Amazon Elastic Compute Cloud (EC2)

​

Acerca de Amazon Elastic Compute Cloud (EC2)

​

Cómo funciona

1. Confía en el ARN del rol de Iru (que se muestra en el asistente) solo cuando sts:ExternalId coincide con el valor que muestra Iru.
2. Permite llamadas de solo lectura a EC2 y llamadas auxiliares, normalmente mediante AmazonEC2ReadOnlyAccess, o una política en línea más restrictiva si tu equipo de seguridad prefiere el mínimo privilegio.

​

Requisitos previos

• Permisos de IAM para crear roles y vincular políticas (por ejemplo, IAMFullAccess o un rol de administración más limitado).
• El ARN de la entidad principal de Iru y el external ID de la pantalla del conector de tu tenant (no los valores de muestra de los ejemplos siguientes, salvo que coincidan con lo que Iru te muestra hoy).

​

Conectar Amazon EC2 con Iru

• Iru Compliance
• AWS

Empieza aquí: abre el asistente de la fuente y revisa la política de confianza (y anota el external ID). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.

​

Obtener la política de confianza de Iru

1

Abrir Sources

En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.

2

Activar AWS Elastic Compute Cloud (EC2)

Busca AWS Elastic Compute Cloud (EC2) (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.

3

Revisar el JSON de la política de confianza

El asistente solicita un ARN de rol y muestra la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON real de tu asistente para que la cuenta, el ARN de la entidad principal y el external ID coincidan exactamente.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

4

Cambiar a AWS para crear el rol

Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM.

​

Enviar el ARN del rol en Iru

Termina primero la pestaña AWS (hasta Crear el rol de IAM) para tener el Role ARN del nuevo rol.

1

Pegar el ARN del rol de IAM

Vuelve a la pestaña del asistente de Iru. Pega el Role ARN en el campo Role ARN.

2

Finalizar la conexión

Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.

3

Confirmar que la fuente está activa

Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de EC2 está Activo.

Completa Obtener la política de confianza de Iru en la pestaña Iru Compliance antes de crear este rol. Usa el external ID y la política de confianza del asistente real cuando configures Trusted entity.

​

Crear el rol de IAM

1

Iniciar el flujo Create role

Inicia sesión en la cuenta de AWS propietaria de tu carga de trabajo de EC2. Abre IAM → Roles → Create role.

2

Configurar la entidad de confianza

Elige AWS account → Another AWS account. Introduce el ID de la cuenta de AWS de Iru (753695775620, salvo que el asistente muestre un valor diferente). Habilita Require external ID y pega el external ID del asistente de Iru.

3

Vincular los permisos de lectura de EC2

En Permisos, vincula AmazonEC2ReadOnlyAccess.Si tu equipo de seguridad no usa la política administrada, vincula en su lugar una política en línea con el JSON siguiente. El JSON es un ejemplo de alternativa de mínimo privilegio; restringe o amplía las acciones después de la revisión de tu equipo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "ec2:Get*",
        "elasticloadbalancing:Describe*",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:Describe*",
        "autoscaling:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

4

Asignar un nombre al rol y copiar su ARN

Finaliza el asistente y asigna un nombre al rol (por ejemplo, IruEC2ReadOnly). Abre el nuevo rol y copia el Role ARN de la parte superior de la página de resumen. Vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru.

5

Verificar la política de confianza

Abre la pestaña Trust relationships del rol y confirma que el JSON coincide con lo que mostró Iru. Los errores tipográficos en el external ID son la causa más habitual de AccessDenied en AssumeRole.

Continúa en la pestaña Iru Compliance para pegar el Role ARN y finalizar el asistente (Enviar el ARN del rol en Iru).

​

Solución de problemas

​

Consideraciones

​

Artículos relacionados