> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# AWS Key Management Service (KMS)

> Conecta AWS KMS a Iru Compliance con un rol de IAM entre cuentas para recopilar el inventario de claves, el estado de rotación y los metadatos de concesiones sin privilegios de descifrado.

### Acerca de AWS Key Management Service (KMS)

El conector de **AWS Key Management Service** recopila **metadatos de claves**, **alias**, **políticas**, **concesiones**, **etiquetas** y el **estado de rotación** para que los controles puedan demostrar cómo se gobiernan las claves. Iru usa **`sts:AssumeRole`** con un **ID externo**. La política en línea recomendada que aparece a continuación evita **`kms:Decrypt`** y otras operaciones criptográficas con datos (solo metadatos).

### Cómo funciona

Iru se ejecuta en su propia cuenta de AWS. Para leer los metadatos de las claves de **KMS** en tu cuenta, creas un **rol de IAM** con confianza **`sts:AssumeRole`** (**External ID** del asistente) y permisos de solo lectura **`kms:`** adecuados para el inventario (evita las políticas que incluyen capacidades de escritura). Pega el **ARN** del rol de vuelta en Iru.

Omite **`AWSKeyManagementServicePowerUser`** para este caso de uso, ya que incluye capacidades de escritura. Usa el JSON en línea explícito de la ruta del asistente o la plantilla que aparece a continuación.

| Detalle | Valor |
| - | - |
| **Categoría** | Seguridad |
| **Autenticación** | Rol de IAM entre cuentas |

Referencias: [Guía para desarrolladores de KMS](https://docs.aws.amazon.com/kms/latest/developerguide/), [Políticas de IAM para KMS](https://docs.aws.amazon.com/kms/latest/developerguide/iam-policies.html).

### Requisitos previos

* Permisos de administrador de IAM para publicar roles.
* Las cadenas activas del conector (**principal**, **ID externo**).

### Conectar AWS KMS a Iru

<Tabs>
  <Tab title="Iru Compliance">
    <Note>
      Empieza aquí: abre el asistente de la fuente y copia la **política de confianza** (y anota el **ID externo**). Cuando estés listo para crear el rol en AWS, cambia a la pestaña [**AWS**](#aws) y sigue [**Crear el rol de IAM en AWS**](#create-the-iam-role-in-aws). Cuando tengas el **Role ARN**, vuelve a la pestaña [**Iru Compliance**](#iru-compliance) y completa [**Enviar el ARN del rol en Iru**](#submit-the-role-arn-in-iru) a continuación.
    </Note>

    #### Obtener la política de confianza de Iru

    <Steps>
      <Step title="Abrir Sources">
        En Iru Compliance, en la barra de navegación izquierda, expande **Cumplimiento** y selecciona **Fuentes**.

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="Navegación izquierda: Compliance expandido, Sources seleccionado" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="Activar AWS KMS">
        Busca **AWS KMS** (usa **Categoría** o **Buscar por nombre o descripción**). En esa tarjeta, activa el **interruptor**. Deja abierta la pestaña del asistente **Iru está solicitando acceso a servicios externos**.
      </Step>

      <Step title="Copiar el JSON de la política de confianza">
        El asistente muestra el JSON de la **política de confianza** que debe usar tu rol de IAM (**Principal** y **sts:ExternalId**). A continuación se muestra un **ejemplo** de la estructura; **copia el JSON activo de tu asistente** para que la cuenta, el ARN del principal y el ID externo coincidan exactamente.

        ```json copy=false lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::753695775620:role/IruConnect"
              },
              "Condition": {
                "StringEquals": {
                  "sts:ExternalId": "YOUR_EXTERNAL_ID"
                }
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        ```
      </Step>

      <Step title="Cambiar a AWS para crear el rol">
        Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña [**AWS**](#aws) y sigue [**Crear el rol de IAM en AWS**](#create-the-iam-role-in-aws).
      </Step>
    </Steps>

    #### Enviar el ARN del rol en Iru

    <Note>
      Termina primero la pestaña [**AWS**](#aws) (hasta [**Crear el rol de IAM en AWS**](#create-the-iam-role-in-aws)) para tener el **Role ARN** del nuevo rol.
    </Note>

    <Steps>
      <Step title="Pegar el ARN del rol de IAM">
        Vuelve a la pestaña del asistente de Iru. Pega el **Role ARN** donde el conector lo solicite.
      </Step>

      <Step title="Finalizar la conexión">
        Selecciona **Submit Role**. Cuando la conexión se realiza correctamente, el asistente muestra **Conexión configurada**.
      </Step>

      <Step title="Confirmar que la fuente está activa">
        Cierra la pestaña del navegador **Iru está solicitando acceso a servicios externos** y, a continuación, vuelve a **Cumplimiento** → **Fuentes** y confirma que la tarjeta de **AWS KMS** está **Activo**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="AWS">
    <Note>
      Completa [**Obtener la política de confianza de Iru**](#get-the-trust-policy-from-iru) en la pestaña [**Iru Compliance**](#iru-compliance) antes de crear este rol. Usa el **ID externo** y la política de confianza del asistente activo cuando configures **Trusted entity**.
    </Note>

    #### Crear el rol de IAM en AWS

    <Steps>
      <Step title="Iniciar el flujo de creación de rol">
        Abre **IAM** → **Roles** → **Create role**.
      </Step>

      <Step title="Configurar la entidad de confianza">
        Elige **AWS account** → **Another AWS account**. Introduce **`753695775620`** (a menos que tu asistente indique otro ID). Habilita **Require external ID** y pega el ID externo de Iru.
      </Step>

      <Step title="Omitir las políticas administradas amplias">
        Avanza sin adjuntar **`AWSKeyManagementServicePowerUser`** ni otras políticas amplias de KMS con capacidad de escritura.
      </Step>

      <Step title="Adjuntar la política en línea solo de metadatos">
        Añade esta **política en línea**:

        ```json lines theme={null}
        {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "kms:ListKeys",
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:GetKeyPolicy",
                "kms:GetKeyRotationStatus",
                "kms:ListGrants",
                "kms:ListKeyPolicies",
                "kms:ListResourceTags"
              ],
              "Resource": "*"
            }
          ]
        }
        ```

        <Note>
          Sin **`kms:Decrypt`**, **`kms:Encrypt`** ni **`GenerateDataKey`**. Iru no puede usar tus claves para procesar texto cifrado.
        </Note>
      </Step>

      <Step title="Asignar un nombre al rol y copiar el ARN">
        Asigna un nombre al rol, créalo y copia el **Role ARN**. Vuelve a la pestaña [**Iru Compliance**](#iru-compliance) y completa [**Enviar el ARN del rol en Iru**](#submit-the-role-arn-in-iru).
      </Step>
    </Steps>

    <Note>
      Continúa en la pestaña [**Iru Compliance**](#iru-compliance) para pegar el **Role ARN** y finalizar el asistente ([**Enviar el ARN del rol en Iru**](#submit-the-role-arn-in-iru)).
    </Note>
  </Tab>
</Tabs>

### Solución de problemas

<AccordionGroup>
  <Accordion title="No se abre nada al activar la fuente">
    Revisa la configuración del **bloqueador de ventanas emergentes** para el sitio de Iru e inténtalo de nuevo.
  </Accordion>

  <Accordion title="AssumeRole denegado">
    Corrige las discrepancias del ID externo.
  </Accordion>

  <Accordion title="Detalles escasos de las CMK">
    Las políticas de recursos de claves individuales pueden denegar **`DescribeKey`**: ajusta las políticas de las claves si los auditores requieren visibilidad completa.
  </Accordion>

  <Accordion title="Claves administradas por AWS">
    Siempre aparecen en la lista, pero a veces se pueden inspeccionar menos que las claves administradas por el cliente; es lo esperado según el comportamiento de AWS.
  </Accordion>
</AccordionGroup>

### Consideraciones

<CardGroup cols={2}>
  <Card title="Las claves son regionales: el inventario abarca las regiones habilitadas." icon="circle-info">
    Las claves son **regionales**; el inventario abarca las regiones habilitadas.
  </Card>

  <Card title="Funciona únicamente con metadatos de la API: ningún material de clave…" icon="shield">
    Funciona únicamente con **metadatos de la API**: ningún material de clave sale de KMS mediante llamadas de descifrado de este conector.
  </Card>
</CardGroup>

### Artículos relacionados

<CardGroup cols={2}>
  <Card title="Gestión de fuentes" icon="plug" href="/es/compliance/sources-management">
    Explora y gestiona todas las fuentes de Compliance.
  </Card>

  <Card title="Introducción a Compliance" icon="rocket" href="/es/compliance/getting-started-with-compliance">
    Marcos, acciones y **Artefactos**.
  </Card>

  <Card title="Descripción general de Iru" icon="layer-group" href="/es/iru/platform-overview/iru-overview">
    Cómo encajan Endpoint, Compliance e Identity.
  </Card>

  <Card title="Gestión de artefactos" icon="folder-open" href="/es/compliance/artifacts-management">
    Sube, revisa y organiza la evidencia de fuentes y acciones.
  </Card>
</CardGroup>