¿Cómo soluciono los problemas de permisos de IAM en la consola de Administración de facturación y costes?

Resolución

Si los usuarios o grupos de IAM tienen problemas con los permisos cuando intentan acceder a la consola de Administración de facturación y costes de AWS, confirma lo siguiente:

• El usuario raíz de la cuenta de AWS ha delegado el acceso a la información de facturación.
• La entidad de IAM tiene las políticas de IAM necesarias que le permiten acceder a la consola de Administración de facturación y costes.
• La cuenta de miembro de AWS Organizations no tiene una política de control de servicio (SCP) que bloquee el acceso de la entidad de IAM o del usuario raíz.
• Los dispositivos de autenticación multifactor (MFA) están configurados para permitir siempre la autenticación.
• Los límites de permisos que se adjuntan a las entidades de IAM permiten el acceso a la consola de Administración de facturación y costes.

Concesión de permiso a la entidad de IAM para acceder a la consola de Administración de facturación y costes

Sigue estos pasos:

1. Inicia sesión en la Consola de administración de AWS con las credenciales de usuario raíz de tu cuenta de AWS.
   Importante: Se recomienda usar el usuario raíz únicamente para las tareas que requieran credenciales de usuario raíz.
2. En el panel de navegación, selecciona el nombre de la cuenta y, a continuación, selecciona ID de cuenta.
3. Junto a IAM user and Role Access to Billing Information (Acceso de los usuarios y roles de IAM a la información de facturación), selecciona Editar.
4. Selecciona Activar el acceso de IAM.
   Nota: Esta configuración está desactivada de forma predeterminada. Para obtener más información, consulta Granting access to your billing information and tools (Concesión de acceso a la información y herramientas de facturación).
5. Selecciona Actualizar.
6. Abra la consola de IAM y, a continuación, adjunta los permisos administrados de AWS a la entidad de IAM.

Nota: La entidad de IAM debe tener adjunta al menos una política de IAM. Para ver ejemplos de políticas de la consola Administración de facturación y costes, consulta Identity-based policy with AWS Billing (Política basada en la identidad con AWS Billing). También puedes utilizar políticas administradas de AWS, como AWSBillingReadOnlyAccess o Billing.

Comprobar que a la entidad de IAM no se le niegue el acceso a la consola de Administración de facturación y costes

Si sigues teniendo problemas con los permisos, es posible que se haya adjuntado a la entidad de IAM una política que deniegue el acceso a la consola de Administración de facturación y costes.

Utiliza el simulador de política de IAM para identificar la política que impide el acceso a la consola de Administración de facturación y costes. Consulta todas las políticas aplicables para determinar si deniegan el acceso a la consola de Administración de facturación y costes.

Se ha adjuntado a la entidad de IAM una política de IAM o una SCP que restringen el acceso a regiones de AWS específicas.

Los servicios de facturación son globales, por lo que todas las acciones que llevas a cabo en la consola de Administración de facturación y costes se registran en la región us-east-1. Si la política de IAM o la SCP deniega el acceso a regiones específicas, modifícala para eximir los permisos de facturación específicos requeridos. Para obtener más información, consulta AWS: deniega el acceso a AWS en función de la región solicitada.

Una política de IAM o una SCP incluye un efecto de denegación y permite el acceso a los servicios solo cuando la entidad de IAM está autenticada mediante MFA.

Si utilizas la autenticación multifactor (MFA) de AWS, se requiere una configuración adicional para acceder a la consola de Administración de facturación y costes. Debes configurar tu dispositivo de MFA para que siempre estés autenticado con un token de MFA. 

La entidad de IAM tiene un límite de permisos adjunto que no permite el acceso a la consola de Administración de facturación y costes

Tu entidad de IAM no puede acceder a la consola de Administración de facturación y costes cuando se ha configurado un límite de permisos para impedir este permiso. Tu límite de permisos debe incluir una declaración de política con un efecto de permiso para los permisos necesarios de la consola de Administración de facturación y costes.

Información relacionada

Información general sobre la administración de permisos de acceso

Tutorial de IAM: delegación del acceso entre cuentas de AWS mediante roles de IAM

Changes to AWS Billing, Cost Management, and Account Consoles Permissions (Cambios en los permisos de las consolas de facturación de AWS, de administración de costes y de cuenta)