Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Control de acceso a las API directas de EBS mediante IAM
Un usuario debe tener las siguientes políticas para utilizar las API directas de EBS. Para obtener más información, consulte [Cambio de los permisos de un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html).
Para obtener más información sobre las claves de contexto de condición, acciones y recursos de las API directas de EBS para su uso en las políticas de permisos de IAM, consulte[Acciones, recursos y claves de condición para Amazon Elastic Block Store](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonelasticblockstore.html) en la *Referencia de autorizaciones de servicio*.
**importante**
Tenga cuidado al asignar las siguientes políticas a los usuarios de . Al asignar estas políticas, puede conceder acceso a un usuario al que se le deniegue el acceso al mismo recurso a través de las API de Amazon EC2, como las CopySnapshot acciones o. CreateVolume
## Permisos para leer instantáneas
La siguiente política permite utilizar las API directas de * lectura de * EBS en todas las instantáneas de una región específica. AWS En la política, {{}} sustitúyala por la región de la instantánea.
La siguiente política permite utilizar las API directas de EBS de *lectura* en instantáneas con una etiqueta clave-valor específica. En la política, {{}} sustitúyala por el valor clave de la etiqueta y {{}} por el valor de la etiqueta.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ebs:ListSnapshotBlocks",
"ebs:ListChangedBlocks",
"ebs:GetSnapshotBlock"
],
"Resource": "arn:aws:ec2:*::snapshot/*",
"Condition": {
"StringEqualsIgnoreCase": {
"aws:ResourceTag/{{}}": "{{}}"
}
}
}
]
}
```
------
La siguiente directiva permite que todas las API directas de EBS de *lectura* se utilicen en todas las instantáneas de la cuenta solo dentro de un intervalo de tiempo específico. Esta política autoriza el uso de las API directas de EBS basadas en la clave de condición global `aws:CurrentTime`. En la política, asegúrese de reemplazar el intervalo de fecha y hora mostrado por el intervalo de fecha y hora de la política.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ebs:ListSnapshotBlocks",
"ebs:ListChangedBlocks",
"ebs:GetSnapshotBlock"
],
"Resource": "arn:aws:ec2:*::snapshot/*",
"Condition": {
"DateGreaterThan": {
"aws:CurrentTime": "{{2018-05-29T00:00:00Z}}"
},
"DateLessThan": {
"aws:CurrentTime": "{{2020-05-29T23:59:59Z}}"
}
}
}
]
}
```
------
Para obtener más información, consulte [Cambio de los permisos de un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html) en la *Guía del usuario de IAM*.
## Permisos para escribir instantáneas
La siguiente política permite utilizar las API directas de * escritura de * EBS en todas las instantáneas de una región específica AWS . En la política, {{}} sustitúyala por la región de la instantánea.
La siguiente política permite que las API directas de EBS de *escritura* se utilicen en instantáneas con una etiqueta clave-valor específica. En la política, {{}} sustitúyala por el valor clave de la etiqueta y {{}} por el valor de la etiqueta.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ebs:StartSnapshot",
"ebs:PutSnapshotBlock",
"ebs:CompleteSnapshot"
],
"Resource": "arn:aws:ec2:*::snapshot/*",
"Condition": {
"StringEqualsIgnoreCase": {
"aws:ResourceTag/{{}}": "{{}}"
}
}
}
]
}
```
------
La siguiente política permite que se utilicen las API directas de EBS. También permite la acción `StartSnapshot` solo si se especifica un ID de instantánea principal. Por lo tanto, esta política bloquea la capacidad de iniciar nuevas instantáneas sin utilizar una instantánea principal.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "ebs:*",
"Resource": "*",
"Condition": {
"StringEquals": {
"ebs:ParentSnapshot": "arn:aws:ec2:*::snapshot/*"
}
}
}
]
}
```
------
La siguiente política permite que se utilicen las API directas de EBS. También permite que solo se cree la clave de etiqueta de `user` para una nueva instantánea. Esta política también garantiza que el usuario tenga acceso para crear etiquetas. La acción `StartSnapshot` es la única acción que puede especificar etiquetas.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "ebs:*",
"Resource": "*",
"Condition": {
"ForAllValues:StringEquals": {
"aws:TagKeys": "user"
}
}
},
{
"Effect": "Allow",
"Action": "ec2:CreateTags",
"Resource": "*"
}
]
}
```
------
La siguiente política permite que todas las API directas de EBS de *escritura* se utilicen en todas las instantáneas de la cuenta solo dentro de un intervalo de tiempo específico. Esta política autoriza el uso de las API directas de EBS basadas en la clave de condición global `aws:CurrentTime`. En la política, asegúrese de reemplazar el intervalo de fecha y hora mostrado por el intervalo de fecha y hora de la política.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ebs:StartSnapshot",
"ebs:PutSnapshotBlock",
"ebs:CompleteSnapshot"
],
"Resource": "arn:aws:ec2:*::snapshot/*",
"Condition": {
"DateGreaterThan": {
"aws:CurrentTime": "{{2018-05-29T00:00:00Z}}"
},
"DateLessThan": {
"aws:CurrentTime": "{{2020-05-29T23:59:59Z}}"
}
}
}
]
}
```
------
Para obtener más información, consulte [Cambio de los permisos de un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html) en la *Guía del usuario de IAM*.
## Permisos de uso AWS KMS keys
La siguiente política concede permiso para descifrar una instantánea cifrada mediante una clave de KMS específica. También concede permiso para cifrar instantáneas nuevas mediante la clave de KMS predeterminada para el cifrado de EBS. En la política, {{}} sustitúyalos por la región de la clave de KMS, {{}} por el ID de la AWS cuenta de la clave de KMS y {{}} por el ID de la clave de KMS.
**nota**
De forma predeterminada, todas las personas principales de la cuenta tienen acceso a la clave de KMS AWS administrada predeterminada para el cifrado de Amazon EBS y pueden usarla para las operaciones de cifrado y descifrado de EBS. Si utiliza una clave gestionada por el cliente, debe crear una política de claves nueva o modificar la política de clave existente para la clave gestionada por el cliente para conceder acceso a la entidad principal a la clave gestionada por el cliente. Para obtener más información, consulte [Políticas de claves en AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html) en la *Guía para desarrolladores de AWS Key Management Service *.
**sugerencia**
Para seguir el principio de privilegios mínimos, no permita el acceso completo a `kms:CreateGrant`. En su lugar, utilice la clave de `kms:GrantIsForAWSResource` condición para permitir al usuario crear concesiones en la clave de KMS solo cuando un AWS servicio cree la concesión en nombre del usuario, como se muestra en el siguiente ejemplo.
Para obtener más información, consulte [Cambio de los permisos de un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html) en la *Guía del usuario de IAM*.