Configurar los IAM permisos necesarios para usar la consola de DataZone administración de Amazon

Para acceder a tus DataZone dominios, blueprints y usuarios de Amazon y configurarlos, y para crear el portal de DataZone datos de Amazon, debes usar la consola de administración de Amazon DataZone .

Debe completar los siguientes procedimientos para configurar los permisos obligatorios u opcionales para cualquier usuario, grupo o rol que quiera usar la consola de DataZone administración de Amazon.

Adjunta políticas obligatorias y opcionales a un usuario, grupo o rol para el acceso a la DataZone consola de Amazon

Complete el siguiente procedimiento para asociar las políticas personalizadas obligatorias y opcionales a un usuario, grupo o rol. Para obtener más información, consulte AWS políticas gestionadas para Amazon DataZone.

1. Inicie sesión en la consola AWS de administración y abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, seleccione Políticas.

3. Elija las siguientes políticas de permisos para adjuntarlas a su usuario, grupo o rol.

   • En la lista de políticas, seleccione la casilla de verificación situada junto a AmazonDataZoneFullAccess. Puede utilizar el menú Filtro y el cuadro de búsqueda para filtrar la lista de políticas. Para obtener más información, consulte AWS política gestionada: AmazonDataZoneFullAccess.

   • (Opcional) Cree una política personalizada de IAM permisos para permitir la creación simplificada de roles en la consola de DataZone servicio de Amazon.

   • (Opcional) Cree una política personalizada para los permisos del Centro de AWS Identidad para añadir y eliminar el acceso de SSO usuarios y SSO grupos a su DataZone dominio de Amazon.

4. Elija Acciones y, a continuación, elija Asociar.

5. Elija el usuario, grupo o rol al que desea asociar la política. Puede utilizar el menú Filtro y el cuadro de búsqueda para filtrar la lista entidades principales. Después de elegir el usuario, el grupo o el rol, elija Asociar política.

Cree una política personalizada de IAM permisos para permitir la creación simplificada de roles en la consola de DataZone servicio de Amazon

Complete el siguiente procedimiento para crear una política en línea personalizada que le permita disponer de los permisos necesarios para que Amazon DataZone pueda crear las funciones necesarias en la consola AWS de administración en su nombre.

1. Inicie sesión en la consola AWS de administración y abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, elija Usuarios o Grupos de usuarios.

3. En la lista, seleccione el nombre del usuario o del grupo en el que integrará una política.

4. Elija la pestaña Permissions (Permisos) y, si es necesario, expanda la sección Permissions Policies (Políticas de permisos).

5. Elija Agregar permisos y el enlace Crear política insertada.

6. En la pantalla Crear política, en la sección del editor de políticas, elija JSON.

   Cree un documento de política con las siguientes JSON declaraciones y, a continuación, seleccione Siguiente.

   
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "iam:CreatePolicy",
                   "iam:CreateRole"
               ],
               "Resource": [
                   "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                   "arn:aws:iam::*:role/service-role/AmazonDataZone*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "iam:AttachRolePolicy",
               "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::aws:policy/AmazonDataZone*",
                           "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                       ]
                   }
               }
           }
       ]
   }
     

7. En la pantalla Revisar política, introduzca un nombre para la política. Cuando esté satisfecho con la política, elija Crear política. Asegúrese de que no aparece ningún error en un cuadro rojo en la parte superior de la pantalla. Corrija todos los errores notificados.

Crea una política personalizada de permisos para gestionar una cuenta asociada a un DataZone dominio de Amazon

Complete el siguiente procedimiento para crear una política integrada personalizada que le permita disponer de los permisos necesarios en una AWS cuenta asociada para publicar, aceptar y rechazar los recursos compartidos de un dominio y, a continuación, habilitar, configurar y deshabilitar los esquemas de entorno en la cuenta asociada. Para habilitar la creación de roles simplificada de Amazon DataZone Service Console opcional disponible durante la configuración del blueprint, también Cree una política personalizada de IAM permisos para permitir la creación simplificada de roles en la consola de DataZone servicio de Amazon debe hacerlo.

1. Inicie sesión en la consola AWS de administración y abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, elija Usuarios o Grupos de usuarios.

3. En la lista, seleccione el nombre del usuario o del grupo en el que integrará una política.

4. Elija la pestaña Permissions (Permisos) y, si es necesario, expanda la sección Permissions Policies (Políticas de permisos).

5. Elija Agregar permisos y el enlace Crear política insertada.

6. En la pantalla Crear política, en la sección del editor de políticas, elija JSON. Cree un documento de política con las siguientes JSON declaraciones y, a continuación, seleccione Siguiente.

   
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "datazone:ListEnvironmentBlueprintConfigurations",
                   "datazone:PutEnvironmentBlueprintConfiguration",
                   "datazone:GetDomain",
                   "datazone:ListDomains",
                   "datazone:GetEnvironmentBlueprintConfiguration",
                   "datazone:ListEnvironmentBlueprints",
                   "datazone:GetEnvironmentBlueprint",
                   "datazone:ListAccountEnvironments",
                   "datazone:DeleteEnvironmentBlueprintConfiguration"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": [
                   "arn:aws:iam::*:role/AmazonDataZone",
                   "arn:aws:iam::*:role/service-role/AmazonDataZone*"
               ],
               "Condition": {
                   "StringEquals": {
                       "iam:passedToService": "datazone.amazonaws.com"
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": "iam:AttachRolePolicy",
               "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::aws:policy/AmazonDataZone*",
                           "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                       ]
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": "iam:ListRoles",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "iam:CreatePolicy",
                   "iam:CreateRole"
               ],
               "Resource": [
                   "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                   "arn:aws:iam::*:role/service-role/AmazonDataZone*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ram:AcceptResourceShareInvitation",
                   "ram:RejectResourceShareInvitation",
                   "ram:GetResourceShareInvitations"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:ListAllMyBuckets",
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "s3:CreateBucket",
               "Resource": "arn:aws:s3:::amazon-datazone*"
           }
       ]
   }
    

7. En la pantalla Revisar política, introduzca un nombre para la política. Cuando esté satisfecho con la política, elija Crear política. Asegúrese de que no aparece ningún error en un cuadro rojo en la parte superior de la pantalla. Corrija todos los errores notificados.

(Opcional) Cree una política personalizada para los permisos del Centro de AWS Identidad para añadir y eliminar el acceso de SSO usuarios y SSO grupos a los DataZone dominios de Amazon

Complete el siguiente procedimiento para crear una política integrada personalizada que le permita disponer de los permisos necesarios para añadir y eliminar el acceso de SSO usuarios y SSO grupos a su DataZone dominio de Amazon.

1. Inicie sesión en la consola AWS de administración y abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, elija Usuarios o Grupos de usuarios.

3. En la lista, seleccione el nombre del usuario o del grupo en el que integrará una política.

4. Elija la pestaña Permissions (Permisos) y, si es necesario, expanda la sección Permissions Policies (Políticas de permisos).

5. Elija Agregar permisos y Crear política insertada.

6. En la pantalla Crear política, en la sección del editor de políticas, elija JSON.

   Cree un documento de política con las siguientes JSON declaraciones y, a continuación, seleccione Siguiente.

   
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "sso:GetManagedApplicationInstance",
           "sso:ListProfiles",
           "sso:GetProfiles",
           "sso:AssociateProfile",
           "sso:DisassociateProfile",
           "sso:GetProfile"
         ],
         "Resource": "*"
       }
     ]
   }
                  

7. En la pantalla Revisar política, introduzca un nombre para la política. Cuando esté satisfecho con la política, elija Crear política. Asegúrese de que no aparece ningún error en un cuadro rojo en la parte superior de la pantalla. Corrija todos los errores notificados.

(Opcional) Añade a tu IAM principal como usuario clave para crear tu DataZone dominio de Amazon con una clave gestionada por el cliente desde AWS Key Management Service () KMS

Antes de que puedas crear tu DataZone dominio de Amazon de forma opcional con una clave gestionada por el cliente (CMK) del Servicio de gestión de AWS claves (KMS), completa el siguiente procedimiento para convertir a tu IAM principal en usuario de tu KMS clave.

1. Inicie sesión en la consola AWS de administración y abra la KMS consola en. https://console.aws.amazon.com/kms/

2. Si desea ver las claves de la cuenta que usted crea y administra, elija en el panel de navegación, Claves administradas por el cliente.

3. En la lista de KMS claves, elija el alias o el ID de KMS clave de la clave que desee examinar.

4. Para añadir o eliminar usuarios clave y permitir o impedir que AWS las cuentas externas utilicen la KMS clave, utilice los controles de la sección Usuarios clave de la página. Los usuarios clave pueden utilizar la KMS clave en operaciones criptográficas, como cifrar, descifrar, volver a cifrar y generar claves de datos.