación de instancias de cuentas por parte de las cuentas de los miembros de la organización (en el caso de las instancias de la organización creadas antes del 15 de noviembre de 2023). Para obtener instrucciones, consulte [Permiso para la creación de instancias de cuentas en las cuentas de miembros](enable-account-instance-console.md). Cuando se cumpla una de las condiciones anteriores, todas las siguientes condiciones deben ser verdaderas: + El administrador no ha creado ninguna [política de control de servicio](control-account-instance.md) que impida a las cuentas de los miembros crear instancias de cuenta. + Independientemente de la Región de AWS, no tiene una instancia de IAM Identity Center en esta misma cuenta. + Trabaja en un Región de AWS lugar en el que el Centro de Identidad de IAM esté disponible. Para obtener información acerca de las regiones, consulte [Operaciones y almacenamiento de datos regionales de IAM Identity Center](regions.md). ## Consideraciones sobre las instancias de cuenta Una instancia de cuenta está diseñada para casos de uso especializados y ofrece un subconjunto de características disponibles para una instancia de organización. Tenga en cuenta lo siguiente antes de crear una instancia de cuenta: + Las instancias de cuenta no admiten conjuntos de permisos y, por lo tanto, no admiten el acceso a Cuentas de AWS. + No puede convertir ni fusionar una instancia de cuenta en una instancia de organización. + Solo determinadas [aplicaciones administradas por AWS](awsapps-that-work-with-identity-center.md) admiten las instancias de cuenta. + Utilice instancias de cuenta para usuarios aislados que utilizarán las aplicaciones en una sola cuenta y durante la vida útil de las aplicaciones utilizadas. + Las aplicaciones que están asociadas a una instancia de cuenta deben permanecer asociadas a la instancia de cuenta hasta que elimine la aplicación y sus recursos. + La instancia de una cuenta debe permanecer en el Cuenta de AWS lugar donde se creó. # Permiso para la creación de instancias de cuentas en las cuentas de miembros Si habilitó IAM Identity Center antes del 15 de noviembre de 2023, tiene una [instancia de organización](organization-instances-identity-center.md) de IAM Identity Center y la posibilidad de que las cuentas de miembro creen instancias de cuenta está deshabilitada de forma predeterminada. Puede elegir si las cuentas de miembros pueden crear instancias de cuenta mediante la habilitación de la característica de instancias de cuenta en la consola del IAM Identity Center. **Para habilitar la creación de instancias de cuentas por parte de las cuentas de miembros de su organización** **importante** La habilitación de las instancias de cuenta de IAM Identity Center para las cuentas de los miembros es una operación de una sola vez. Esto significa que esta operación no se puede revertir. Una vez habilitada, puede limitar la creación de instancias de cuenta mediante la creación de una política de control de servicio (SCP). Para ver las instrucciones, consulte [Control de la creación de instancias de cuenta con políticas de control de servicio](https://docs.aws.amazon.com/singlesignon/latest/userguide/control-account-instance.html). 1. Abra la [consola de IAM Identity Center](https://console.aws.amazon.com/singlesignon) 1. Seleccione **Configuración** y, a continuación, seleccione la pestaña **Administración**. 1. En la sección **Instancias de cuenta de IAM Identity Center**, seleccione **Habilitar instancias de cuenta de IAM Identity Center**. 1. En el cuadro de diálogo **Habilitar instancias de cuenta de IAM Identity Center**, confirme que desea permitir que las cuentas de miembros de su organización creen instancias de cuenta; para ello, seleccione **Habilitar**. # Uso de las políticas de control de servicios para controlar la creación de instancias de cuentas La capacidad de las cuentas de los miembros para crear instancias de cuentas depende de cuándo haya activado IAM Identity Center: + **Antes de noviembre de 2023**: debe [permitir la creación de instancias de cuentas en las cuentas de los miembros](enable-account-instance-console.md), lo cual es una acción que no se puede revertir. + **Después del 15 de noviembre de 2023**: las cuentas de los miembros pueden crear instancias de cuentas de forma predeterminada. En cualquier caso, puedes usar las políticas de control de servicios (SCPs) para: + Impedir que todas las cuentas de los miembros creen instancias de cuentas. + Permitir que solo cuentas de miembros específicas creen instancias de cuentas. ## Cómo impedir las instancias de cuenta Utilice el procedimiento siguiente para generar una SCP que impida a las cuentas de los miembros crear instancias de cuenta de IAM Identity Center. 1. Abra la [consola de IAM Identity Center](https://console.aws.amazon.com/singlesignon) 1. En el **panel de control**, en la sección **Administración central**, seleccione el botón **Impedir instancias de cuentas**. 1. En el cuadro de diálogo **Asociar una SCP para impedir la creación de nuevas instancias de cuenta**, se le ofrecerá una SCP. Cópiela y pulse el botón **Ir al panel de control de SCP**. Se le indicará que vaya a la [AWS Organizations consola](https://console.aws.amazon.com/organizations/v2) para crear el SCP o adjuntarlo como una declaración a un SCP existente. SCPs son una característica de. AWS Organizations Para obtener instrucciones sobre cómo conectar una SCP, consulte [Asociar y desasociar políticas de control de servicios](/organizations/latest/userguide/orgs_manage_policies_scps_attach.html) en la *Guía del usuario de AWS Organizations *. ## Límite a las instancias de cuenta En lugar de impedir la creación de todas las instancias de cuentas, esta política deniega cualquier intento de crear una instancia de cuenta de IAM Identity Center a todas, Cuentas de AWS excepto a las que se indican explícitamente en el *""* marcador de posición. **Example : política de denegación que limita la creación de instancias de cuentas** **** ``` { "Version":"2012-10-17", "Statement" : [ { "Sid": "DenyMemberAccountInstances", "Effect": "Deny", "Action": "sso:CreateInstance", "Resource": "*", "Condition": { "StringNotEquals": { "aws:PrincipalAccount": [""] } } } ] } ``` + Sustituya [*""*] por los Cuenta de AWS ID reales que desee permitir para crear una instancia de cuenta del IAM Identity Center. + Puede enumerar varias cuentas permitidas IDs en el formato de matriz: [*"111122223333", "444455556666"*]. + Adjunte esta política a la SCP de su organización para aplicar un control centralizado sobre la creación de instancias de cuentas de IAM Identity Center. Para obtener instrucciones sobre cómo conectar una SCP, consulte [Asociar y desasociar políticas de control de servicios](/organizations/latest/userguide/orgs_manage_policies_scps_attach.html) en la *Guía del usuario de AWS Organizations *. # Eliminación de la instancia de IAM Identity Center Cuando se elimina una instancia de IAM Identity Center, se eliminan todos los datos de esa instancia y no se pueden recuperar. En la siguiente tabla se describen los datos que se eliminan en función del tipo de directorio que está configurado en IAM Identity Center. | ¿Qué datos se eliminan? | Directorio conectado: AWS Managed Microsoft AD AD Connector o proveedor de identidad externo | Almacén de identidades de IAM Identity Center | | --- | --- | --- | | Todos los conjuntos de permisos para los que ha configurado Cuentas de AWS | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | | Todas las aplicaciones que ha configurado en IAM Identity Center | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | | Todas las asignaciones de usuarios Cuentas de AWS y aplicaciones que haya configurado | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | | Todos los usuarios y grupos del directorio o almacén | N/D | ![\[Yes\]](http://docs.aws.amazon.com/es_es/singlesignon/latest/userguide/images/icon-yes.png) Sí | Si ha replicado su instancia del IAM Identity Center en regiones adicionales, debe eliminar esas regiones antes de eliminar la instancia. Utilice el siguiente procedimiento para eliminar su instancia de IAM Identity Center. **Cómo eliminar su instancia de IAM Identity Center** 1. Abra la [consola de IAM Identity Center](https://console.aws.amazon.com/singlesignon). 1. En el panel de navegación izquierdo, elija **Configuración**. 1. En la página **Configuración**, seleccione la pestaña **Administración**. 1. En la sección **Eliminar la configuración de IAM Identity Center**, seleccione **Eliminar**. 1. En el cuadro de diálogo **Eliminar la configuración de IAM Identity Center**, marque todas las casillas de verificación para confirmar que entiende que los datos se van a eliminar. Escriba su instancia de IAM Identity Center en el cuadro de texto y, a continuación, seleccione **Confirmar**.