AWS Audit Manager ya no está abierto a nuevos clientes. Los clientes existentes pueden seguir utilizando el servicio con normalidad. Para obtener más información, consulte [Cambio en la disponibilidad de AWS Audit Manager](https://docs.aws.amazon.com/audit-manager/latest/userguide/audit-manager-availability-change.html). 

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# Resource-based ejemplos de políticas para AWS Audit Manager
<a name="security_iam_resource-based-policy-examples"></a>

## Política de buckets de Amazon S3
<a name="s3-resource-policy"></a>

La siguiente política permite CloudTrail enviar los resultados de las consultas del buscador de pruebas al bucket de S3 especificado. Como práctica recomendada de seguridad, la clave de condición global de IAM `aws:SourceArn` ayuda a garantizar que solo se CloudTrail escriba en el bucket de S3 para el almacén de datos de eventos.

**importante**  
Debes especificar un bucket de S3 para la entrega de los resultados de las consultas de CloudTrail Lake. Para obtener más información, consulte [ Especificar un bucket existente para los resultados de las consultas de CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/s3-bucket-policy-lake-query-results.html#specify-an-existing-bucket-for-cloudtrail-query-results-delivery).

{{placeholder text}}Sustitúyala por tu propia información, de la siguiente manera:
+ {{amzn-s3-demo-destination-bucket}}Sustitúyalo por el bucket de S3 que utiliza como destino de exportación.
+ {{myQueryRunningRegion}}Sustitúyalo por el apropiado Región de AWS para su configuración.
+ {{myAccountID}}Sustitúyalo por el Cuenta de AWS identificador que se utiliza para CloudTrail. Es posible que no sea el mismo que el Cuenta de AWS ID del bucket de S3. Si se trata de un almacén de datos de eventos de la organización, debe utilizar la Cuenta de AWS para la cuenta de administración.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "s3:PutObject*",
                "s3:Abort*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-destination-bucket",
                "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:myQueryRunningRegion:myAccountID:eventdatastore/*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::amzn-s3-demo-destination-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:myQueryRunningRegion:myAccountID:eventdatastore/*"
                }
            }
        }
    ]
    }
```

------

## AWS Key Management Service policy
<a name="kms-resource-policy"></a>

Si tu bucket de S3 tiene el cifrado predeterminado establecido CloudTrail en`SSE-KMS`, concede acceso a la política de recursos de tu AWS Key Management Service clave para que pueda usarla. En este caso, agrega la siguiente política de recursos a la AWS KMS clave.

------
#### [ JSON ]

****  

```
{
 "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "kms:Decrypt*",
                "kms:GenerateDataKey*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": [
                "kms:Decrypt*",
                "kms:GenerateDataKey*"
            ],
            "Resource": "*"
        }
    ]
}
```

------