Ejemplos de políticas basadas en identidades para Amazon Translate

De forma predeterminada, los usuarios y los roles no tienen permiso para crear o modificar los recursos de Amazon Translate. Tampoco pueden realizar tareas mediante la AWS Management Console, la AWS CLI, o la API de AWS. Un administrador de IAM debe crear políticas de IAM que otorguen permisos para realizar operaciones de API específicas en los recursos específicos que necesita. El administrador debe asociar esas políticas a los usuarios o roles de que necesiten esos permisos.

Para obtener información sobre cómo crear una política de IAM basada en identidades mediante los siguientes ejemplos de documentos de políticas JSON, consulteCreación de políticas en la pestaña JSONen elGuía del usuario de IAM.

Mejores prácticas de políticas basadas en la identidad

Las políticas basadas en la identidad determinan si alguien puede crear, acceder o eliminar los recursos de Amazon Translate de su cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidad:

• Comience con las políticas administradas por AWS y continúe con los permisos de privilegio mínimo: a fin de comenzar a conceder permisos a los usuarios y las cargas de trabajo, utilice las políticas administradas por AWS, que conceden permisos para muchos casos de uso comunes. Están disponibles en la Cuenta de AWS. Se recomienda definir políticas administradas por el cliente de AWS específicas para sus casos de uso a fin de reducir aún más los permisos. Con el fin de obtener más información, consulte las políticas administradas por AWS o las políticas administradas por AWS para funciones de trabajo en la Guía de usuario de IAM.

• Aplique permisos de privilegio mínimo: cuando establezca permisos con políticas de IAM, conceda solo los permisos necesarios para realizar una tarea. Para ello, debe definir las acciones que se pueden llevar a cabo en determinados recursos en condiciones específicas, también conocidos como permisos de privilegios mínimos. Con el fin de obtener más información sobre el uso de IAM para aplicar permisos, consulte Políticas y permisos en IAM en la Guía de usuario de IAM.

• Use condiciones en las políticas de IAM para restringir aún más el acceso: puede agregar una condición a sus políticas para limitar el acceso a las acciones y los recursos. Por ejemplo, puede escribir una condición de política para especificar que todas las solicitudes deben enviarse utilizando SSL. También puede usar condiciones para conceder acceso a acciones de servicios si se emplean a través de un Servicio de AWS determinado, como por ejemplo AWS CloudFormation. Para obtener más información, consulte Elementos de la política JSON de IAM: condición en la Guía del usuario de IAM.

• Use el Analizador de acceso de IAM para validar las políticas de IAM con el fin de garantizar la seguridad y funcionalidad de los permisos: el Analizador de acceso de IAM valida políticas nuevas y existentes para que respeten el lenguaje (JSON) de las políticas de IAM y las prácticas recomendadas de IAM. IAM Access Analyzer proporciona más de 100 verificaciones de políticas y recomendaciones procesables para ayudar a crear políticas seguras y funcionales. Para obtener más información, consulte la política de validación del Analizador de acceso de IAM en la Guía de usuario de IAM.

• Solicite la autenticación multifactor (MFA): si se encuentra en una situación en la que necesita usuarios raíz o de IAM en su Cuenta de AWS, active la MFA para mayor seguridad. Para solicitar la MFA cuando se invocan las operaciones de la API, agregue las condiciones de MFA a sus políticas. Para obtener más información, consulte Configuración de acceso a una API protegida por MFA en la Guía de usuario de IAM.

Para obtener más información sobre las prácticas recomendadas de IAM, consulte las Prácticas recomendadas de seguridad en IAM en la Guía de usuario de IAM.

Permitir el acceso a la consola de Amazon Translate

Para acceder a la consola de Amazon Translate, debe disponer de un conjunto mínimo de permisos. Estos permisos deben permitirle enumerar y ver detalles sobre los recursos de Amazon Translate en suAWScuenta. Si creas una política basada en identidades que sea más restrictiva que los permisos mínimos requeridos, la consola no funcionará según lo previsto para las entidades (usuarios, grupos o roles) con esa política.

Para obtener los permisos de la consola de Amazon Translate, puede adjuntar elTranslateFullAccess AWSpolítica gestionada para las entidades. Para obtener más información, consulte AWSpolíticas gestionadas para Amazon Translate.

También necesita permisos para las acciones que se muestran en la siguiente política. Estos permisos se incluyen en laTranslateFullAccesspolítica.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:GetRole",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
             ],   
            "Resource": "*"

        }
    ]
}

No es necesario que conceda permisos mínimos para la consola a los usuarios que solo realizan llamadas a la AWS CLI o a la API de AWS. En su lugar, permite acceso únicamente a las acciones que coincidan con la operación de API que intentan realizar. Para obtener más información, consulte Adición de permisos a un usuario en la Guía del usuario de IAM.

Permitir a los usuarios consultar sus propios permisos

En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas administradas e insertadas que se adjuntan a la identidad de sus usuarios. Esta política incluye permisos para llevar a cabo esta acción en la consola o mediante programación con la AWS CLI o la API de AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Especificar los recursos en una política

Para muchas acciones de la API de Amazon Translate, puede restringir el alcance de una política especificando los recursos permitidos (o no permitidos) para la acción. Para obtener una lista de las acciones que pueden especificar los recursos, consulteAcciones definidas por Amazon Translate. Puede especificar los siguientes recursos en una política:

• Custom terminology— Utilice el siguiente formato ARN:

  arn:partition:translate:region:account:terminology/terminology-name/LATEST

• Parallel data— Utilice el siguiente formato ARN:

  arn:partition:translate:region:account:parallel-data/parallel-data-name

Puede utilizar el carácter comodín para especificar varios recursos en la política. El siguiente ejemplo de política permite todos los recursos terminológicos personalizados para todas las acciones de Amazon Translate.

{
        "Sid": "Example1",
        "Effect": "Allow",
        "Action": "translate:*",
        "Resource": [
             "arn:aws:translate:us-west-2:123456789012:terminology/*"
        ]
}          

La siguiente política de ejemplo niega el acceso a un recurso de datos paralelos específico para elGetParallelDataacción.

{
        "Sid": "Example2",
        "Effect": "Deny",
        "Action": "translate:GetParallelData",
        "Resource": [
             "arn:aws:translate:us-west-2:123456789012:parallel-data/test-parallel-data"
        ]
}           

Permisos para usar claves administradas por el cliente con terminologías personalizadas

Si usaAWS Key Management Service(AWS KMS) claves gestionadas por el cliente con terminologías personalizadas de Amazon Translate, es posible que necesite permisos adicionales en su política de claves de KMS.

Para llamar alImportTerminologyoperación con una clave gestionada por el cliente, añada los siguientes permisos a su política de claves de KMS existente.

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow access for use with Amazon Translate",
            "Effect": "Allow",
            "Principal": {
                "AWS": "IAM USER OR ROLE ARN"
            },
            "Action": [
                "kms:CreateAlias",
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:GetKeyPolicy",
                "kms:PutKeyPolicy",
                "kms:RetireGrant"
            ],
            "Resource": "*"
        }
    ]
}

Para llamar alGetTerminologyoperación para una terminología personalizada que se importó con una clave gestionada por el cliente de KMS, añada los siguientes permisos en la política de claves de KMS.

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow access for use with Amazon Translate",
            "Effect": "Allow",
            "Principal": {
                "AWS": "IAM USER OR ROLE ARN"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GetKeyPolicy",
                "kms:PutKeyPolicy"
            ],
            "Resource": "*"
        }
    ]
}

Para llamar alListTerminologiesoDeleteTermionlogyoperaciones para una terminología personalizada que se importó con una clave gestionada por el cliente, no necesita tener ninguna especialAWS KMSpermisos.

Para utilizar las claves gestionadas por el cliente en todas las operaciones de terminología personalizadas, añada los siguientes permisos a la política de claves de KMS.

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow access for use with Amazon Translate",
            "Effect": "Allow",
            "Principal": {
                "AWS": "IAM USER OR ROLE ARN"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:GetKeyPolicy",
                "kms:PutKeyPolicy",
                "kms:RetireGrant"
            ],
            "Resource": "*"
        }
    ]
}

Para obtener más información sobre las operaciones y los recursos de Amazon Translate, consulteAcciones, recursos y claves de condiciones para Amazon Translateen elReferencia de autorización de servicio.