Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de roles vinculados a servicios para MemoryDB

MemoryDB usa AWS Identity and Access Management (IAM) roles vinculados al servicio. Un rol vinculado a un servicio es un tipo único de IAM rol que está vinculado directamente a un AWS servicio, como MemoryDB. MemoryDB predefine las funciones vinculadas al servicio de MemoryDB. Incluyen todos los permisos que requiere el servicio para llamar a otros servicios de AWS en nombre de los clústeres.

Un rol vinculado a un servicio facilita la configuración de MemoryDB porque no es necesario añadir manualmente los permisos necesarios. Los roles ya existen en tu AWS cuenta, pero están vinculados a los casos de uso de MemoryDB y tienen permisos predefinidos. Solo MemoryDB puede asumir estas funciones y solo estas funciones pueden usar la política de permisos predefinida. Las funciones se pueden eliminar únicamente después de eliminar primero sus recursos relacionados. Esto protege sus recursos de MemoryDB porque no puede eliminar inadvertidamente los permisos necesarios para acceder a los recursos.

Para obtener información sobre otros servicios que admiten funciones vinculadas a servicios, consulte AWS Servicios con los que funcionan IAM y busque los servicios con los que se indica Sí en la columna Función vinculada a servicios. Elija una opción Sí con un enlace para ver la documentación acerca del rol vinculado a servicios en cuestión.

Permisos de rol vinculados a servicios para MemoryDB

MemoryDB usa el rol vinculado al servicio denominado AWSServiceRoleForMemoryDB: Esta política permite a MemoryDB administrar los AWS recursos en su nombre según sea necesario para administrar sus clústeres.

La política de permisos de roles AWSServiceRoleForMemoryDB vinculados al servicio permite a MemoryDB realizar las siguientes acciones en los recursos especificados:

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateTags"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:CreateAction": "CreateNetworkInterface"
                    },
                    "ForAllValues:StringEquals": {
                        "aws:TagKeys": [
                            "AmazonMemoryDBManaged"
                        ]
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateNetworkInterface"
                ],
                "Resource": [
                    "arn:aws:ec2:*:*:network-interface/*",
                    "arn:aws:ec2:*:*:subnet/*",
                    "arn:aws:ec2:*:*:security-group/*"
                ]
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:ResourceTag/AmazonMemoryDBManaged": "true"
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:security-group/*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DescribeSecurityGroups",
                    "ec2:DescribeNetworkInterfaces",
                    "ec2:DescribeAvailabilityZones",
                    "ec2:DescribeSubnets",
                    "ec2:DescribeVpcs"
                ],
                "Resource": "*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "cloudwatch:PutMetricData"
                ],
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "cloudwatch:namespace": "AWS/MemoryDB"
                    }
                }
            }
        ]
    }

Para obtener más información, consulte AWS política gestionada: M emoryDBService RolePolicy.

Para permitir que una IAM entidad cree roles vinculados a un servicio AWSServiceRoleForMemoryDB

Agregue la siguiente declaración de política a los permisos de esa IAM entidad:

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

Para permitir que una IAM entidad elimine funciones vinculadas a un AWSServiceRoleForMemoryDB servicio

Agregue la siguiente declaración de política a los permisos de esa IAM entidad:

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

Como alternativa, puede usar una política AWS administrada para proporcionar acceso completo a MemoryDB.

Creación de un rol vinculado a un servicio () IAM

Puede crear un rol vinculado a un servicio mediante la IAM consola, o. CLI API

Creación de un rol vinculado a un servicio (consola) IAM

Puede usar la IAM consola para crear un rol vinculado a un servicio.

Crear un rol vinculado a un servicio () IAM CLI

Puede utilizar IAM las operaciones del AWS Command Line Interface para crear un rol vinculado a un servicio. Este rol puede incluir la política de confianza y las políticas insertadas que el servicio necesita para asumir el rol.

Para crear un rol vinculado a un servicio () CLI

Use la operación siguiente:

$ aws iam create-service-linked-role --aws-service-name memorydb.amazonaws.com

Crear un rol vinculado a un servicio () IAM API

Puede utilizar el IAM API para crear un rol vinculado a un servicio. Este rol puede contener la política de confianza y las políticas insertadas que el servicio necesita para asumir el rol.

Para crear un rol vinculado a un servicio () API

Use la CreateServiceLinkedRole APIllamar. En la solicitud, especifique el nombre del servicio de memorydb.amazonaws.com.

Edición de la descripción de un rol vinculado a un servicio para MemoryDB

MemoryDB no permite editar el rol vinculado al servicio. AWSServiceRoleForMemoryDB Después de crear un rol vinculado a un servicio, no podrá cambiar el nombre del rol, ya que varias entidades podrían hacer referencia al mismo. Sin embargo, puede editar la descripción del rol utilizando. IAM

Edición de la descripción de un rol vinculado a un servicio (consola) IAM

Puede utilizar la IAM consola para editar la descripción de un rol vinculado a un servicio.

Edición de la descripción de un rol vinculado a un servicio () IAM CLI

Puede utilizar IAM las operaciones del AWS Command Line Interface para editar la descripción de un rol vinculado a un servicio.

Edición de la descripción de un rol vinculado a un servicio () IAM API

Puede utilizar el IAM API para editar la descripción de un rol vinculado a un servicio.

Eliminar un rol vinculado a un servicio para MemoryDB

Si ya no necesita usar una característica o servicio que requieran un rol vinculado a un servicio, le recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Sin embargo, debe limpiar el rol vinculado al servicio antes de eliminarlo.

MemoryDB no elimina automáticamente el rol vinculado al servicio.

Limpiar un rol vinculado a un servicio

Antes de poder eliminar un rol vinculado IAM a un servicio, primero confirme que el rol no tiene recursos (clústeres) asociados.

Eliminar un rol vinculado a un servicio (consola) IAM

Puede usar la IAM consola para eliminar un rol vinculado a un servicio.

Eliminar un rol vinculado a un servicio () IAM CLI

Puede utilizar IAM las operaciones de AWS Command Line Interface para eliminar un rol vinculado a un servicio.

Eliminar un rol vinculado a un servicio () IAM API

Puede utilizar el para eliminar un IAM API rol vinculado a un servicio.