Verwenden von serviceverknüpften Rollen für Aurora

Aurora verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine servicebezogene Rolle ist ein einzigartiger IAM Rollentyp, der direkt mit Aurora verknüpft ist. Servicebezogene Rollen sind von Aurora vordefiniert und beinhalten alle Berechtigungen, die der Service benötigt, um andere AWS Services in Ihrem Namen aufzurufen.

Eine serviceverknüpfte Rolle erleichtert die Nutzung von Amazon Aurora, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Amazon Aurora definiert die Berechtigungen seiner serviceverknüpften Rollen, und sofern nicht anders definiert, kann nur Amazon Aurora seine Rollen übernehmen. Zu den definierten Berechtigungen gehören die Vertrauensrichtlinie und die Berechtigungsrichtlinie, und diese Berechtigungsrichtlinie kann keiner anderen IAM Entität zugeordnet werden.

Sie können die Rollen nur nach dem Löschen der zugehörigen Ressourcen löschen. Dadurch werden Ihre Aurora Aurora-Ressourcen geschützt, da Sie die Zugriffsberechtigung für die Ressourcen nicht versehentlich entziehen können.

Informationen zu anderen Diensten, die serviceverknüpfte Rollen unterstützen, finden Sie unter AWS Dienste, die mit Services arbeiten, IAM und suchen Sie in der Spalte Serviceverknüpfte Rolle nach den Diensten, für die Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Servicebezogene Rollenberechtigungen für Aurora

Amazon Aurora verwendet die benannte serviceverknüpfte Rolle AWSServiceRoleForRDS , RDS damit Amazon AWS Dienste im Namen Ihrer aufrufen kann.

Die AWSServiceRoleForRDS serviceverknüpfte Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt.

Weitere Informationen zu dieser Richtlinie, einschließlich des JSON Richtliniendokuments, finden Sie unter A mazonRDSService RolePolicy im Referenzhandbuch für AWS verwaltete Richtlinien.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}
    

Eine serviceverknüpfte Rolle für erstellen

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie einen erstellen, erstellt Amazon Aurora die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie einen erstellen, erstellt Amazon Aurora die serviceverknüpfte Rolle erneut für Sie.

Bearbeitung einer serviceverknüpften Rolle für Aurora

Amazon Aurora erlaubt Ihnen nicht, die AWSServiceRoleForRDS serviceverknüpfte Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können die Beschreibung der Rolle jedoch mithilfe IAM von bearbeiten. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Bearbeiten einer dienstbezogenen Rolle.

Löschen einer serviceverknüpften Rolle für Aurora

Wenn Sie ein Feature oder einen Service, die bzw. der eine serviceverknüpfte Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte Entität, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch all Ihre DB-Cluster löschen, bevor Sie die serviceverknüpfte Rolle löschen können.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie eine serviceverknüpfte Rolle löschen können, müssen Sie zunächst bestätigen, dass die Rolle keine aktiven Sitzungen hat, und alle von der Rolle verwendeten Ressourcen entfernen. IAM

Wenn Sie die AWSServiceRoleForRDS Rolle entfernen möchten, müssen Sie zuerst alle Ihre löschen.

Löschen aller Ihrer Cluster

Verwenden Sie eines der folgenden Verfahren, um einen einzelnen Cluster zu löschen. Wiederholen Sie dieses Verfahren für jeden der Cluster.

Löschen eines Clusters (CLI)

Siehe delete-db-cluster in der AWS CLI -Befehlsreferenz.

Löschen eines Clusters (API)

Siehe DeleteDBCluster in der RDSAPIAmazon-Referenz.

Sie können die IAM Konsole, die oder die verwenden IAMCLI, IAM API um die mit dem AWSServiceRoleForRDS Service verknüpfte Rolle zu löschen. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Löschen einer dienstbezogenen Rolle.

Servicebezogene Rollenberechtigungen für Amazon Beta RDS

Amazon Aurora verwendet die benannte serviceverknüpfte RolleAWSServiceRoleForRDSBeta, um Amazon Aurora zu ermöglichen, AWS Dienste im Namen Ihrer RDS DB-Ressourcen aufzurufen.

Die AWSServiceRoleForRDSBeta servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSBetaServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: A mazonRDSBeta ServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSBetaServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Servicebezogene Rolle für Amazon Preview RDS

Amazon Aurora verwendet die benannte serviceverknüpfte RolleAWSServiceRoleForRDSPreview, um Amazon Aurora zu ermöglichen, AWS Dienste im Namen Ihrer RDS DB-Ressourcen aufzurufen.

Die AWSServiceRoleForRDSPreview servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSPreviewServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: A mazonRDSPreview ServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSPreviewServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}