Condivisione e utilizzo delle autorizzazioni gestite dal cliente tra gli account in AWS RAM

Puoi condividere un'autorizzazione gestita dal cliente che possiedi nello stesso modo in cui condividi altre risorse: aggiungila a una condivisione di risorse come risorsa di tipo ram:Permission. Puoi condividerlo con altri Account AWS, unità organizzative (OU), l'intera organizzazione o ruoli e utenti IAM in altri account. Ogni account può quindi utilizzare l'autorizzazione gestita dal cliente nelle proprie condivisioni di risorse invece di creare una propria copia.

Un account che riceve un'autorizzazione condivisa gestita dal cliente può visualizzarla e associarla alle proprie condivisioni di risorse. Non può modificare, modificare, modificare, deprecare, eliminare, etichettare o condividere nuovamente l'autorizzazione gestita dal cliente. Solo tu, il proprietario, puoi fare queste cose.

Se condividi un'autorizzazione gestita con parametri, ogni account ricevente fornisce i propri valori di parametro quando associa l'autorizzazione alle proprie condivisioni di risorse. Per ulteriori informazioni, consulta Utilizzo di autorizzazioni gestite parametrizzate in AWS RAM.

Condividi un'autorizzazione gestita dal cliente con altri account

Per condividere un'autorizzazione gestita dal cliente, crea una condivisione di risorse che includa l'autorizzazione gestita dal cliente come risorsa o aggiungi l'autorizzazione gestita dal cliente a una condivisione di risorse esistente. AWS RAM associa il AWS autorizzazione gestita AWSRAMDefaultPermissionRAMCustomerManagedPermission con ram:Permission tipo di risorsa. Con questa autorizzazione gestita, gli account riceventi possono visualizzare l'autorizzazione gestita dal cliente e le relative versioni e associarla alle proprie condivisioni di risorse.

Quando aggiungi un'autorizzazione gestita dal cliente a una condivisione di risorse, AWS RAM aggiorna la politica basata sulle risorse dell'autorizzazione gestita dal cliente per tuo conto. Affinché funzioni:

• Il committente che effettua la richiesta necessita dell'autorizzazione per ram:PutCustomerManagedPermissionPolicy e ram:DeleteCustomerManagedPermissionPolicy azioni sull'autorizzazione gestita dal cliente.

• Si tratta di azioni che richiedono solo l'autorizzazione. AWS RAM le utilizza solo quando risponde alla tua richiesta e non puoi chiamarle direttamente.

• Se il principale non dispone di queste autorizzazioni, l'associazione delle risorse ha esito negativo e viene visualizzato il messaggio di stato Association failed because the caller was not authorized.

Console

Per condividere un'autorizzazione gestita dal cliente con altri account

1. Aprire il Libreria di autorizzazioni gestite e scegli l'autorizzazione gestita dal cliente che desideri condividere. Nella pagina dei dettagli, scegli Crea una condivisione di risorse.

   In alternativa, apri Condiviso da me: condivisioni di risorse e scegli Crea una condivisione di risorse.

2. Inserisci un nome per la condivisione delle risorse.

3. Sotto Risorse, per Seleziona il tipo di risorsa, scegli Autorizzazioni RAM, quindi seleziona l'autorizzazione gestita dal cliente che desideri condividere.

4. Sul Autorizzazioni gestite dagli associati pagina, mantieni AWSRAMDefaultPermissionRAMCustomerManagedPermission per il ram:Permission tipo di risorsa.

5. Sotto Presidi, aggiungi il Account AWS, unità organizzative, ruoli e utenti dell'organizzazione o IAM in altri account con cui desideri condividere.

6. Rivedi la tua configurazione e scegli Crea una condivisione delle risorse.

AWS CLI

Per condividere un'autorizzazione gestita dal cliente con altri account

• Esegui il create-resource-share comando. Specifica l'ARN dell'autorizzazione gestita dal cliente come risorsa e specifica i principali con cui condividerla.

  L'esempio seguente condivide un'autorizzazione gestita dal cliente con un'altra Account AWS.

  $ aws ram create-resource-share \
      --name SharedParameterPermissions \
      --resource-arns arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
      --principals 111122223333
  {
      "resourceShare": {
          "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
          "name": "SharedParameterPermissions",
          "owningAccountId": "123456789012",
          "allowExternalPrincipals": true,
          "status": "ACTIVE",
          "creationTime": 1763300000.000,
          "lastUpdatedTime": 1763300000.000,
          "featureSet": "STANDARD"
      }
  }

È possibile condividere un'autorizzazione gestita dal cliente solo con altri Account AWS, le unità organizzative, la tua organizzazione o i ruoli e gli utenti IAM in altri account. Non puoi condividere un'autorizzazione gestita dal cliente con i responsabili del servizio e non puoi condividerla AWS autorizzazioni gestite.

Scopri e utilizza le autorizzazioni condivise gestite dai clienti

Puoi trovare e utilizzare un'autorizzazione condivisa gestita dai clienti dopo aver accettato l'invito alla condivisione delle risorse. Se fai parte della stessa organizzazione e condividi con AWS Organizations è acceso, puoi usarlo subito.

Console

Per scoprire e utilizzare un'autorizzazione condivisa gestita dal cliente

1. Apri il Libreria di autorizzazioni gestite. Vengono visualizzate le autorizzazioni gestite dal cliente condivise con te Condivise con me nel Proprietà colonna.

2. Scegli un'autorizzazione condivisa gestita dal cliente per visualizzarne il modello di politica, le versioni e tutti i parametri del modello.

3. Quando crei o aggiorni una delle tue condivisioni di risorse, scegli l'autorizzazione condivisa gestita dal cliente in Autorizzazioni gestite dagli associati pagina relativa al tipo di risorsa.

AWS CLI

Per scoprire e utilizzare un'autorizzazione condivisa gestita dal cliente

1. Esegui il autorizzazioni per l'elenco comando con --permission-type CUSTOMER_MANAGED e --resource-owner OTHER-ACCOUNTS. La risposta elenca le autorizzazioni gestite dal cliente che altri account condividono con te, con resourceOwner impostato su OTHER-ACCOUNTS. L'ID dell'account del proprietario fa parte dell'ARN dell'autorizzazione.

   $ aws ram list-permissions \
       --permission-type CUSTOMER_MANAGED \
       --resource-owner OTHER-ACCOUNTS
   {
       "permissions": [
           {
               "arn": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
               "version": "2",
               "defaultVersion": true,
               "name": "ParameterReadByTeam",
               "resourceType": "ssm:Parameter",
               "status": "ATTACHABLE",
               "creationTime": 1763400000.000,
               "lastUpdatedTime": 1763400000.000,
               "isResourceTypeDefault": false,
               "permissionType": "CUSTOMER_MANAGED",
               "featureSet": "STANDARD",
               "resourceOwner": "OTHER-ACCOUNTS"
           }
       ]
   }

2. Esegui il associate-resource-share-permission comando per associare l'autorizzazione condivisa gestita dal cliente alla condivisione delle risorse.

   • Se l'autorizzazione gestita dal cliente dichiara i parametri del modello, includi --permission-template-parameters.

   • Se la condivisione delle risorse dispone già di un'autorizzazione gestita per quel tipo di risorsa, includi --replace.

   $ aws ram associate-resource-share-permission \
       --resource-share-arn arn:aws:ram:us-east-1:111122223333:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE33333 \
       --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
       --permission-template-parameters '[{"name":"teams","values":["analytics"]},{"name":"environment","values":["prod"]}]' \
       --replace
   {
       "returnValue": true
   }

Interrompi la condivisione di un'autorizzazione gestita dal cliente

Per interrompere la condivisione di un'autorizzazione gestita dal cliente, rimuovila o i principali dalla condivisione delle risorse oppure elimina la condivisione delle risorse. Dopo aver interrotto la condivisione con un account, si applica quanto segue:

• Le condivisioni di risorse esistenti dell'account che utilizzano l'autorizzazione gestita dal cliente continuano a funzionare.

• L'account non vede più l'autorizzazione gestita dal cliente in list-permissionse non può associare l'autorizzazione gestita dal cliente ad altre condivisioni di risorse.

• L'account può comunque dissociare l'autorizzazione gestita dal cliente dalle sue condivisioni di risorse esistenti.

Console

Per interrompere la condivisione di un'autorizzazione gestita dal cliente

1. Apri Condiviso da me: condivisioni di risorse.

2. Scegli la condivisione di risorse che contiene l'autorizzazione gestita dal cliente e scegli Modifica.

3. Rimuovi l'autorizzazione gestita dal cliente o i principali dalla condivisione delle risorse, quindi completa la procedura guidata. In alternativa, elimina la condivisione delle risorse.

AWS CLI

Per interrompere la condivisione di un'autorizzazione gestita dal cliente

• Esegui il dissociate-resource-share comando per rimuovere l'autorizzazione gestita dal cliente o i principali dalla condivisione delle risorse.

  $ aws ram disassociate-resource-share \
      --resource-share-arn arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 \
      --resource-arns arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam
  {
      "resourceShareAssociations": [
          {
              "resourceShareArn": "arn:aws:ram:us-east-1:123456789012:resource-share/a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
              "associatedEntity": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
              "associationType": "RESOURCE",
              "status": "DISASSOCIATING",
              "external": false
          }
      ]
  }

Considerazioni sulle autorizzazioni condivise gestite dai clienti

Scopri quali condivisioni di risorse utilizzano l'autorizzazione gestita dal cliente

Per elencare le condivisioni di risorse in altri Account AWS che utilizzano l'autorizzazione gestita dal cliente, esegui list-permission-association comando con --permission-arn e --resource-owner OTHER-ACCOUNTS. Senza --resource-owner OTHER-ACCOUNTS, il comando elenca solo le tue condivisioni di risorse. Nella console, la pagina dei dettagli delle autorizzazioni mostra le stesse informazioni in Cross-account utilizzo.

$ aws ram list-permission-associations \
    --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
    --resource-owner OTHER-ACCOUNTS

L'eliminazione viene bloccata mentre è in uso l'autorizzazione gestita dal cliente

Non è possibile eliminare un'autorizzazione gestita dal cliente mentre una risorsa ne condivide una Account AWS lo utilizza. La richiesta fallisce con un OperationNotPermittedException errore. Per ritirare un'autorizzazione condivisa gestita dal cliente:

1. Deprecatela in modo che nessuno possa associarla a più condivisioni di risorse. Per ulteriori informazioni, consulta Deprecare un'autorizzazione gestita dal cliente.

2. Chiedi agli account che la utilizzano di dissociarla o di sostituirla con un'altra autorizzazione gestita.

3. Dopo aver rimosso l'ultima associazione, eliminala.

Versioni

Quando si crea una nuova versione di un'autorizzazione condivisa gestita dal cliente, questa diventa immediatamente la versione predefinita. Gli account che utilizzano l'autorizzazione gestita dal cliente possono associare solo la versione predefinita. Le condivisioni di risorse esistenti mantengono la versione utilizzata fino a quando non vengono aggiornate.

Ambito regionale

Un'autorizzazione gestita dal cliente esiste solo in Regione AWS dove lo crei. Puoi condividerlo solo in quella regione e gli account riceventi possono usarlo solo per le condivisioni di risorse in quella regione.