View a markdown version of this page

Perímetros de datos en AWS Systems Manager - AWS Systems Manager

Perímetros de datos en AWS Systems Manager

Un perímetro de datos es un conjunto de barreras de protección en su entorno de AWS que ayuda a garantizar que solo las identidades de confianza puedan acceder a sus datos desde las redes y los recursos esperados. Al implementar controles del perímetro de datos, es posible que deba incluir excepciones para los recursos propiedad del servicio de AWS a los que accede Systems Manager en su nombre.

Ejemplo de escenario: Bucket S3 de las categorías de documentos de SSM

Systems Manager accede a un bucket S3 administrado por AWS para recuperar la información de las categorías de documentos para AWS Systems ManagerDocumentos de. Este bucket contiene metadatos sobre las categorías de documentos que ayudan a organizar y clasificar los documentos de SSM en la consola.

Patrón de ARN de recursos

arn:aws:s3:::ssm-document-categories-region

Ejemplos regionales:

  • arn:aws:s3:::ssm-document-categories-us-east-1

  • arn:aws:s3:::ssm-document-categories-us-west-2

  • arn:aws:s3:::ssm-document-categories-eu-west-1

  • arn:aws:s3:::ssm-document-categories-ap-northeast-1

Cuándo se accede al recurso

Se accede a este recurso cuando consulta los documentos de SSM en la consola de Systems Manager o cuando utiliza las API que recuperan los metadatos y las categorías de los documentos.

Qué datos se almacenan

El bucket contiene archivos JSON con definiciones de categorías de documentos y metadatos. Estos datos son de solo lectura y no contienen información específica del cliente.

Qué identidad se utiliza

Systems Manager accede a este recurso mediante las credenciales del servicio de AWS en nombre de sus solicitudes.

Permisos necesarios

s3:GetObject en el contenido del bucket.

Consideraciones de la política de perímetro de datos

Al implementar controles de perímetro de datos mediante políticas de control de servicio (SCP) o políticas de puntos de conexión de VPC con condiciones como aws:ResourceOrgID, por ejemplo, debe crear excepciones para los recursos propiedad del servicio de AWS que requiere Systems Manager.

Por ejemplo, si utiliza un SCP con aws:ResourceOrgID para restringir el acceso a recursos externos a su organización, deberá añadir una excepción para el bucket de categorías de documentos de SSM.

Esta política necesita acceder a recursos externos a su organización, pero incluye una excepción para los buckets de S3 correspondientes, lo que permite que Systems Manager siga funcionando correctamente.

Del mismo modo, si utiliza políticas de puntos de conexión de VPC para restringir el acceso a S3, deberá asegurarse de que los buckets de categorías de documentos de SSM sean accesibles a través de sus puntos de conexión de VPC.

Escenario de ejemplo: API de registro de nodos híbridos

Los nodos híbridos no pertenecen de manera nativa a una Cuenta de AWS, sino que están registrados en una. Por este motivo, las API ssm:RegisterManagedInstance, ssm:RequestManagedInstanceRoleToken y ssm:UpdateManagedInstancePublicKey no utilizan Signature Version 4 (SigV4) de AWS al autenticar los nodos híbridos.

Como resultado, la evaluación de políticas no puede acceder a una entidad principal de AWS ni a claves de contexto globales como aws:PrincipalOrgId, aws:PrincipalAccount y aws:SourceAccount. Las políticas de control de servicios (SCP) y las políticas de punto de conexión de VPC que se basan en estas claves globales o en la entidad principal de AWS pueden bloquear estas tres API cuando los nodos híbridos intenten registrarse. Esta acción puede impedir que los nodos híbridos completen el registro.

Para restringir el acceso a estas API en función de la pertenencia a una cuenta o a una organización, utilice las siguientes claves de condición de Systems Manager, que se resuelven de manera uniforme tanto para las instancias de Amazon EC2 como para los nodos híbridos:

  • ssm:NodeAccountId: se resuelve en la cuenta en la que existe una instancia de Amazon EC2 o en la cuenta en la que está registrado un nodo híbrido.

  • ssm:NodeOrgId: se resuelve en la organización propietaria de la cuenta de la instancia de Amazon EC2 o en la organización de la cuenta en la que está registrado un nodo híbrido.

Más información

Para obtener más información acerca de los perímetros de datos en AWS, consulte los siguientes temas: