Verwenden von serviceverknüpften Rollen für Amazon RDS

Amazon RDS verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine serviceverknüpfte Rolle ist eine einzigartige Art von IAM-Rolle, die direkt mit Amazon RDS Aurora verknüpft ist. Service-linked Rollen sind von Amazon RDS vordefiniert und beinhalten alle Berechtigungen, die der Service benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

Eine serviceverknüpfte Rolle macht die Nutzung von Amazon RDS einfacher, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Amazon RDS definiert die Berechtigungen seiner serviceverknüpften Rollen, und sofern nicht anders definiert, kann nur Amazon RDS seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Sie können die Rollen nur nach dem Löschen der zugehörigen Ressourcen löschen. Dies schützt Ihre Amazon RDS-Ressourcen, da Sie nicht versehentlich die Berechtigung für den Zugriff auf die Ressourcen entfernen können.

Informationen zu anderen Diensten, die dienstbezogene Rollen unterstützen, finden Sie unter AWS Dienste, die mit IAM funktionieren. Suchen Sie dort in der Spalte Service-Linked Rolle nach den Diensten, für die Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Service-linked Rollenberechtigungen für Amazon RDS

Amazon RDS verwendet die benannte serviceverknüpfte Rolle AWSServiceRoleForRDS , damit Amazon RDS AWS Dienste im Namen Ihrer aufrufen kann.

Die AWSServiceRoleForRDS servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt.

Weitere Informationen zu dieser Richtlinie, einschließlich des JSON-Richtliniendokuments, finden Sie AmazonRDSServiceRolePolicyim Referenzhandbuch für AWS verwaltete Richtlinien.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}
    

Erstellen einer serviceverknüpften Rolle für Amazon RDS

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine DB-Instance erstellen, erstellt Amazon RDS die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine DB-Instance erstellen, erstellt Amazon RDS wieder die serviceverknüpfte Rolle für Sie.

Bearbeiten einer serviceverknüpften Rolle für Amazon RDS

Amazon RDS erlaubt Ihnen nicht, die AWSServiceRoleForRDS serviceverknüpfte Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen einer serviceverknüpften Rolle für Amazon RDS

Wenn Sie eine Funktion oder einen Service, die bzw. der eine serviceverknüpfte Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte Entität, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch all Ihre DB-Instances löschen, bevor Sie die serviceverknüpfte Rolle löschen können.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie mit IAM eine serviceverknüpfte Rolle löschen können, müssen Sie sich zunächst vergewissern, dass die Rolle über keine aktiven Sitzungen verfügt, und alle Ressourcen entfernen, die von der Rolle verwendet werden.

Wenn Sie die AWSServiceRoleForRDS Rolle entfernen möchten, müssen Sie zuerst alle Ihre löschen.

Löschen aller Ihrer Instances

Verwenden Sie eine dieser Verfahren, um Ihrer kompletten Instance zu löschen.

So löschen Sie eine Instance (CLI)

Siehe delete-db-instance in der AWS CLI -Befehlsreferenz.

So löschen Sie eine Instance (API)

Weitere Informationen finden Sie im Amazon RDS API Reference unter DeleteDBInstance.

Sie können die IAM-Konsole, die IAM-CLI oder die IAM-API verwenden, um die serviceverknüpfte Rolle AWSServiceRoleForRDS zu löschen. Weitere Informationen finden Sie unter Löschen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Service-linked Rollenberechtigungen für Amazon RDS Custom

Amazon RDS Custom verwendet die benannte serviceverknüpfte RolleAWSServiceRoleForRDSCustom, damit RDS Custom AWS Dienste im Namen Ihrer RDS-DB-Ressourcen aufrufen kann.

Die AWSServiceRoleForRDSCustom servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSCustomServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt.

Das Erstellen, Bearbeiten oder Löschen der serviceverknüpften Rolle für RDS Custom funktioniert genauso wie bei Amazon RDS. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: AmazonRDSCustomServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSCustomServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Service-linked Rollenberechtigungen für Amazon RDS Beta

Amazon RDS verwendet die angegebene serviceverknüpfte RolleAWSServiceRoleForRDSBeta, damit Amazon RDS AWS Dienste im Namen Ihrer RDS-DB-Ressourcen aufrufen kann.

Die AWSServiceRoleForRDSBeta servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSBetaServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: AmazonRDSBetaServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSBetaServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Service-linked Rolle für Amazon RDS Preview

Amazon RDS verwendet die angegebene serviceverknüpfte RolleAWSServiceRoleForRDSPreview, damit Amazon RDS AWS Dienste im Namen Ihrer RDS-DB-Ressourcen aufrufen kann.

Die AWSServiceRoleForRDSPreview servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Dieser dienstgebundenen Rolle ist eine Berechtigungsrichtlinie namens AmazonRDSPreviewServiceRolePolicy zugeordnet, die ihr Berechtigungen für den Betrieb in Ihrem Konto erteilt. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: AmazonRDSPreviewServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSPreviewServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}