Amazon EventBridge y AWS Identity and Access Management

Para acceder a Amazon EventBridge, necesitas credenciales que AWS puedas usar para autenticar tus solicitudes. Sus credenciales deben tener permisos para acceder a los recursos de AWS como, por ejemplo, para recuperar datos de evento desde otros recursos de AWS. En las siguientes secciones, se proporcionan detalles sobre cómo puedes usar AWS Identity and Access Management(IAM) y cómo ayudarte EventBridge a proteger tus recursos controlando quién puede acceder a ellos.

Temas

• Autenticación
• Control de acceso
• Administrar permisos de acceso para los recursos de Amazon EventBridge
• Uso de políticas basadas en identidades (políticas de IAM) para Amazon EventBridge
• Uso de políticas basadas en recursos para Amazon EventBridge
• Prevención del suplente confuso entre servicios
• Políticas basadas en recursos para los esquemas de Amazon EventBridge
• Referencia de permisos de Amazon EventBridge
• Usar condiciones de las políticas de IAM para control de acceso preciso
• Uso de roles vinculados a servicios de EventBridge

Autenticación

Puede obtener acceso a AWS con los siguientes tipos de identidades:

• Usuario raíz de la cuenta de AWS: cuando se registra en AWS, proporciona una dirección de email y una contraseña asociada a su cuenta. Estas son las credenciales raíz y proporcionan acceso completo a todos los recursos de AWS.

  importante

  Por motivos de seguridad, le recomendamos que solamente utilice las credenciales raíz para crear un administrador, que es un usuario de IAM con todos los permisos necesarios para administrar la cuenta. A continuación, puede utilizar este administrador para crear otros usuarios y roles con permisos limitados. Para obtener más información, consulte Prácticas recomendadas de IAM y Creación de un grupo y usuario administrador en la Guía del usuario de IAM.

• Usuario de IAM: un usuario de IAM es una identidad de tu cuenta que tiene permisos específicos, por ejemplo, el permiso para enviar datos de eventos a un objetivo. EventBridge Puede utilizar estas credenciales para iniciar sesión en IAM para proteger páginas web de AWS, como la AWS Management Console, los foros de debate de AWS o el centro de AWS Support.

  Además de las credenciales de inicio de sesión, puede generar claves de acceso para cada usuario. Puede utilizar estas claves al acceder a los servicios de AWS de manera programática para firmar criptográficamente su solicitud, ya sea a través de uno de los SDK o mediante la AWS Command Line Interface (AWS CLI). Si no utiliza las herramientas de AWS, debe firmar la solicitud usted mismo con Signature Version 4, un protocolo para autenticar solicitudes entrantes de la API. Para obtener más información acerca de la autenticación de solicitudes, consulte Proceso de firma Signature Version 4 en la Referencia general de Amazon Web Services.

• Rol de IAM: un rol de IAM es otra identidad de IAM que puede crear en la cuenta y que tiene permisos específicos. Es similar a un usuario de IAM, pero no está asociado a una persona determinada. Un rol de IAM le permite obtener claves de acceso temporal para acceder a los recursos y servicios de AWS. Los roles de IAM con credenciales temporales son útiles en las siguientes situaciones:

  • Acceso de usuarios federados: en lugar de crear un usuario, puede usar identidades de AWS Directory Service, el directorio de usuarios de la compañía o un proveedor de identidades (IdP) web. A estas identidades se les llama usuarios federados. AWS asigna un rol a un usuario federado cuando el usuario solicita acceso a través de un proveedor de identidad. Para obtener más información acerca de los usuarios federados, consulte Usuarios federados y roles en la Guía del usuario de IAM.

  • Acceso entre cuentas: puede utilizar un rol de IAM en su cuenta para conceder permiso a otra cuenta para que acceda a los recursos de su cuenta. Para ver un ejemplo, consulte Tutorial: Delegación del acceso entre cuentas de AWS mediante roles de IAM en la Guía del usuario de IAM.

  • Acceso a servicios de AWS: puede utilizar un rol de IAM de su cuenta para conceder permiso a un servicio de AWS a fin de acceder a los recursos de su cuenta. Por ejemplo, puede crear un rol que permita a Amazon Redshift cargar datos almacenados en un bucket de Amazon S3 en un clúster de Amazon Redshift. Para obtener más información, consulte Creación de un rol para delegarle permisos a un servicio de AWS en la Guía del usuario de IAM.

  • Aplicaciones que se ejecutan en Amazon EC2: en el caso de las aplicaciones de Amazon EC2 EventBridge a las que es necesario acceder, puede almacenar las claves de acceso en la instancia EC2 o utilizar una función de IAM para gestionar las credenciales temporales. Para asignar un rol de AWS a una instancia de EC2, cree un perfil de instancia asociado a la instancia. Un perfil de instancia contiene el rol y proporciona credenciales temporales a aplicaciones que se ejecutan en la instancia de EC2. Para obtener más información, consulte Uso de roles para aplicaciones en Amazon EC2 en la Guía del usuario de IAM.

Control de acceso

Para crear EventBridge recursos o acceder a ellos, necesita credenciales y permisos válidos. Por ejemplo, para invocar destinos de AWS Lambda, Amazon Simple Notification Service (Amazon SNS) y Amazon Simple Queue Service (Amazon SQS), debe tener permisos para estos servicios.