¿Cómo puedo solucionar los errores de acceso denegado relacionados con la consola de Administración de facturación y costes?

Resolución

Si sus usuarios de IAM tienen problemas con los permisos al acceder a la consola de Administración de facturación y costes de AWS, confirme lo siguiente:

• El usuario raíz ha delegado a la entidad de IAM (usuario o rol) el acceso a la información de facturación.
• La entidad de IAM tiene las políticas de IAM necesarias para permitirle el acceso.

Conceder a la entidad de IAM permisos para acceder a la consola de Administración de facturación y costes

En primer lugar, para permitir que los usuarios y los roles accedan a la consola de Administración de facturación y costes, haga lo siguiente:

1. Inicie sesión en la Consola de administración de AWS con las credenciales de usuario raíz de su cuenta de AWS.
2. En la barra de navegación, elija el nombre de su cuenta y, a continuación, seleccione Cuenta.
3. Junto a Acceso de los usuarios y roles de IAM a la información de facturación, seleccione Editar.
4. Seleccione la casilla Activar el acceso de IAM para activar el acceso a las páginas de la consola de Administración de facturación y costes.
   Nota: Como esta configuración está desactivada de forma predeterminada, el usuario raíz debe activarla manualmente. Para obtener más información sobre cómo activar esta configuración, consulte Concesión de acceso a la información de facturación y a las herramientas.
5. Seleccione Actualizar.

A continuación, asegúrese de haber añadido los permisos necesarios a su entidad de IAM para acceder a la consola de Administración de facturación y costes.

Los permisos mínimos necesarios son los siguientes:

• aws-portal:ViewBilling: este permiso es necesario para ver las páginas de la consola de Administración de facturación y costes.
• aws-portal:ModifyBilling: este permiso es necesario para realizar modificaciones en las páginas de la consola de Administración de facturación y costes.

La entidad de IAM debe tener adjunta al menos una política de IAM. Para ver ejemplos de políticas de la consola de Administración de facturación y costes, consulte Uso de políticas basadas en identidad (políticas de IAM) para AWS Billing. También se pueden utilizar políticas administradas por AWS, como AWSBillingReadOnlyAccess o Billing.

Comprobar que a la entidad de IAM no se le niegue el acceso a la consola de Administración de facturación y costes

Si sigue teniendo problemas de tipo AccessDenied, es posible que tenga una política adjunta que deniega el acceso a la consola de Administración de facturación y costes.

Utilice el simulador de política de IAM para identificar la política que impide el acceso a la consola de Administración de facturación y costes. Consulte todas las políticas aplicables (políticas de IAM, límites de permisos y SCP) para ver si hay políticas que denieguen específicamente el acceso a la consola de Administración de facturación y costes.

Problemas comunes

• En la entidad de IAM se aplica una política de SCP o IAM que restringe el acceso a regiones de AWS específicas. Los servicios de facturación son globales, por lo que todas las acciones que se realizan en la consola de Administración de facturación y costes se registran en la región us-east-1. Si tiene una política de IAM o SCP que le niega el acceso a regiones específicas, modifíquela para eximir los permisos de facturación específicos requeridos. Para obtener más información, consulte AWS: deniega el acceso a AWS en función de la región solicitada.
• Se aplica una política de SCP o IAM con un efecto de denegación que permite el acceso a los servicios solo cuando la entidad de IAM está autenticada mediante MFA. El dispositivo de MFA debe estar configurado para que siempre esté autenticado con un token de MFA para poder acceder a la consola de Administración de facturación y costes.
• La entidad de IAM tiene un límite de permisos adjunto que no permite el acceso a la consola de Administración de facturación y costes. Su entidad de IAM no puede acceder a la consola de facturación si hay un límite de permisos configurado que lo impida. Su límite de permisos debe incluir una declaración de política con un efecto de permiso para los permisos de la consola de Administración de facturación y costes que necesite.

Información relacionada

Información general sobre la administración de permisos de acceso

Tutorial de IAM: delegar acceso a la consola de facturación