Referencia de permisos de operaciones de la consola de Amazon WorkSpaces
Solo se puede llamar a algunas API de Amazon WorkSpaces a través de la consola de administración de AWS. No son API públicas, en el sentido de que no se pueden llamar mediante programación y ningún SDK las proporciona. Estas operaciones de API incluyen:
workspaces:DirectoryAccessManagement
workspaces:CreateRootClientCertificate
workspaces:UpdateRootClientCertificate
workspaces:DeleteRootClientCertificate
workspaces:DescribeConsent
workspaces:UpdateConsent
Operaciones de la consola de WorkSpaces y permisos necesarios para acciones
La consola utiliza acciones de API adicionales para sus características, por lo que es posible que los permisos para las API públicas de WorkSpaces no sean suficientes. Por ejemplo, un usuario que tiene permisos para usar la API de CreateWorkSpaces mediante una CLI/SDK puede encontrar errores al intentar crear un WorkSpace en la consola, ya que le faltan ciertos permisos para seleccionar o crear usuarios. En esta tabla se indican las características que solo están disponibles en la consola de WorkSpaces y los permisos adicionales necesarios que permiten a los usuarios trabajar con estas partes específicas de la consola.
La sección Ejemplos de políticas proporciona la lista de permisos para realizar todas las tareas de WorkSpaces para WorkSpaces Pools, personales y de BYOL.
Como alternativa, también puede utilizar permisos granulares para aplicar permisos de privilegio mínimo para realizar una tarea.
En esta tabla se indican las características de la consola de WorkSpaces que se basan en las API que no proporciona el SDK y los permisos necesarios que permiten a los usuarios trabajar con estas partes específicas de la consola. Estos permisos deben añadirse además de otras acciones necesarias para las API que proporciona el SDK.
| Operaciones de la consola de WorkSpaces | Permisos necesarios |
|---|---|
|
workspaces:DirectoryAccessManagement ds:* ec2:CreateVpc ec2:CreateSubnet ec2:CreateNetworkInterface ec2:CreateInternetGateway ec2:CreateRouteTable ec2:CreateRoute ec2:CreateTags ec2:CreateSecurityGroup ec2:DescribeInternetGateways ec2:DescribeSecurityGroups ec2:DescribeRouteTables ec2:DescribeVpcs ec2:DescribeSubnets ec2:DescribeNetworkInterfaces ec2:DescribeAvailabilityZones ec2:AttachInternetGateway ec2:AssociateRouteTable ec2:AuthorizeSecurityGroupIngress ec2:AuthorizeSecurityGroupEgress iam:CreateRole iam:GetRole iam:PutRolePolicy workspaces:DescribeAccount workspaces:DescribeWorkspaceDirectories workspaces:CreateWorkspaces workspaces:DescribeWorkspaces workspaces:RegisterWorkspaceDirectory workspaces:DescribeWorkspaceBundles workspaces:DescribeWorkspaces |
|
|
Limitación del acceso a los dispositivos de confianza en WorkSpaces Personal |
workspaces:CreateRootClientCertificate workspaces:UpdateRootClientCertificate workspaces:DeleteRootClientCertificate ds:DescribeDirectories ec2:DescribeSubnets ec2:DescribeSecurityGroups workspaces:DescribeAccount workspaces:DescribeWorkspaceDirectories workspaces:DescribeTags workspaces:DescribeClientProperties workspaces:DescribeConnectClientAddins workspaces:DirectoryAccessManagement |
|
Creación de un WorkSpace en WorkSpaces Personal en la consola: para crear, buscar o describir los usuarios del directorio de Directory Service |
workspaces:DirectoryAccessManagement workspaces:DescribeAccount workspaces:CreateWorkspaces workspaces:DescribeWorkspaces workspaces:DescribeWorkspaceDirectories workspaces:DescribeWorkspaceBundles workspaces:DescribeTags workspaces:CreateTags workspaces:DescribeClientProperties kms:ListKeys kms:ListAliases kms:DescribeKey ds:DescribeTrusts ds:DescribeDirectories ec2:DescribeSubnets ec2:DescribeSecurityGroups |
|
Administración de usuarios en WorkSpaces Personal: para editar usuarios y enviar un correo electrónico de invitación a los usuarios |
workspaces:DirectoryAccessManagement workspaces:DescribeAccount workspaces:DescribeWorkspaceDirectories workspaces:DescribeWorkspaces workspaces:DescribeTags workspaces:DescribeWorkspaceBundles workspaces:DescribeWorkspacesConnectionStatus workspaces:DescribeWorkspaceAssociations workspaces:DescribeWorkspaceSnapshots workspaces:DescribeWorkspaceImages workspaces:DescribeConnectionAliases |
|
Actualización de la cuenta de AD Connector (AD Connector) en WorkSpaces Personal |
workspaces:DirectoryAccessManagement ds:DescribeDirectories ds:UpdateDirectory ec2:DescribeSubnets ec2:DescribeSecurityGroups workspaces:DescribeAccount workspaces:DescribeWorkspaceDirectories workspaces:DescribeTags workspaces:DescribeClientProperties workspaces:DescribeConnectClientAddins |
|
workspaces:DirectoryAccessManagement ds:DescribeDirectories ec2:DescribeSubnets ec2:DescribeSecurityGroups workspaces:DescribeAccount workspaces:DescribeWorkspaceDirectories workspaces:DescribeTags workspaces:DescribeClientProperties workspaces:DescribeConnectClientAddins workspaces:ModifyWorkspaceCreationProperties |
|
|
Activación de su cuenta para BYOL: para confirmar que comprende los requisitos para usar BYOL WorkSpaces |
workspaces:DescribeConsent workspaces:UpdateConsent workspaces:DescribeAccount workspaces:ListAccountLinks workspaces:DescribeWorkspaceBundles workspaces:DescribeWorkspaceImages workspaces:DescribeWorkspaceDirectories |
