> ## Documentation Index
> Fetch the complete documentation index at: https://docs.enclave.ai/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Enclave in these docs is the code and cloud security platform at enclave.ai. It is not Open Enclave, Intel SGX or other hardware enclaves, or enclave.gg.
> People use Enclave in the web app at https://app.enclave.ai or the desktop app. These docs describe no public Enclave API or CLI, so don't invent endpoints, commands, or config files.
> Connecting an integration needs a person to sign in and approve access in a browser. Tell the user the exact step to take instead of saying you completed it.

# AWS

> Conecta una cuenta de AWS con un rol de IAM de solo lectura para que Enclave pueda mapear tu nube y comprobar si los hallazgos se pueden alcanzar.

Conecta una cuenta de AWS para que Enclave pueda mapear sus recursos e identidades y saber qué hallazgos se pueden alcanzar. El acceso es de solo lectura.

## Qué necesita Enclave

Un rol de IAM entre cuentas llamado `EnclaveScanner` con permisos de **solo lectura**. Una plantilla de CloudFormation lo crea por ti. La política de confianza del rol solo permite que lo asuma la entidad principal de Enclave, y solo con un ID externo generado para tu organización.

La política `EnclaveScannerReadOnly` del rol permite acciones `Describe`, `List` y `Get` sobre:

* **Cómputo**: EC2, ECS, EKS, Lambda, Batch y Step Functions.
* **Redes**: recursos de VPC a través de EC2, Elastic Load Balancing, Route 53, CloudFront y API Gateway.
* **Datos**: RDS, DynamoDB, ElastiCache y los nombres de las colas de SQS, los temas de SNS, los streams de Kinesis y los clústeres de MSK.
* **Almacenamiento**: la configuración, las políticas, las ACL y los ajustes de acceso público de los buckets de S3. No lee objetos.
* **Contenedores**: repositorios de ECR.
* **Identidad**: roles, usuarios, grupos y perfiles de instancia de IAM, y sus políticas.

Sin acciones de modificación ni acceso a datos más allá de los metadatos.

## Antes de empezar

* Necesitas el rol **Owner** o **Admin** en Enclave.
* En AWS, necesitas permiso para crear stacks de CloudFormation **y roles de IAM** en la cuenta que conectas.

> [!WARNING]
>
> El stack crea un rol de IAM, así que CloudFormation te pide que confirmes que crea recursos de IAM. Si tu usuario de AWS no puede crear roles de IAM, el stack falla. Haz clic en **Copy link** y envíaselo a alguien que pueda.

## Conectar una cuenta de AWS

Abre **Settings → Integrations** y haz clic en **Connect** junto a **Amazon Web Services**.

**1. Abre CloudFormation**

Haz clic en **Open CloudFormation**. AWS abre una página de creación rápida del stack `EnclaveScanner` en `us-east-1`, con el ID externo de tu organización y el ARN de la entidad principal de Enclave ya rellenados. Revisa el stack y créalo.

Para que lo ejecute otra persona, haz clic en **Copy link** y envíale el enlace.

**2. Copia RoleArn desde Outputs**

Cuando termine el stack, abre **CloudFormation → Stacks → EnclaveScanner → Outputs**. Copia el **Value** de la fila cuya **Key** es `RoleArn`.

**3. Valida el rol**

Pega el ARN en **RoleArn output** y haz clic en **Validate role**. Enclave asume el rol para confirmar que la relación de confianza funciona. Si todo va bien, la cuenta queda conectada y Enclave empieza a analizarla.

> [!TIP]
>
> Haz clic en **Finish later** para guardar tu progreso. Termina la configuración desde **Settings → Integrations → Amazon Web Services** cuando el stack esté listo.

## Añadir más cuentas

Puedes conectar más de una cuenta de AWS, por ejemplo `prod` y `staging`. Haz clic en **Add account**, lanza el stack `EnclaveScanner` en la otra cuenta y valida su `RoleArn`.

Cada cuenta conectada está disponible para toda tu organización.

## Gestionar una conexión

Desde **Settings → Integrations → Amazon Web Services**, haz clic en una cuenta para ver su ID de cuenta, el ARN del rol y las regiones.

* **Re-validate** comprueba que Enclave todavía puede asumir el rol.
* **Delete** elimina una cuenta de la conexión.
* **Disconnect AWS** elimina toda la conexión. Enclave deja de usar estas cuentas.

En **CloudTrail notifications**, puedes conectar opcionalmente un trail de CloudTrail. Así, Enclave actualiza el inventario de una cuenta cuando cambian sus recursos, en lugar de esperar al análisis diario.

Para revocar el acceso desde AWS, elimina el stack `EnclaveScanner` o el rol. Enclave ya no podrá analizar la cuenta.

## Qué hará Enclave y qué no

* **Hará**: llamar a las acciones de solo lectura de la política `EnclaveScannerReadOnly`.
* **No hará**: modificar nada, leer el contenido de los datos, guardar credenciales de larga duración ni ejecutar agentes dentro de tu cuenta.

Enclave asume el rol con credenciales de STS de corta duración, limitadas al rol y al ID externo que configuraste. Puedes revocar el rol en cualquier momento desde tu cuenta de AWS.

## Solución de problemas

* **AWS STS could not assume the role**: falta el stack, o su ID externo no coincide con esta conexión de Enclave. Vuelve a hacer clic en **Open CloudFormation**. Vuelve a crear el stack `EnclaveScanner` si se eliminó, o actualízalo si existe. Después, copia el nuevo `RoleArn` y vuelve a validarlo.
* **"That ARN is the Enclave principal"**: pegaste el ARN de la entidad principal de Enclave en lugar del ARN de tu rol. Pega el valor `RoleArn` de la pestaña **Outputs** del stack.
* **Los activos no aparecen en Coverage**: Enclave analiza cuando se conecta una cuenta y, después, una vez al día. Para analizar ahora, haz clic en **Analyze Environment** en [Coverage](https://docs.enclave.ai/es/onboarding/coverage.md).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.