As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# Identity and Access Management para o Controlador de Recuperação de Aplicações (ARC) da Amazon
AWS Identity and Access Management (IAM) é uma ferramenta AWS service (Serviço da AWS) que ajuda o administrador a controlar com segurança o acesso aos AWS recursos. Os administradores do IAM controlam quem pode ser *autenticado* (fazer login) e *autorizado* (ter permissões) a usar os recursos do ARC. O IAM é um AWS service (Serviço da AWS) que você pode usar sem custo adicional.
## Público
A forma como você usa AWS Identity and Access Management (IAM) difere com base na sua função:
+ **Usuário do serviço**: solicite permissões ao seu administrador se você não conseguir acessar os atributos (consulte [Solução de problemas de identidade e acesso do Controlador de Recuperação de Aplicações (ARC) da Amazon](security_iam_troubleshoot.md)).
+ **Administrador do serviço**: determine o acesso do usuário e envie solicitações de permissão (consulte [Como o Controlador de Recuperação de Aplicações (ARC) da Amazon funciona com o IAM](security_iam_service-with-iam.md))
+ **Administrador do IAM**: escreva políticas para gerenciar o acesso (consulte [Exemplos de políticas baseadas em identidade no Controlador de Recuperação de Aplicações (ARC) da Amazon](security_iam_id-based-policy-examples.md))
## Autenticação com identidades
A autenticação é a forma como você faz login AWS usando suas credenciais de identidade. Você deve estar autenticado como usuário do IAM ou assumindo uma função do IAM. Usuário raiz da conta da AWS
Você pode fazer login como uma identidade federada usando credenciais de uma fonte de identidade como Centro de Identidade do AWS IAM (IAM Identity Center), autenticação de login único ou credenciais. Google/Facebook Para ter mais informações sobre como fazer login, consulte [Como fazer login em sua Conta da AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) no *Guia do usuário do Início de Sessão da AWS *.
Para acesso programático, AWS fornece um SDK e uma CLI para assinar solicitações criptograficamente. Para ter mais informações, consulte [AWS Signature Version 4 para solicitações de API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) no *Guia do usuário do IAM*.
### Conta da AWS usuário root
Ao criar um Conta da AWS, você começa com uma identidade de login chamada *usuário Conta da AWS raiz* que tem acesso completo a todos Serviços da AWS os recursos. É altamente recomendável não usar o usuário-raiz em tarefas diárias. Consulte as tarefas que exigem credenciais de usuário-raiz em [Tarefas que exigem credenciais de usuário-raiz](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) no *Guia do usuário do IAM*.
### Identidade federada
Como prática recomendada, exija que os usuários humanos usem a federação com um provedor de identidade para acessar Serviços da AWS usando credenciais temporárias.
Uma *identidade federada* é um usuário do seu diretório corporativo, provedor de identidade da web ou Directory Service que acessa Serviços da AWS usando credenciais de uma fonte de identidade. As identidades federadas assumem funções que oferecem credenciais temporárias.
Para o gerenciamento de acesso centralizado, recomendamos Centro de Identidade do AWS IAM. Para saber mais, consulte [O que é o IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) no *Guia do usuário do Centro de Identidade do AWS IAM *.
### Usuários e grupos do IAM
Um *[usuário do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* é uma identidade com permissões específicas para uma única pessoa ou aplicação. É recomendável usar credenciais temporárias, em vez de usuários do IAM com credenciais de longo prazo. Para obter mais informações, consulte [Exigir que usuários humanos usem a federação com um provedor de identidade para acessar AWS usando credenciais temporárias](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) no *Guia do usuário do IAM*.
Um [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) especifica um conjunto de usuários do IAM e facilita o gerenciamento de permissões para grandes conjuntos de usuários. Para ter mais informações, consulte [Casos de uso de usuários do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) no *Guia do usuário do IAM*.
### Perfis do IAM
Uma *[perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* é uma identidade com permissões específicas que oferece credenciais temporárias. Você pode assumir uma função [mudando de um usuário para uma função do IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) ou chamando uma operação de AWS API AWS CLI ou. Para saber mais, consulte [Métodos para assumir um perfil](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) no *Manual do usuário do IAM*.
Os perfis do IAM são úteis para acesso de usuário federado, permissões de usuário do IAM temporárias, acesso entre contas, acesso entre serviços e aplicações em execução no Amazon EC2. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
## Gerenciar o acesso usando políticas
Você controla o acesso AWS criando políticas e anexando-as a AWS identidades ou recursos. Uma política define permissões quando associada a uma identidade ou recurso. AWS avalia essas políticas quando um diretor faz uma solicitação. A maioria das políticas é armazenada AWS como documentos JSON. Para ter mais informações sobre documentos de política JSON, consulte [Visão geral das políticas JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) no *Guia do usuário do IAM*.
Por meio de políticas, os administradores especificam quem tem acesso a que, definindo qual **entidade principal** pode realizar **ações** em quais **recursos** e sob quais **condições**.
Por padrão, usuários e perfis não têm permissões. Um administrador do IAM cria políticas do IAM e as adiciona aos perfis, os quais os usuários podem então assumir. As políticas do IAM definem permissões, independentemente do método usado para realizar a operação.
### Políticas baseadas em identidade
As políticas baseadas em identidade são documentos de políticas de permissão JSON que você anexa a uma identidade (usuário, grupo ou perfil). Essas políticas controlam quais ações as identidades podem realizar, em quais recursos e sob quais condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*.
As políticas baseadas em identidade podem ser políticas *em linha* (incorporadas diretamente em uma única identidade) ou *políticas gerenciadas* (políticas autônomas anexadas a várias identidades). Para saber como escolher entre uma política gerenciada e políticas em linha, consulte [Escolher entre políticas gerenciadas e políticas em linha](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) no *Guia do usuário do IAM*.
### Políticas baseadas em recursos
Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. Entre os exemplos estão *políticas de confiança de perfil* do IAM e *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos.
Políticas baseadas em recursos são políticas em linha localizadas nesse serviço. Você não pode usar políticas AWS gerenciadas do IAM em uma política baseada em recursos.
### Outros tipos de política
AWS oferece suporte a tipos de políticas adicionais que podem definir o máximo de permissões concedidas por tipos de políticas mais comuns:
+ **Limites de permissões**: definem o número máximo de permissões que uma política baseada em identidade pode conceder a uma entidade do IAM. Para saber mais sobre limites de permissões, consulte [Limites de permissões para identidades do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) no *Guia do usuário do IAM*.
+ **Políticas de controle de serviço (SCPs)** — Especifique as permissões máximas para uma organização ou unidade organizacional em AWS Organizations. Para saber mais, consulte [Políticas de controle de serviço](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) no *Guia do usuário do AWS Organizations *.
+ **Políticas de controle de recursos (RCPs)** — Defina o máximo de permissões disponíveis para recursos em suas contas. Para obter mais informações, consulte [Políticas de controle de recursos (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) no *Guia AWS Organizations do usuário*.
+ **Políticas de sessão**: políticas avançadas transmitidas como um parâmetro durante a criação de uma sessão temporária para um perfil ou um usuário federado. Para saber mais, consulte [Políticas de sessão](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) no *Guia do usuário do IAM*.
### Vários tipos de política
Quando vários tipos de política são aplicáveis a uma solicitação, é mais complicado compreender as permissões resultantes. Para saber como AWS determinar se uma solicitação deve ser permitida quando vários tipos de políticas estão envolvidos, consulte [Lógica de avaliação de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) no *Guia do usuário do IAM*.
# Como o Controlador de Recuperação de Aplicações (ARC) da Amazon funciona com o IAM
Para obter informações sobre como cada recurso do Controlador de Recuperação de Aplicações (ARC) da Amazon funciona com o IAM, consulte os seguintes tópicos:
+ [IAM para mudança de zona](security-iam-zonalshift.md)
+ [IAM para mudança automática de zona](security-iam-zonalautoshift.md)
+ [IAM para controle de roteamento](security-iam-routing.md)
+ [IAM para verificação de prontidão](security-iam-readiness.md)
+ [IAM para mudança de região](security-iam-region-switch.md)
# Exemplos de políticas baseadas em identidade no Controlador de Recuperação de Aplicações (ARC) da Amazon
Para ver exemplos de políticas baseadas em identidade para cada recurso no Amazon Application Recovery Controller (ARC), consulte os seguintes tópicos nos AWS Identity and Access Management capítulos de cada recurso:
+ [Exemplos de políticas baseadas em identidade para mudança automática de zona no ARC](security-iam-zonalshift.md)
+ [Exemplos de políticas baseadas em identidade para mudança de zona no ARC](security-iam-zonalautoshift.md)
+ [Exemplos de políticas baseadas em identidade para controle de roteamento no ARC](security-iam-routing.md)
+ [Exemplos de políticas baseadas em identidade para verificação de prontidão no ARC](security-iam-readiness.md)
# AWS políticas gerenciadas para o Amazon Application Recovery Controller (ARC)
Para obter informações sobre as políticas AWS gerenciadas para os recursos do ARC com políticas gerenciadas, incluindo uma política gerenciada para uma função vinculada ao serviço, consulte os seguintes tópicos:
+ [Políticas gerenciadas para mudança automática de zona](security-iam-awsmanpol-zonal-autoshift.md)
+ [Políticas gerenciadas para controle de roteamento](security-iam-awsmanpol-routing.md)
+ [Políticas gerenciadas para verificação de prontidão](security-iam-awsmanpol-readiness.md)
## Atualizações nas políticas AWS gerenciadas do Amazon Application Recovery Controller (ARC)
Veja detalhes sobre as atualizações das políticas AWS gerenciadas para recursos no ARC desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações realizadas nesta página, assine o feed RSS na [página de histórico de documentos](doc-history.md) do ARC.
| Alteração | Descrição | Data |
| --- | --- | --- |
| [AmazonApplicationRecoveryControllerRegionSwitchPlanExecutionPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonApplicationRecoveryControllerRegionSwitchPlanExecutionPolicy.html) – Nova política | O Controlador de Recuperação de Aplicações (ARC) da Amazon lançou uma nova política gerenciada que concede permissões para execução e avaliação do plano de mudança de região. Essa política fornece acesso somente para leitura às informações do plano de mudança de região, ao status de execução e aos dados de CloudWatch monitoramento da Amazon. Ela inclui também permissão para simular as políticas de entidades principais do IAM para avaliação do plano. | 3 de novembro de 2025 |
| [AWSZonalAutoshiftPracticeRunSLRPolicy política gerenciada](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSZonalAutoshiftPracticeRunSLRPolicy.html) — Política atualizada | Adiciona a declaração de política `AutoshiftPracticeCheckPermissions` com as permissões `autoscaling:DescribeAutoScalingGroups`, `ec2:DescribeInstances`, `elasticloadbalancing:DescribeTargetHealth` e `elasticloadbalancing:DescribeTargetHealth` para oferecer suporte às verificações de capacidade balanceada. Para saber mais, consulte [Como a mudança automática de zona e as execuções práticas funcionam](arc-zonal-autoshift.how-it-works.md). | 30 de junho de 2025 |
| [AWSServiceRoleForPercPracticePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSZonalAutoshiftPracticeRunSLRPolicy.html)— Nova política | O ARC adicionou um novo perfil vinculado a serviço para mudança automática e execuções práticas. O ARC usa as permissões habilitadas pela função vinculada ao serviço para monitorar os alarmes e eventos do cliente CloudWatch da Amazon fornecidos pelo Health Dashboard cliente para os treinos e para iniciar os treinos. Para saber mais sobre o novo perfil vinculado ao serviço, consulte [Permissões de função vinculadas ao serviço para AWSService RoleForZonalAutoshiftPracticeRun](using-service-linked-roles-zonal-autoshift.md#slr-permissions-slr2). | 30 de novembro de 2023 |
| [AmazonRoute53 RecoveryControlConfigReadOnlyAccess](security-iam-awsmanpol-routing.md#security-iam-awsmanpol-AmazonRoute53RecoveryControlConfigReadOnlyAccess) — Política atualizada | Adiciona permissões para`GetResourcePolicy`, para apoiar o retorno de detalhes sobre políticas AWS Resource Access Manager de recursos para recursos compartilhados. | 18 de outubro de 2023 |
| [Route53 RecoveryReadinessServiceRolePolicy — Política](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html) atualizada | O ARC adicionou novas permissões para consultar informações sobre instâncias do Amazon EC2. O ARC usa as seguintes permissões para oferecer compatibilidade à pesquisa de instâncias do Amazon EC2, executar verificações de prontidão e determinar o status de prontidão das instâncias. `ec2:DescribeVpnGateways` `ec2:DescribeCustomerGateways` | 17 de fevereiro de 2023 |
| [Route53 RecoveryReadinessServiceRolePolicy — Política](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html) atualizada | O ARC adicionou uma nova permissão para consultar informações sobre funções do Lambda. O ARC usa a seguinte permissão para consultar informações sobre as funções do Lambda para executar verificações de prontidão e determinar o status de prontidão das funções. `lambda:ListProvisionedConcurrencyConfigs` | 31 de agosto de 2022 |
| [AmazonRoute53 RecoveryControlConfigFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryControlConfigFullAccess.html) — Política atualizada | As permissões da política do Amazon Route 53 foram removidas e uma nota listando as permissões opcionais foi adicionada. | 26 de maio de 2022 |
| [AmazonRoute53 RecoveryControlConfigFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryControlConfigFullAccess.html) — Política atualizada | Foram adicionadas as permissões necessárias do Amazon Route 53 que faltavam à política. | 15 de abril de 2022 |
| [AmazonRoute53 RecoveryClusterReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryClusterReadOnlyAccess.html) — Política atualizada | O ARC adicionou uma nova permissão,`route53-recovery-cluster:ListRoutingControls`, para permitir o controle de roteamento de listagem ARNs com alta disponibilidade. | 15 de março de 2022 |
| [AmazonRoute53 RecoveryControlConfigReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryControlConfigReadOnlyAccess.html) — Política atualizada | O ARC adicionou uma nova permissão, `route53-recovery-control-config:ListTagsForResources`, para permitir a listagem de tags para um recurso. | 20 de dezembro de 2021 |
| [Route53 RecoveryReadinessServiceRolePolicy — Política](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html) atualizada | O ARC adicionou uma nova permissão para consultar informações sobre o Amazon API Gateway. O ARC usa a permissão `apigateway:GET` para consultar informações sobre o API Gateway para executar verificações de prontidão e determinar o status de prontidão. | 28 de outubro de 2021 |
| [AmazonRoute53 RecoveryReadinessReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessReadOnlyAccess.html) — Novas permissões adicionadas | O ARC adicionou duas novas permissões a [AmazonRoute53 RecoveryReadinessReadOnlyAccess](security-iam-awsmanpol-readiness.md#security-iam-awsmanpol-AmazonRoute53RecoveryReadinessReadOnlyAccess): O ARC usa `route53-recovery-readiness:GetArchitectureRecommendations` e `route53-recovery-readiness:GetCellReadinessSummary` para permitir acesso somente de leitura a essas ações e trabalhar com a prontidão para recuperação. | 15 de outubro de 2021 |
| [Route53 RecoveryReadinessServiceRolePolicy — Política](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html) atualizada | O ARC adicionou novas permissões para consultar informações sobre as funções do Lambda. O ARC usa as seguintes permissões para consultar informações sobre as funções do Lambda a fim de executar verificações de prontidão e determinar o status de prontidão dessas funções. `lambda:GetFunctionConcurrency` `lambda:GetFunctionConfiguration` `lambda:GetProvisionedConcurrencyConfig` `lambda:ListAliases` `lambda:ListVersionsByFunction` `lambda:ListEventSourceMappings` `lambda:ListFunctions` | 8 de outubro de 2021 |
| [Route53 RecoveryReadinessServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html) — Novas políticas gerenciadas adicionadas | O ARC adicionou as seguintes novas políticas gerenciadas: [AmazonRoute53 RecoveryReadinessFullAccess](security-iam-awsmanpol-readiness.md#security-iam-awsmanpol-AmazonRoute53RecoveryReadinessFullAccess) [AmazonRoute53 RecoveryReadinessReadOnlyAccess](security-iam-awsmanpol-readiness.md#security-iam-awsmanpol-AmazonRoute53RecoveryReadinessReadOnlyAccess) [AmazonRoute53 RecoveryClusterFullAccess](security-iam-awsmanpol-routing.md#security-iam-awsmanpol-AmazonRoute53RecoveryClusterFullAccess) [AmazonRoute53 RecoveryClusterReadOnlyAccess](security-iam-awsmanpol-routing.md#security-iam-awsmanpol-AmazonRoute53RecoveryClusterReadOnlyAccess) [AmazonRoute53 RecoveryControlConfigFullAccess](security-iam-awsmanpol-routing.md#security-iam-awsmanpol-AmazonRoute53RecoveryControlConfigFullAccess) [AmazonRoute53 RecoveryControlConfigReadOnlyAccess](security-iam-awsmanpol-routing.md#security-iam-awsmanpol-AmazonRoute53RecoveryControlConfigReadOnlyAccess) | 18 de agosto de 2021 |
| O ARC iniciou o rastreamento das alterações | A ARC começou a monitorar as mudanças em suas políticas AWS gerenciadas. | 27 de julho de 2021 |
# Solução de problemas de identidade e acesso do Controlador de Recuperação de Aplicações (ARC) da Amazon
Use as seguintes informações para diagnosticar e corrigir problemas comuns que podem ser encontrados durante o trabalho com o Controlador de Recuperação de Aplicações (ARC) da Amazon e o IAM.
**Topics**
+ [Não tenho autorização para executar uma ação no ARC](#security_iam_troubleshoot-no-permissions)
+ [Não estou autorizado a realizar iam: PassRole](#security_iam_troubleshoot-passrole)
+ [Quero permitir que pessoas fora da minha acessem meus Conta da AWS recursos do ARC](#security_iam_troubleshoot-cross-account-access)
## Não tenho autorização para executar uma ação no ARC
Se isso Console de gerenciamento da AWS indicar que você não está autorizado a realizar uma ação, entre em contato com o administrador para obter ajuda. Seu administrador é a pessoa que forneceu suas credenciais de início de sessão.
O erro do exemplo a seguir ocorre quando o usuário do IAM `mateojackson` tenta usar o console para visualizar detalhes sobre um recurso do `my-example-widget` fictício, mas não tem as permissões fictícias do `route53-recovery-readiness:GetWidget`.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: route53-recovery-readiness:GetWidget on resource: my-example-widget
```
Neste caso, Mateo pede ao administrador para atualizar suas políticas para permitir a ele o acesso ao recurso `my-example-widget` usando a ação `route53-recovery-readiness:GetWidget`.
## Não estou autorizado a realizar iam: PassRole
Se você receber uma mensagem de erro informando que não tem autorização para executar a ação `iam:PassRole`, suas políticas deverão ser atualizadas para permitir a passagem de um perfil para o ARC.
Alguns Serviços da AWS permitem que você passe uma função existente para esse serviço em vez de criar uma nova função de serviço ou uma função vinculada ao serviço. Para fazer isso, é preciso ter permissões para passar o perfil para o serviço.
O exemplo de erro a seguir ocorre quando um usuário do IAM chamada `marymajor` tenta utilizar o console para executar uma ação no ARC. No entanto, a ação exige que o serviço tenha permissões concedidas por um perfil de serviço. Mary não tem permissões para passar o perfil para o serviço.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
Nesse caso, as políticas de Mary devem ser atualizadas para permitir que ela realize a ação `iam:PassRole`.
Se precisar de ajuda, entre em contato com seu AWS administrador. Seu administrador é a pessoa que forneceu suas credenciais de login.
## Quero permitir que pessoas fora da minha acessem meus Conta da AWS recursos do ARC
É possível criar um perfil que os usuários de outras contas ou pessoas fora da organização podem usar para acessar seus recursos. É possível especificar quem é confiável para assumir o perfil. Para serviços que oferecem suporte a políticas baseadas em recursos ou listas de controle de acesso (ACLs), você pode usar essas políticas para conceder às pessoas acesso aos seus recursos.
Para saber mais, consulte:
+ Para saber se o ARC é compatível com esses atributos, consulte [Como o Controlador de Recuperação de Aplicações (ARC) da Amazon funciona com o IAM](security_iam_service-with-iam.md).
+ Para saber como fornecer acesso aos seus recursos em todos os Contas da AWS que você possui, consulte Como [fornecer acesso a um usuário do IAM em outro Conta da AWS que você possui](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) no *Guia do usuário do IAM*.
+ Para saber como fornecer acesso aos seus recursos a terceiros Contas da AWS, consulte Como [fornecer acesso Contas da AWS a terceiros](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) no *Guia do usuário do IAM*.
+ Para saber como conceder acesso por meio da federação de identidades, consulte [Conceder acesso a usuários autenticados externamente (federação de identidades)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) no *Guia do usuário do IAM*.
+ Para saber a diferença entre perfis e políticas baseadas em recurso para acesso entre contas, consulte [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
# Acesso à mudança de zona do Controlador de Recuperação de Aplicações (ARC) da Amazon usando um endpoint de interface (AWS PrivateLink)
Você pode usar AWS PrivateLink para criar uma conexão privada entre sua VPC e a mudança de zona do Amazon Application Recovery Controller (ARC). Você pode acessar o ARC zonal shift como se estivesse em sua VPC, sem o uso de um gateway de internet, dispositivo NAT, conexão VPN ou conexão. Direct Connect As instâncias na sua VPC não precisam de endereços IP públicos para acessar a mudança de zona do ARC.
Estabeleça essa conectividade privada criando um *endpoint de interface*, habilitado pelo AWS PrivateLink. Criaremos um endpoint de interface de rede em cada sub-rede que você habilitar para o endpoint de interface. Essas são interfaces de rede gerenciadas pelo solicitante que servem como ponto de entrada para o tráfego destinado à mudança de zona do ARC.
Para obter mais informações, consulte [Acesso Serviços da AWS por meio AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) do *AWS PrivateLink Guia*.
## Considerações sobre a mudança de zona do ARC
Antes de configurar um endpoint de interface para a mudança de zona do ARC, leia a seção [Considerações](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints) no *Guia do AWS PrivateLink *.
A mudança de zona do ARC permite fazer chamadas para todas as suas ações de API por meio do endpoint de interface.
## Criação de um endpoint de interface para a mudança de zona do ARC
Você pode criar um endpoint de interface para mudança de zona ARC usando o console Amazon VPC ou o (). AWS Command Line Interface AWS CLI Para obter mais informações, consulte [Criar um endpoint de interface](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws) no *Guia do usuário do AWS PrivateLink *.
Criação de um endpoint de interface para mudança de zona do ARC usando o seguinte nome de serviço:
```
com.amazonaws.region.arc-zonal-shift
```
Se você ativar o DNS privado do endpoint de interface, poderá fazer solicitações de API à mudança de zona do ARC usando seu nome DNS regional padrão. Por exemplo, .`arc-zonal-shift.us-east-1.amazonaws.com`
## Crie uma política de endpoint para seu endpoint de interface.
Uma política de endpoint é um recurso do IAM que pode ser anexado ao endpoint de interface. A política de endpoint padrão permite acesso total à mudança de zona do ARC por meio do endpoint de interface. Para controlar o acesso permitido à mudança de zona do ARC na sua VPC, anexe uma política de endpoint personalizada ao endpoint de interface.
Uma política de endpoint especifica as seguintes informações:
+ As entidades principais que podem realizar ações (Contas da AWS, usuários do IAM e perfis do IAM).
+ As ações que podem ser realizadas.
+ Os recursos nos quais as ações podem ser executadas.
Para obter mais informações, consulte [Controlar o acesso aos serviços usando políticas de endpoint](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) no *Guia do AWS PrivateLink *.
**Exemplo: Política de endpoint da VPC para ações de mudança de zona do ARC**
Veja a seguir um exemplo de uma política de endpoint personalizado. Quando você anexa essa política ao endpoint de interface, ela concede acesso às ações de mudança de zona do ARC listadas para todas as entidades principais em todos os recursos.
```
{
"Statement": [
{
"Principal": "*",
"Effect": "Allow",
"Action": [
"arc-zonal-shift:ListManagedResources",
"arc-zonal-shift:StartZonalShift",
"arc-zonal-shift:CancelZonalShift"
],
"Resource":"*"
}
]
}
```
O `Resource` também pode ser listados como `arn:aws:elasticloadbalancing:us-east-1:111122223333:loadbalancer/app/Testing/1111111ecd42dc05`.