Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Las políticas de autorización le AWS Organizations permiten configurar y administrar de forma centralizada el acceso de los principales y los recursos de sus cuentas de miembros. La forma en que esas políticas afectan a las unidades organizativas (OUs) y a las cuentas a las que se aplican depende del tipo de política de autorización que se aplique.
Existen dos tipos diferentes de políticas de autorización AWS Organizations: políticas de control de servicios (SCPs) y políticas de control de recursos (RCPs).
Temas
Diferencias entre SCPs y RCPs
SCPs son controles centrados en el principal. SCPs cree una barrera de permisos o establezca límites a los permisos máximos disponibles para los directores en sus cuentas de miembros. Puede usar un SCP cuando desee aplicar de forma centralizada controles de acceso consistentes a los directores de su organización. Esto puede incluir especificar a qué servicios pueden acceder sus usuarios y roles de IAM, a qué recursos pueden acceder o las condiciones en las que pueden realizar solicitudes (por ejemplo, desde regiones o redes específicas).
RCPs son controles centrados en los recursos. RCPs cree una barrera de permisos o establezca límites a los permisos máximos disponibles para los recursos en sus cuentas de miembros. Puede utilizar un RCP cuando desee aplicar de forma centralizada controles de acceso coherentes en todos los recursos de su organización. Esto puede restringir el acceso a sus recursos para que solo puedan acceder a ellos las identidades que pertenecen a su organización, o especificar las condiciones en las que las identidades externas a su organización pueden acceder a sus recursos.
Algunos controles se pueden aplicar de forma similar mediante SCPs y RCPs. Por ejemplo, es posible que desee impedir que sus usuarios carguen objetos no cifrados en S3, que puede escribirse como un SCP para controlar las acciones que sus directores pueden realizar en sus depósitos de S3. Este control también se puede escribir como un RCP para requerir el cifrado siempre que un responsable cargue objetos en el bucket de S3. Es posible que prefiera la segunda opción si su bucket permite que entidades ajenas a su organización, como proveedores externos, carguen objetos a su bucket de S3. Sin embargo, algunos controles solo se pueden implementar en un RCP y otros solo se pueden implementar en un SCP. Para obtener más información, consulte Casos de uso generales para y SCPs RCPs.
Uso y SCPs RCPs
SCPs y RCPs son controles independientes. Puede optar por habilitar solo SCPs o RCPs usar ambos tipos de políticas a la vez. Al usar ambas SCPs y RCPs, puede crear un perímetro de datos
SCPs proporcionan la capacidad de controlar a qué recursos pueden acceder sus identidades. Por ejemplo, es posible que desee permitir que sus identidades accedan a los recursos de su AWS organización. Sin embargo, es posible que desee impedir que sus identidades accedan a recursos ajenos a su organización. Puede hacer cumplir este control mediante SCPs.
RCPs proporcionan la posibilidad de controlar qué identidades pueden acceder a sus recursos. Por ejemplo, es posible que desee permitir que las identidades de su organización puedan acceder a los recursos de su organización. Sin embargo, es posible que desee impedir que identidades externas a su organización accedan a sus recursos. Puede hacer cumplir este control mediante RCPs. RCPs permiten influir en los permisos efectivos de los directores externos a su organización que acceden a sus recursos. SCPs solo puede afectar a los permisos efectivos de los directores de su AWS organización.
Casos de uso generales para y SCPs RCPs
La siguiente tabla detalla los casos de uso generales para usar un SCP y RCPs
| Impactos | |||||
|---|---|---|---|---|---|
| Caso de uso | Tipo de política | Sus identidades | Identidades externas | Sus recursos | Recursos externos (objetivo de la solicitud) |
| Restrinja los servicios o acciones que pueden utilizar sus identidades | SCP | X | X | X | |
| Restrinja a qué recursos pueden acceder sus identidades | SCP | X | X | X | |
| Haga cumplir los requisitos sobre cómo sus identidades pueden acceder a los recursos | SCP | X | X | X | |
| Restrinja qué identidades pueden acceder a sus recursos | RCP | X | X | X | |
| Proteja los recursos confidenciales de su organización | RCP | X | X | X | |
| Haga cumplir los requisitos sobre cómo se puede acceder a sus recursos | RCP | X | X | X | |
