Comprendre le IAM rôle du profil de configuration

Vous pouvez créer le IAM rôle qui donne accès aux données de configuration à l'aide de AWS AppConfig. Vous pouvez également créer le IAM rôle vous-même. Si vous créez le rôle en utilisant AWS AppConfig, le système crée le rôle et spécifie l'une des politiques d'autorisation suivantes, en fonction du type de source de configuration que vous choisissez.

La source de configuration est un secret de Secrets Manager

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
             ],
            "Resource": [
                "arn:aws:secretsmanager:Région AWS:account_ID:secret:secret_name-a1b2c3"
            ]
        }
    ]
}

La source de configuration est un paramètre Parameter Store

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter"
            ],
            "Resource": [
                "arn:aws:ssm:Région AWS:account_ID:parameter/parameter_name"
            ]
        }
    ]
    }

La source de configuration est un SSM document

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetDocument"
            ],
            "Resource": [
                "arn:aws:ssm:Région AWS:account_ID:document/document_name"
            ]
        }
    ]
}

Si vous créez le rôle en utilisant AWS AppConfig, le système crée également la relation de confiance suivante pour le rôle.

{

  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "appconfig.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}