Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von dienstverknüpften Rollen für IAM Identity Center

AWS IAM Identity Center verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger IAM-Rollentyp, der direkt mit IAM Identity Center verknüpft ist. Es ist vom IAM Identity Center vordefiniert und beinhaltet alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen. Weitere Informationen finden Sie unter Grundlegendes zu serviceverknüpften Rollen in IAM Identity Center.

Eine serviceverknüpfte Rolle erleichtert die Einrichtung von IAM Identity Center, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. IAM Identity Center definiert die Berechtigungen seiner serviceverknüpften Rolle. Sofern nicht anders definiert, kann nur IAM Identity Center diese Rolle übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Informationen zu anderen Diensten, die serviceverknüpfte Rollen unterstützen, finden Sie unter AWS Dienste, die mit IAM funktionieren. Suchen Sie nach den Diensten, für die in der Spalte Rolle „Ja“ steht. Service-Linked Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Service-linked Rollenberechtigungen für IAM Identity Center

IAM Identity Center verwendet die benannte service-verknüpfte Rolle, AWSServiceRoleForSSO um IAM Identity Center Berechtigungen zur Verwaltung von AWS Ressourcen, einschließlich IAM-Rollen, Richtlinien und SAML-IdP, in Ihrem Namen zu gewähren.

Die AWSServiceRoleForSSO serviceverknüpfte Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

Die Richtlinie für AWSSSOServiceRolePolicy dienstbezogene Rollenberechtigungen ermöglicht es IAM Identity Center, die folgenden Aufgaben für Rollen im Pfad „/aws- reserved/sso .amazonaws.com/“ und mit dem Namenspräfix „awsReservedSSO_“ auszuführen:

Die Berechtigungsrichtlinie für AWSSSOServiceRolePolicy serviceverknüpfte Rollen ermöglicht es IAM Identity Center, Folgendes bei SAML-Anbietern mit dem Namenspräfix „AWSSSO_“ durchzuführen:

Die Berechtigungsrichtlinie für AWSSSOServiceRolePolicy serviceverknüpfte Rollen ermöglicht es IAM Identity Center, die folgenden Aufgaben für alle Organisationen auszuführen:

Die Berechtigungsrichtlinie für AWSSSOServiceRolePolicy serviceverknüpfte Rollen ermöglicht es IAM Identity Center, die folgenden Aufgaben für alle IAM-Rollen auszuführen (*):

Die Berechtigungsrichtlinie für AWSSSOServiceRolePolicy serviceverknüpfte Rollen ermöglicht es IAM Identity Center, die folgenden Aufgaben auf „arn:aws:iam: :*: -service- .amazonaws“ auszuführen. role/aws role/sso com/AWSServiceRoleForSSO“:

Die Richtlinie für AWSSSOServiceRolePolicy dienstgebundene Rollenberechtigungen ermöglicht es IAM Identity Center, Folgendes auf „arn:aws:identity-sync: *:*:profile/*“ durchzuführen:

Weitere Informationen zu Aktualisierungen der Berechtigungsrichtlinie für serviceverknüpfte Rollen finden Sie unter. AWSSSOServiceRolePolicy IAM Identity Center wird aktualisiert auf AWS Verwaltete Richtlinien

JSON

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"IAMRoleProvisioningActions",
         "Effect":"Allow",
         "Action":[
            "iam:AttachRolePolicy",
            "iam:CreateRole",
            "iam:DeleteRolePermissionsBoundary",
            "iam:PutRolePermissionsBoundary",
            "iam:PutRolePolicy",
            "iam:UpdateRole",
            "iam:UpdateRoleDescription",
            "iam:UpdateAssumeRolePolicy"
         ],
         "Resource":[
            "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/*"
         ],
         "Condition":{
            "StringNotEquals":{
               "aws:PrincipalOrgMasterAccountId":"${aws:PrincipalAccount}"
            }
         }
      },
      {
         "Sid":"IAMRoleReadActions",
         "Effect":"Allow",
         "Action":[
            "iam:GetRole",
            "iam:ListRoles"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"IAMRoleCleanupActions",
         "Effect":"Allow",
         "Action":[
            "iam:DeleteRole",
            "iam:DeleteRolePolicy",
            "iam:DetachRolePolicy",
            "iam:ListRolePolicies",
            "iam:ListAttachedRolePolicies"
         ],
         "Resource":[
            "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/*"
         ]
      },
      {
         "Sid":"IAMSLRCleanupActions",
         "Effect":"Allow",
         "Action":[
            "iam:DeleteServiceLinkedRole",
            "iam:GetServiceLinkedRoleDeletionStatus",
            "iam:DeleteRole",
            "iam:GetRole"
         ],
         "Resource":[
            "arn:aws:iam::*:role/aws-service-role/sso.amazonaws.com/AWSServiceRoleForSSO"
         ]
      },
      {
        "Sid": "IAMSAMLProviderCreationAction",
        "Effect": "Allow",
        "Action": [
          "iam:CreateSAMLProvider"
      ],
      "Resource": [
         "arn:aws:iam::*:saml-provider/AWSSSO_*"
       ],
      "Condition": {
         "StringNotEquals": {
            "aws:PrincipalOrgMasterAccountId": "${aws:PrincipalAccount}"
          }
        }
      },
      {
        "Sid": "IAMSAMLProviderUpdateAction",
        "Effect": "Allow",
        "Action": [
          "iam:UpdateSAMLProvider"
        ],
        "Resource": [
           "arn:aws:iam::*:saml-provider/AWSSSO_*"
        ]
      }, 
      {
         "Sid":"IAMSAMLProviderCleanupActions",
         "Effect":"Allow",
         "Action":[
            "iam:DeleteSAMLProvider",
            "iam:GetSAMLProvider"
         ],
         "Resource":[
            "arn:aws:iam::*:saml-provider/AWSSSO_*"
         ]
      },
      {
         "Effect":"Allow",
         "Action":[
            "organizations:DescribeAccount",
            "organizations:DescribeOrganization",
            "organizations:ListAccounts",
            "organizations:ListAWSServiceAccessForOrganization",
            "organizations:ListDelegatedAdministrators"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowUnauthAppForDirectory",
         "Effect":"Allow",
         "Action":[
            "ds:UnauthorizeApplication"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowDescribeForDirectory",
         "Effect":"Allow",
         "Action":[
            "ds:DescribeDirectories",
            "ds:DescribeTrusts"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowDescribeAndListOperationsOnIdentitySource",
         "Effect":"Allow",
         "Action":[
            "identitystore:DescribeUser",
            "identitystore:DescribeGroup",
            "identitystore:ListGroups",
            "identitystore:ListUsers"
         ],
         "Resource":[
            "*"
         ]
      },
      {
         "Sid":"AllowDeleteSyncProfile",
         "Effect":"Allow",
         "Action":[
            "identity-sync:DeleteSyncProfile"
         ],
         "Resource":[
            "arn:aws:identity-sync:*:*:profile/*"
         ]
      }
   ]    
}

Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Service-linked Rollenberechtigungen.

Erstellen einer dienstverknüpften Rolle für IAM Identity Center

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Nach der Aktivierung erstellt IAM Identity Center eine serviceverknüpfte Rolle in allen Konten innerhalb der Organisation in Organizations. AWS IAM Identity Center erstellt außerdem dieselbe serviceverknüpfte Rolle in jedem Konto, das anschließend zu Ihrer Organisation hinzugefügt wird. Diese Rolle ermöglicht es IAM Identity Center, in Ihrem Namen auf die Ressourcen der einzelnen Konten zuzugreifen.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen.

Bearbeitung einer serviceverknüpften Rolle für IAM Identity Center

Im AWSServiceRoleForSSO IAM Identity Center können Sie die serviceverknüpfte Rolle nicht bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen einer dienstverknüpften Rolle für IAM Identity Center

Sie müssen die Rolle nicht manuell löschen. AWSServiceRoleForSSO Wenn eine aus einer AWS Organisation entfernt AWS-Konto wird, bereinigt IAM Identity Center automatisch die Ressourcen und löscht die mit dem Dienst verknüpfte Rolle aus der Organisation. AWS-Konto

Sie können auch die IAM-Konsole, die IAM-CLI oder die IAM-API verwenden, um die serviceverknüpfte Rolle manuell zu löschen. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpfte Rolle zuerst manuell bereinigen, bevor Sie diese manuell löschen können.

So löschen Sie die serviceverknüpfte Rolle mit IAM

Sie können die IAM-Konsole, die IAM-CLI oder die IAM-API verwenden, um die AWSServiceRoleForSSO-serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Löschen einer Service-Linked Rolle.