Criar um compartilhamento de recursos no AWS RAM

Criar o compartilhamento de um recurso

1. Abra o console de AWS RAM.

2. Como os compartilhamentos de recursos do AWS RAM existem em Regiões da AWS específicas, escolha a Região da AWS apropriada na lista suspensa no canto superior direito do console. Para ver os compartilhamentos de recursos que contêm recursos globais, defina a Região da AWS como Leste dos EUA (Norte da Virgínia), (us-east-1). Para obter mais informações sobre o compartilhamento de recursos globais, consulte Compartilhamento de recursos regionais em comparação com recursos globais. Se você quiser incluir recursos globais no compartilhamento de recursos, deverá escolher a região de origem designada, Leste dos EUA (Norte da Virgínia), us-east-1.

3. Se você for novo no AWS RAM, selecione Criar um compartilhamento de recursos na página inicial. Caso contrário, escolha Criar compartilhamento de recursos na página Compartilhado por mim: compartilhamentos de recursos.

4. Na Etapa 1: Especificar detalhes do compartilhamento de recursos, faça o seguinte:

   1. Em Nome, insira um nome descritivo para o compartilhamento de recursos.

   2. Em Recursos, escolha recursos para adicionar ao compartilhamento de recursos da seguinte forma:

      • Em Selecionar tipo de recurso, selecione o tipo de recurso para compartilhar. Isso filtra a lista de recursos compartilháveis para os recursos do tipo selecionado.

      • Na lista de recursos resultante, marque as caixas de seleção ao lado dos recursos individuais que você deseja compartilhar. Os recursos selecionados são movidos para Recursos selecionados.

        Se você estiver compartilhando recursos associados a uma zona de disponibilidade específica, usar o ID da zona de disponibilidade (ID de AZ) ajudará a determinar a localização relativa desses recursos nas contas. Para obter mais informações, consulte IDs de zona de disponibilidade para seus recursos da AWS.

   3. (Opcional) Para anexar tags ao compartilhamento de recursos, em Tags, insira uma chave e um valor de tag. Adicione outras escolhendo Adicionar nova tag. Repita esta etapa conforme necessário. Essas tags se aplicam somente ao compartilhamento de recursos em si, não aos recursos no compartilhamento de recursos.

5. Escolha Próximo.

6. Na Etapa 2: Associar uma permissão gerenciada a cada tipo de recurso, você pode escolher associar uma permissão gerenciada criada pela AWS ao tipo de recurso, escolher uma permissão gerenciada pelo cliente existente ou criar sua própria permissão gerenciada pelo cliente para os tipos de recursos compatíveis. Para obter mais informações, consulte Tipos de permissões gerenciadas.

   Escolha Criar permissão gerenciada pelo cliente para criar uma permissão gerenciada pelo cliente que atenda aos requisitos do seu caso de uso de compartilhamento. Para obter mais informações, consulte Criar uma permissão gerenciada pelo cliente. Depois de concluir o processo, escolha e selecione sua nova permissão gerenciada pelo cliente na lista suspensa Permissões gerenciadas.

   nota

   Se a permissão gerenciada selecionada tiver várias versões, o AWS RAM anexará automaticamente a versão padrão. Você pode anexar somente a versão designada como padrão.

   Para exibir as ações que a permissão gerenciada permite, expanda Exibir o modelo de política dessa permissão gerenciada.

7. Escolha Próximo.

8. Na Etapa 3: Conceder acesso às entidades principais, faça o seguinte:

   1. Por padrão, Permitir compartilhamento com qualquer pessoa está selecionado, o que significa que, para os tipos de recursos que o suportam, você pode compartilhar recursos com as Contas da AWS que estão fora da sua organização. Isso não afeta os tipos de recursos que podem ser compartilhados somente dentro de uma organização, como as sub-redes da Amazon VPC. Você também pode compartilhar alguns tipos de recursos compatíveis com perfis e usuários do IAM.

      Para restringir o compartilhamento de recursos somente a contas e entidades principais em sua organização, escolha Permitir compartilhamento somente dentro de sua organização.

   2. Para entidades principais, faça o seguinte:

      • Para adicionar a organização, uma unidade organizacional (OU) ou uma Conta da AWS que faça parte de uma organização, ative Exibir estrutura organizacional. Isso exibe uma visualização em árvore da sua organização. Em seguida, marque a caixa de seleção ao lado de cada entidade principal que você deseja adicionar.

        Importante

        Quando você compartilha com uma organização ou uma OU, e esse escopo inclui a conta que possui o compartilhamento de recursos, todas as entidades principais na conta de compartilhamento obtêm acesso automático aos recursos no compartilhamento. O acesso concedido é definido pelas permissões gerenciadas associadas ao compartilhamento. Isso ocorre porque a política baseada em recursos que o AWS RAM anexa a cada recurso no compartilhamento usa "Principal": "*". Para obter mais informações, consulte Implicações do uso de "Principal": "*" em uma política baseada em recursos.

        As entidades principais das outras contas consumidoras não têm acesso imediato aos recursos do compartilhamento. Os administradores das outras contas devem primeiro anexar políticas de permissão baseadas em identidade às entidades principais apropriadas. Essas políticas devem conceder acesso Allow aos ARNs de recursos individuais no compartilhamento de recursos. As permissões nessas políticas não podem exceder as especificadas na permissão gerenciada associada ao compartilhamento de recursos.

        • Se você selecionar a organização (o ID começa com o-), as entidades principais de todas as Contas da AWS na organização poderão acessar o compartilhamento de recursos.

        • Se você selecionar uma OU (o ID começa com ou-), as entidades principais de todas as Contas da AWS nessa OU e suas OUs secundárias poderão acessar o compartilhamento de recursos.

        • Se você selecionar uma Conta da AWS individual, somente as entidades principais dessa conta poderão acessar o compartilhamento de recursos.

        nota

        A opção Exibir estrutura organizacional aparecerá somente se o compartilhamento com o AWS Organizations estiver ativado e você estiver conectado à conta de gerenciamento da organização.

        Você não pode usar esse método para especificar uma Conta da AWS externa à sua organização ou um usuário ou perfil do IAM. Em vez disso, você deve desativar Exibir estrutura organizacional e usar a lista suspensa e a caixa de texto para inserir o ID ou o ARN.

      • Para especificar uma entidade principal por ID ou ARN, incluindo entidades principais que estão fora da organização, selecione o tipo de entidade principal para cada entidade principal. Em seguida, insira o ID (para uma Conta da AWS, organização ou OU) ou o ARN (para um usuário ou perfil do IAM) e escolha Adicionar. Os tipos de entidades principais e formatos de ID e ARN disponíveis são os seguintes:

        • Conta da AWS: para adicionar uma Conta da AWS, insira o ID da conta de 12 dígitos. Por exemplo:

          123456789012

        • Organização: para adicionar todas as Contas da AWS da sua organização, insira o ID da organização. Por exemplo:

          o-abcd1234

        • Unidade organizacional (OU): para adicionar uma OU, insira a ID da OU. Por exemplo:

          ou-abcd-1234efgh

        • Perfil do IAM: para adicionar um perfil do IAM, insira o ARN do perfil. Use a seguinte sintaxe:

          arn:partition:iam::account:role/role-name

          Por exemplo:

          arn:aws:iam::123456789012:role/MyS3AccessRole

          nota

          Para obter o ARN exclusivo para um perfil do IAM, veja a lista de perfis no console do IAM use o comando get-role da AWS CLI ou a ação da API GetRole.

        • Usuário do IAM: para adicionar um usuário do IAM, insira o ARN do usuário. Use a seguinte sintaxe:

          arn:partition:iam::account:user/user-name

          Por exemplo:

          arn:aws:iam::123456789012:user/bob

          nota

          Para obter o ARN exclusivo para um usuário do IAM, veja a lista de usuários no console do IAM, use o comando get-user da AWS CLI ou a ação GetUser da API.

      • Entidade principal de serviço: para adicionar uma entidade principal de serviço, escolha Entidade principal de serviço na caixa Selecionar do tipo de entidade principal. Insira o nome da entidade principal do serviço da AWS. Use a seguinte sintaxe:

        • service-id.amazonaws.com

          Por exemplo:

          pca-connector-ad.amazonaws.com

   3. Em Entidades principais selecionadas, verifique se as entidades principais que você especificou aparecem na lista.

9. Escolha Próximo.

10. Na Etapa 4: revisar e criar, revise os detalhes da configuração do seu compartilhamento de recursos. Para alterar a configuração de qualquer etapa, escolha o link que corresponde à etapa à qual você deseja voltar e faça as alterações necessárias.

11. Depois de concluir a revisão do compartilhamento de recursos, escolha Criar compartilhamento de recursos.

    Pode levar alguns minutos para que as associações de entidades principais entre recurso e principal sejam concluídas. Permita que esse processo seja concluído antes de tentar usar o compartilhamento de recursos.

12. É possível adicionar e remover recursos e entidades principais ou aplicar tags personalizadas ao recurso a qualquer momento. Você pode alterar a permissão gerenciada para tipos de recursos incluídos em seu compartilhamento de recursos, para aqueles tipos que oferecem suporte a mais do que a permissão gerenciada padrão. É possível excluir o recurso quando você não quiser mais compartilhar os recursos. Para obter mais informações, consulte Compartilhar seus recursos da AWS.