View a markdown version of this page

Uso de funciones vinculadas a servicios paraAWS Audit Manager - AWS Audit Manager
Service-linked permisos de rol paraAWS Audit ManagerCreando elAWS Audit Managerrol vinculado al servicioEditando elAWS Audit Managerrol vinculado al servicioEliminar elAWS Audit Managerrol vinculado al servicioRegiones compatibles paraAWS Audit Managerroles vinculados a servicios

AWS Audit Managerya no está abierto a nuevos clientes. Los clientes existentes pueden seguir utilizando el servicio con normalidad. Para obtener más información, consulte Cambio en la disponibilidad de AWS Audit Manager.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de funciones vinculadas a servicios paraAWS Audit Manager

AWS Audit Managerutiliza funciones vinculadas al AWS Identity and Access Management servicio (IAM). Un rol vinculado a un servicio es un tipo único de rol de IAM que está vinculado directamente a Audit Manager. Service-linked Los roles están predefinidos por Audit Manager e incluyen todos los permisos que el servicio requiere para llamar a otros AWS servicios en su nombre.

Un rol vinculado a un servicio facilita la configuraciónAWS Audit Manager, ya que no es necesario añadir manualmente los permisos necesarios. Audit Manager define los permisos de sus roles vinculados a servicios y, a menos que esté definido de otra manera, solo Audit Manager puede asumir sus roles. Los permisos definidos incluyen las políticas de confianza y de permisos, y que la política de permisos no se pueda asociar a ninguna otra entidad de IAM.

Para obtener información sobre otros servicios que admiten funciones vinculadas a un servicio, consulte AWSlos servicios que funcionan con IAM y busque los servicios con la palabra Sí en la columna Función. Service-Linked Elija una opción Sí con un enlace para ver la documentación acerca del rol vinculado al servicio en cuestión.

Service-linked permisos de rol paraAWS Audit Manager

Audit Manager usa el rol vinculado al servicio denominadoAWSServiceRoleForAuditManager, que permite el acceso a los servicios y recursos de AWS utilizados o administrados por. AWS Audit Manager

El rol vinculado a servicios AWSServiceRoleForAuditManager confía en el servicio auditmanager.amazonaws.com para asumir el rol.

La política de permisos de funciones permite a Audit Manager recopilar pruebas automatizadas sobre su AWS uso. AWSAuditManagerServiceRolePolicy Más específicamente, puede tomar las siguientes acciones en su nombre.

  • Audit Manager se puede utilizar AWS Security Hub CSPM para recopilar pruebas de verificación de conformidad. En este caso, Audit Manager utiliza el siguiente permiso para informar de los resultados de las comprobaciones de seguridad directamente desdeAWS Security Hub CSPM. A continuación, adjunta los resultados a los controles de evaluación pertinentes como evidencia.

    • securityhub:DescribeStandards

    nota

    Para obtener más información sobre qué controles CSPM específicos de Security Hub puede describir Audit Manager, consulte AWS Security Hub CSPMlos controles compatibles con. AWS Audit Manager

  • Audit Manager se puede utilizar AWS Config para recopilar pruebas de verificación de conformidad. En este caso, Audit Manager utiliza los siguientes permisos para informar de los resultados de las evaluaciones de AWS Config reglas directamente desdeAWS Config. A continuación, adjunta los resultados a los controles de evaluación pertinentes como evidencia.

    • config:DescribeConfigRules

    • config:DescribeDeliveryChannels

    • config:ListDiscoveredResources

    nota

    Para obtener más información sobre qué AWS Config reglas específicas puede describir Audit Manager, consulte AWS ConfigReglas compatibles con AWS Audit Manager.

  • Audit Manager se puede utilizar AWS CloudTrail para recopilar pruebas de la actividad del usuario. En este caso, Audit Manager utiliza los siguientes permisos para capturar la actividad del usuario en CloudTrail los registros. A continuación, adjunta la actividad de los controles de evaluación pertinentes como evidencia.

    • cloudtrail:DescribeTrails

    • cloudtrail:LookupEvents

    nota

    Para obtener más información sobre qué CloudTrail eventos específicos puede describir Audit Manager, consulte los nombres de AWS CloudTrail eventos compatibles con AWS Audit Manager.

  • Audit Manager puede utilizar las llamadas a la AWS API para recopilar pruebas de configuración de recursos. En este caso, Audit Manager utiliza los siguientes permisos para llamar a las API de solo lectura que describen las configuraciones de sus recursos para los siguientes Servicios de AWS. A continuación, adjunta las respuestas de la API a los controles de evaluación pertinentes como evidencia.

    • acm:GetAccountConfiguration

    • acm:ListCertificates

    • apigateway:GET

    • autoscaling:DescribeAutoScalingGroups

    • backup:ListBackupPlans

    • backup:ListRecoveryPointsByResource

    • bedrock:GetCustomModel

    • bedrock:GetFoundationModel

    • bedrock:GetModelCustomizationJob

    • bedrock:GetModelInvocationLoggingConfiguration

    • bedrock:ListCustomModels

    • bedrock:ListFoundationModels

    • bedrock:ListGuardrails

    • bedrock:ListModelCustomizationJobs

    • cloudfront:GetDistribution

    • cloudfront:GetDistributionConfig

    • cloudfront:ListDistributions

    • cloudtrail:DescribeTrails

    • cloudtrail:GetTrail

    • cloudtrail:ListTrails

    • cloudtrail:LookupEvents

    • cloudwatch:DescribeAlarms

    • cloudwatch:DescribeAlarmsForMetric

    • cloudwatch:GetMetricStatistics

    • cloudwatch:ListMetrics

    • cognito-idp:DescribeUserPool

    • config:DescribeConfigRules

    • config:DescribeDeliveryChannels

    • config:ListDiscoveredResources

    • directconnect:DescribeDirectConnectGateways

    • directconnect:DescribeVirtualGateways

    • dynamodb:DescribeBackup

    • dynamodb:DescribeContinuousBackups

    • dynamodb:DescribeTable

    • dynamodb:DescribeTableReplicaAutoScaling

    • dynamodb:ListBackups

    • dynamodb:ListGlobalTables

    • dynamodb:ListTables

    • ec2:DescribeAddresses

    • ec2:DescribeCustomerGateways

    • ec2:DescribeEgressOnlyInternetGateways

    • ec2:DescribeFlowLogs

    • ec2:DescribeInstanceCreditSpecifications

    • ec2:DescribeInstanceAttribute

    • ec2:DescribeInstances

    • ec2:DescribeInternetGateways

    • ec2:DescribeLocalGatewayRouteTableVirtualInterfaceGroupAssociations

    • ec2:DescribeLocalGateways

    • ec2:DescribeLocalGatewayVirtualInterfaces

    • ec2:DescribeNatGateways

    • ec2:DescribeNetworkAcls

    • ec2:DescribeRouteTables

    • ec2:DescribeSecurityGroups

    • ec2:DescribeSecurityGroupRules

    • ec2:DescribeSnapshots

    • ec2:DescribeTransitGateways

    • ec2:DescribeVolumes

    • ec2:DescribeVpcEndpoints

    • ec2:DescribeVpcEndpointConnections

    • ec2:DescribeVpcEndpointServiceConfigurations

    • ec2:DescribeVpcPeeringConnections

    • ec2:DescribeVpcs

    • ec2:DescribeVpnConnections

    • ec2:DescribeVpnGateways

    • ec2:GetEbsDefaultKmsKeyId

    • ec2:GetEbsEncryptionByDefault

    • ec2:GetLaunchTemplateData

    • ecs:DescribeClusters

    • eks:DescribeAddonVersions

    • elasticache:DescribeCacheClusters

    • elasticache:DescribeServiceUpdates

    • elasticfilesystem:DescribeAccessPoints

    • elasticfilesystem:DescribeFileSystems

    • elasticloadbalancing:DescribeLoadBalancers

    • elasticloadbalancing:DescribeSslPolicies

    • elasticloadbalancing:DescribeTargetGroups

    • elasticmapreduce:ListClusters

    • elasticmapreduce:ListSecurityConfigurations

    • es:DescribeDomains

    • es:DescribeDomain

    • es:DescribeDomainConfig

    • es:ListDomainNames

    • events:DeleteRule

    • events:DescribeRule

    • events:DisableRule

    • events:EnableRule

    • events:ListConnections

    • events:ListEventBuses

    • events:ListEventSources

    • events:ListRules

    • events:ListTargetsByRule

    • events:PutRule

    • events:PutTargets

    • events:RemoveTargets

    • firehose:ListDeliveryStreams

    • fsx:DescribeFileSystems

    • guardduty:ListDetectors

    • iam:GenerateCredentialReport

    • iam:GetAccessKeyLastUsed

    • iam:GetAccountAuthorizationDetails

    • iam:GetAccountPasswordPolicy

    • iam:GetAccountSummary

    • iam:GetCredentialReport

    • iam:GetGroupPolicy

    • iam:GetPolicy

    • iam:GetPolicyVersion

    • iam:GetRolePolicy

    • iam:GetUser

    • iam:GetUserPolicy

    • iam:ListAccessKeys

    • iam:ListAttachedGroupPolicies

    • iam:ListAttachedRolePolicies

    • iam:ListAttachedUserPolicies

    • iam:ListEntitiesForPolicy

    • iam:ListGroupPolicies

    • iam:ListGroups

    • iam:ListGroupsForUser

    • iam:ListMfaDeviceTags

    • iam:ListMfaDevices

    • iam:ListOpenIdConnectProviders

    • iam:ListPolicies

    • iam:ListPolicyVersions

    • iam:ListRolePolicies

    • iam:ListRoles

    • iam:ListSamlProviders

    • iam:ListUserPolicies

    • iam:ListUsers

    • iam:ListVirtualMFADevices

    • kafka:ListClusters

    • kafka:ListKafkaVersions

    • kinesis:ListStreams

    • kms:DescribeKey

    • kms:GetKeyPolicy

    • kms:GetKeyRotationStatus

    • kms:ListGrants

    • kms:ListKeyPolicies

    • kms:ListKeys

    • lambda:ListFunctions

    • license-manager:ListAssociationsForLicenseConfiguration

    • license-manager:ListLicenseConfigurations

    • license-manager:ListUsageForLicenseConfiguration

    • logs:DescribeDestinations

    • logs:DescribeExportTasks

    • logs:DescribeLogGroups

    • logs:DescribeMetricFilters

    • logs:DescribeResourcePolicies

    • logs:FilterLogEvents

    • logs:GetDataProtectionPolicy

    • organizations:DescribeOrganization

    • organizations:DescribePolicy

    • rds:DescribeCertificates

    • rds:DescribeDBClusterEndpoints

    • rds:DescribeDBClusterParameterGroups

    • rds:DescribeDBClusters

    • rds:DescribeDBInstances

    • rds:DescribeDBInstanceAutomatedBackups

    • rds:DescribeDBSecurityGroups

    • redshift:DescribeClusters

    • redshift:DescribeClusterSnapshots

    • redshift:DescribeLoggingStatus

    • route53:GetQueryLoggingConfig

    • s3:GetBucketAcl

    • s3:GetBucketLogging

    • s3:GetBucketOwnershipControls

    • s3:GetBucketPolicy

      • Esta acción de la API funciona en el ámbito de la Cuenta de AWS en la que está disponible el rol vinculado al servicio. No puede acceder a las políticas de bucket entre cuentas.

    • s3:GetBucketPublicAccessBlock

    • s3:GetBucketTagging

    • s3:GetBucketVersioning

    • s3:GetEncryptionConfiguration

    • s3:GetLifecycleConfiguration

    • s3:ListAllMyBuckets

    • sagemaker:DescribeAlgorithm

    • sagemaker:DescribeDomain

    • sagemaker:DescribeEndpoint

    • sagemaker:DescribeEndpointConfig

    • sagemaker:DescribeFlowDefinition

    • sagemaker:DescribeHumanTaskUi

    • sagemaker:DescribeLabelingJob

    • sagemaker:DescribeModel

    • sagemaker:DescribeModelBiasJobDefinition

    • sagemaker:DescribeModelCard

    • sagemaker:DescribeModelQualityJobDefinition

    • sagemaker:DescribeTrainingJob

    • sagemaker:DescribeUserProfile

    • sagemaker:ListAlgorithms

    • sagemaker:ListDomains

    • sagemaker:ListEndpointConfigs

    • sagemaker:ListEndpoints

    • sagemaker:ListFlowDefinitions

    • sagemaker:ListHumanTaskUis

    • sagemaker:ListLabelingJobs

    • sagemaker:ListModels

    • sagemaker:ListModelBiasJobDefinitions

    • sagemaker:ListModelCards

    • sagemaker:ListModelQualityJobDefinitions

    • sagemaker:ListMonitoringAlerts

    • sagemaker:ListMonitoringSchedules

    • sagemaker:ListTrainingJobs

    • sagemaker:ListUserProfiles

    • securityhub:DescribeStandards

    • secretsmanager:DescribeSecret

    • secretsmanager:ListSecrets

    • sns:ListTagsForResource

    • sns:ListTopics

    • sqs:ListQueues

    • waf-regional:GetLoggingConfiguration

    • waf-regional:GetRule

    • waf-regional:GetWebAcl

    • waf-regional:ListRuleGroups

    • waf-regional:ListRules

    • waf-regional:ListSubscribedRuleGroups

    • waf-regional:ListWebACLs

    • waf:GetRule

    • waf:GetRuleGroup

    • waf:ListActivatedRulesInRuleGroup

    • waf:ListRuleGroups

    • waf:ListRules

    • waf:ListWebAcls

    • wafv2:ListWebAcls

    nota

    Para obtener más información sobre las llamadas a la API específicas que Audit Manager puede describir, consulte Se admiten llamadas a la API para orígenes de datos de control personalizadas.

Para ver todos los detalles de los permisos del rol vinculado al servicio AWSServiceRoleForAuditManager, consulte AWSAuditManagerServiceRolePolicy en la Guía de referencia de políticas administradas de AWS.

Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte los permisos de los Service-linked roles en la Guía del usuario de IAM.

Creando elAWS Audit Managerrol vinculado al servicio

No necesita crear manualmente un rol vinculado a servicios. Cuando lo habilitasAWS Audit Manager, el servicio crea automáticamente el rol vinculado al servicio para ti. Puede activar Audit Manager desde la página de incorporación deConsola de administración de AWS, o mediante la API oAWS CLI. Para obtener más información, consulte HabilitaciónAWS Audit Manager en este guía del usuario.

Si elimina este rol vinculado a servicios y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta.

Editando elAWS Audit Managerrol vinculado al servicio

AWS Audit Managerno le permite editar el rol AWSServiceRoleForAuditManager vinculado al servicio. Después de crear un rol vinculado a un servicio, no puede cambiarle el nombre, ya que varias entidades pueden hacer referencia a él. Sin embargo, puede editar la descripción del rol mediante IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM.

Permitir a una entidad de IAM editar la descripción del rol vinculado a servicio AWSServiceRoleForAuditManager

Agregue la siguiente instrucción a la política de permisos de la entidad de IAM que tiene que editar la descripción del rol vinculado al servicio.

{
    "Effect": "Allow",
    "Action": [
        "iam:UpdateRoleDescription"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/auditmanager.amazonaws.com/AWSServiceRoleForAuditManager*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "auditmanager.amazonaws.com"}}
}

Eliminar elAWS Audit Managerrol vinculado al servicio

Si ya no utiliza Audit Manager, le recomendamos que elimine el rol vinculado a servicios AWSServiceRoleForAuditManager. De esta forma, no tendrá una entidad no utilizada cuya supervisión o mantenimiento no se realizan de forma activa. Sin embargo, debe limpiar el rol vinculado al servicio antes de eliminarlo.

Limpieza del rol vinculado al servicio

Antes de poder utilizar IAM para eliminar el rol vinculado a un servicio de Audit Manager, primero debe confirmar que dicho rol no tiene sesiones activas y eliminar los recursos que utiliza. Para ello, asegúrese de que Audit Manager esté dado de baja en todos los registros. Regiones de AWS Tras anular el registro, Audit Manager ya no utiliza el rol vinculado al servicio.

Para obtener instrucciones sobre cómo anular el registro de Audit Manager, consulte los siguientes recursos:

Para obtener instrucciones sobre cómo eliminar los recursos de Audit Manager manualmente, consulte Eliminación de datos de Audit Manager en esta guía.

Eliminación del rol vinculado a un servicio

Puede eliminar el rol vinculado al servicio utilizando la consola de IAM, la AWS Command Line Interface (AWS CLI) o la API de IAM.

IAM console

Siga estos pasos para eliminar un rol vinculado en la consola de IAM.

Para eliminar un rol vinculado a un servicio (consola)

  1. Inicie sesión en la consola de IAM Consola de administración de AWS y ábrala en. https://console.aws.amazon.com/iam/

  2. En el panel de navegación de la consola de IAM, elija Roles. A continuación, maqrue la casilla de verificación situada junto a AWSServiceRoleForAuditManager, no el nombre o la propia fila.

  3. En Acciones de rol en la parte superior de la página, elija Eliminar.

  4. En el cuadro de diálogo de confirmación, revise la información de acceso reciente, donde se indica cuándo accedió cada uno de los roles seleccionados a un servicio de Servicio de AWS por última vez. Esto lo ayuda a confirmar si el rol está actualmente activo. Si desea continuar, introduzca AWSServiceRoleForAuditManager en el campo de entrada de texto y seleccione Eliminar para enviar la solicitud de eliminación del rol vinculado al servicio.

  5. Consulte las notificaciones de la consola de IAM para monitorear el progreso de la eliminación del rol vinculado al servicio. Como el proceso de eliminación del rol vinculado al servicio de IAM es asíncrono, dicha tarea puede realizarse correctamente o fallar después de que envía la solicitud de eliminación. Si el proceso se realiza correctamente, el rol se elimina de la lista y aparece un mensaje de confirmación en la parte superior de la página.

AWS CLI

Puede utilizar los comandos de IAM desde el AWS CLI para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (AWS CLI)

  1. Introduzca el siguiente comando para enumerar el rol de su cuenta: 

    aws iam get-role --role-name AWSServiceRoleForAuditManager

  2. Como los roles vinculados a servicios no se puede eliminar si están en uso o tienen recursos asociados, debe enviar una solicitud de eliminación. Esta solicitud puede denegarse si no se cumplen estas condiciones. Debe apuntar el valor deletion-task-id de la respuesta para comprobar el estado de la tarea de eliminación.

    Ingrese el siguiente comando para enviar una solicitud de eliminación de un rol vinculado a un servicio:

    aws iam delete-service-linked-role --role-name AWSServiceRoleForAuditManager

  3. Utilice el siguiente comando para comprobar el estado de la tarea de eliminación:

    aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id

    El estado de la tarea de eliminación puede ser NOT_STARTED, IN_PROGRESS, SUCCEEDED o FAILED. Si ocurre un error durante la eliminación, la llamada devuelve el motivo del error para que pueda resolver el problema.

IAM API

Puede utilizar la API de IAM para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (API)

  1. Llama GetRolepara incluir el rol en tu cuenta. En la solicitud, especifique que AWSServiceRoleForAuditManager es el RoleName.

  2. Como los roles vinculados a servicios no se puede eliminar si están en uso o tienen recursos asociados, debe enviar una solicitud de eliminación. Esta solicitud puede denegarse si no se cumplen estas condiciones. Debe apuntar el valor DeletionTaskId de la respuesta para comprobar el estado de la tarea de eliminación.

    Para enviar una solicitud de eliminación de un rol vinculado a un servicio, llama. DeleteServiceLinkedRole En la solicitud, especifique que AWSServiceRoleForAuditManager es el RoleName.

  3. Para comprobar el estado de la tarea de eliminación, realice una llamada a GetServiceLinkedRoleDeletionStatus. En la solicitud, especifique el valor de DeletionTaskId.

    El estado de la tarea de eliminación puede ser NOT_STARTED, IN_PROGRESS, SUCCEEDED o FAILED. Si ocurre un error durante la eliminación, la llamada devuelve el motivo del error para que pueda resolver el problema.

Consejos para eliminar el rol vinculado a servicios en Audit Manager

Es posible que el proceso de eliminación del rol vinculado a servicios en Audit Manager no se realice correctamente si Audit Manager utiliza el rol o tiene recursos asociados. Esto puede ocurrir en las siguientes situaciones:

  1. Su cuenta sigue registrada en Audit Manager en una o varias Regiones de AWS.

  2. Su cuenta forma parte de una AWS organización y la cuenta de administración o la cuenta de administrador delegado siguen integradas en Audit Manager.

Para resolver un problema de eliminación fallida, comience por comprobar si forma parte de Cuenta de AWS una organización. Para ello, llama a la operación de la DescribeOrganizationAPI o navega a la AWS Organizations consola.

Si las recetasCuenta de AWSforma parte de una organización

  1. Utilice la cuenta de administración para eliminar el administrador delegado en Audit Manager en todas las Regiones de AWS en las que haya añadido uno.

  2. Utilice su cuenta de administración para anular el registro de Audit Manager en todos los Regiones de AWS lugares en los que utilizó el servicio.

  3. Intente de nuevo eliminar el rol vinculado a servicios mediante los pasos indicados en el procedimiento anterior.

Si las recetasCuenta de AWSno forma parte de una organización

  1. Asegúrese de anular el registro de Audit Manager en todos los Regiones de AWS lugares en los que utilizó el servicio.

  2. Intente de nuevo eliminar el rol vinculado a servicios mediante los pasos indicados en el procedimiento anterior.

Tras anular el registro de Audit Manager, el servicio dejará de utilizar el rol vinculado a servicios. A continuación, podrá eliminar el rol correctamente.

Regiones compatibles paraAWS Audit Managerroles vinculados a servicios

AWS Audit Manageradmite el uso de funciones vinculadas al servicio en todos los lugares en los Regiones de AWS que el servicio esté disponible. Para obtener más información, consulte puntos de conexión de servicio de AWS.