> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Amazon Redshift Data API

> Usa un rol de IAM entre cuentas para que Iru Compliance pueda leer los metadatos de sentencias y esquemas de la Redshift Data API de clústeres y grupos de trabajo sin servidor.

### Acerca de Amazon Redshift Data API

La **Data API** expone listados de **sentencias**, **bases de datos**, **esquemas** y **tablas** sin necesidad de shells JDBC. Iru necesita acciones de lectura de **`redshift-data:`**, además de **`redshift:DescribeClusters`** para los clústeres aprovisionados y las auxiliares **`redshift-serverless:List*`** cuando los grupos de trabajo están dentro del ámbito. **`AmazonRedshiftDataFullAccess`** es práctica, pero incluye **`ExecuteStatement`**; es preferible usar la política **en línea** que aparece a continuación para aplicar el mínimo privilegio.

### Cómo funciona

Iru se ejecuta en su propia cuenta de AWS. Para llamar a la **Redshift Data API** en tu nombre, creas un **rol de IAM** en tu cuenta de AWS con dos partes: una **política de confianza** que permite a la entidad principal de Iru llamar a **`sts:AssumeRole`**, condicionada por el **External ID** del asistente, y una **política de permisos** con acciones de solo lectura de **`redshift-data:`** (más las llamadas auxiliares de **`redshift:`** / **`redshift-serverless:`** que necesita el conector, como en el ejemplo en línea de la pestaña [**AWS**](#aws)). A continuación, pegas el **ARN** del rol de vuelta en Iru.

| Detalle | Valor |
| - | - |
| **Categoría** | Databases |
| **Autenticación** | Rol de IAM entre cuentas |

### Requisitos previos

* Permisos de IAM para **crear roles** en la cuenta propietaria de los recursos de Redshift.

### Conectar Amazon Redshift Data con Iru

<Tabs>
  <Tab title="Iru Compliance">
    <Note>
      Empieza aquí: abre el asistente de la fuente y copia la **política de confianza** (y anota el **external ID**). Cuando estés listo para crear el rol en AWS, cambia a la pestaña [**AWS**](#aws) y sigue [**Crear el rol de IAM**](#create-the-iam-role). Cuando tengas el **Role ARN**, vuelve a la pestaña [**Iru Compliance**](#iru-compliance) y completa [**Enviar el ARN del rol en Iru**](#submit-the-role-arn-in-iru) a continuación.
    </Note>

    #### Obtener la política de confianza de Iru

    <Steps>
      <Step title="Abrir Sources">
        En Iru Compliance, en la barra de navegación izquierda, expande **Cumplimiento** y selecciona **Fuentes**.

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="Navegación izquierda: Compliance expandido, Sources seleccionado" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="Activar Amazon Redshift Data">
        Busca **Amazon Redshift Data** (usa **Categoría** o **Buscar por nombre o descripción**). En esa tarjeta, activa el **interruptor**. Deja abierta la pestaña del asistente **Iru está solicitando acceso a servicios externos**.
      </Step>

      <Step title="Copiar el JSON de la política de confianza">
        El asistente muestra el JSON de la **política de confianza** que debe usar tu rol de IAM (**Principal** y **sts:ExternalId**). A continuación se muestra un **ejemplo** de la estructura; **copia el JSON real de tu asistente** para que la cuenta, el ARN de la entidad principal y el external ID coincidan exactamente.

        ```json copy=false lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::753695775620:role/IruConnect"
              },
              "Condition": {
                "StringEquals": {
                  "sts:ExternalId": "YOUR_EXTERNAL_ID"
                }
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        ```
      </Step>

      <Step title="Cambiar a AWS para crear el rol">
        Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña [**AWS**](#aws) y sigue [**Crear el rol de IAM**](#create-the-iam-role).
      </Step>
    </Steps>

    #### Enviar el ARN del rol en Iru

    <Note>
      Termina primero la pestaña [**AWS**](#aws) (hasta [**Crear el rol de IAM**](#create-the-iam-role)) para tener el **Role ARN** del nuevo rol.
    </Note>

    <Steps>
      <Step title="Pegar el ARN del rol de IAM">
        Vuelve a la pestaña del asistente de Iru. Pega el **Role ARN** donde el conector lo solicite.
      </Step>

      <Step title="Finalizar la conexión">
        Selecciona **Submit Role**. Cuando la conexión se realiza correctamente, el asistente muestra **Conexión configurada**.
      </Step>

      <Step title="Confirmar que la fuente está activa">
        Cierra la pestaña del navegador **Iru está solicitando acceso a servicios externos** y, a continuación, vuelve a **Cumplimiento** → **Fuentes** y confirma que la tarjeta de **Amazon Redshift Data** está **Activo**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="AWS">
    <Note>
      Completa [**Obtener la política de confianza de Iru**](#get-the-trust-policy-from-iru) en la pestaña [**Iru Compliance**](#iru-compliance) antes de crear este rol. Usa el **external ID** y la política de confianza del asistente real cuando configures **Trusted entity**.
    </Note>

    #### Crear el rol de IAM

    <Steps>
      <Step title="Iniciar el flujo Create role">
        Abre **IAM** → **Roles** → **Create role**.
      </Step>

      <Step title="Configurar la entidad de confianza">
        Elige **AWS account** → **Another AWS account**. Introduce **`753695775620`** (o el ID que muestre Iru). Habilita **Require external ID** y pega el external ID de Iru.
      </Step>

      <Step title="Vincular la política en línea recomendada">
        Vincula una **política en línea** (recomendada en lugar de **`AmazonRedshiftDataFullAccess`** para aplicar el mínimo privilegio). El JSON siguiente es un **ejemplo** de la estructura de permisos; ajústalo si tu equipo de seguridad requiere menos acciones.

        ```json lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "redshift-data:DescribeStatement",
                "redshift-data:DescribeTable",
                "redshift-data:GetStatementResult",
                "redshift-data:ListDatabases",
                "redshift-data:ListSchemas",
                "redshift-data:ListStatements",
                "redshift-data:ListTables"
              ],
              "Resource": "*"
            },
            {
              "Effect": "Allow",
              "Action": [
                "redshift:DescribeClusters",
                "redshift-serverless:ListNamespaces",
                "redshift-serverless:ListWorkgroups"
              ],
              "Resource": "*"
            }
          ]
        }
        ```
      </Step>

      <Step title="Asignar un nombre al rol y copiar el ARN">
        Asigna un nombre al rol, créalo y copia el **Role ARN**. Vuelve a la pestaña [**Iru Compliance**](#iru-compliance) y completa [**Enviar el ARN del rol en Iru**](#submit-the-role-arn-in-iru).
      </Step>
    </Steps>

    <Note>
      Continúa en la pestaña [**Iru Compliance**](#iru-compliance) para pegar el **Role ARN** y finalizar el asistente ([**Enviar el ARN del rol en Iru**](#submit-the-role-arn-in-iru)).
    </Note>
  </Tab>
</Tabs>

### Solución de problemas

<AccordionGroup>
  <Accordion title="No se abre nada al activar la fuente">
    Revisa la configuración del **bloqueador de ventanas emergentes** para el sitio de Iru e inténtalo de nuevo.
  </Accordion>

  <Accordion title="DescribeClusters denegado">
    Es necesario para resolver los **ID de clúster**: añade el bloque de sentencias de **`redshift:`**.
  </Accordion>

  <Accordion title="Carencias de Serverless">
    Amplíala con **`redshift-serverless:Get*`** según **[Amazon Redshift Serverless](/es/compliance/sources/amazon-redshift-serverless-source)**.
  </Accordion>

  <Accordion title="AssumeRole denegado">
    El external ID no coincide.
  </Accordion>
</AccordionGroup>

### Artículos relacionados

<CardGroup cols={2}>
  <Card title="AWS Redshift" icon="link" href="/es/compliance/sources/amazon-redshift-source">
    Conecta y gestiona la fuente relacionada en Compliance.
  </Card>

  <Card title="Amazon Redshift Serverless" icon="link" href="/es/compliance/sources/amazon-redshift-serverless-source">
    Conecta y gestiona la fuente relacionada en Compliance.
  </Card>

  <Card title="Gestión de fuentes" icon="plug" href="/es/compliance/sources-management">
    Explora y gestiona todas las fuentes de Compliance.
  </Card>

  <Card title="Primeros pasos con Compliance" icon="rocket" href="/es/compliance/getting-started-with-compliance">
    Marcos, acciones y **Artefactos**.
  </Card>
</CardGroup>