View a markdown version of this page

Service-linked autorisations de rôle (SLR) pour la gestion des ressources - Amazon Security Lake
Création du rôle lié aux services Security LakeModifier le rôle lié au service Security LakeSuppression du rôle lié au service Security LakePris en charge Régions AWS pour le rôle lié aux services de Security Lake

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Service-linked autorisations de rôle (SLR) pour la gestion des ressources

Security Lake utilise le rôle lié aux services nommé AWSServiceRoleForSecurityLakeResourceManagement pour effectuer une surveillance continue et améliorer les performances, ce qui peut réduire la latence et les coûts. Ce rôle lié à un service fait confiance au resource-management.securitylake.amazonaws.com service pour qu'il assume le rôle. L'activation lui AWSServiceRoleForSecurityLakeResourceManagement permettra également d'accéder à Lake Formation et d'enregistrer automatiquement vos compartiments S3 gérés par Security Lake auprès de Lake Formation dans toutes les régions pour une sécurité accrue.

La politique d'autorisations pour le rôle, qui est une politique AWS gérée nomméeSecurityLakeResourceManagementServiceRolePolicy, permet d'accéder à la gestion des ressources créées par Security Lake, y compris la gestion des métadonnées de votre lac de données. Pour plus d'informations sur les politiques AWS gérées pour Amazon Security Lake, consultez la section Politiques AWS gérées pour Amazon Security Lake.

Ce rôle lié à un service permet à Security Lake de surveiller l'état des ressources déployées par Security Lake (compartiment S3, AWS Glue tables, file d'attente Amazon SQS, fonction Lambda de Metastore Manager (MSM) et règles) sur votre compte. EventBridge Voici quelques exemples d'opérations que Security Lake peut effectuer avec ce rôle lié à un service :

  • Le compactage des fichiers manifestes Apache Iceberg améliore les performances des requêtes et réduit les temps et les coûts de traitement de Lambda MSM.

  • Surveillez l'état d'Amazon SQS pour détecter les problèmes d'ingestion.

  • Optimisez la réplication des données entre régions pour exclure les fichiers de métadonnées.

Note

Si vous n'installez pas le rôle AWSServiceRoleForSecurityLakeResourceManagement lié à un service, Security Lake continuera de fonctionner, mais il est vivement recommandé d'accepter ce rôle lié à un service afin que Security Lake puisse surveiller et optimiser les ressources de votre compte.

Détails de l’autorisation

Le rôle est configuré avec la politique d'autorisations suivante :

  • events— Permet aux administrateurs de gérer les EventBridge règles requises pour les sources de journaux et les abonnés aux journaux.

  • lambda— Permet aux administrateurs de gérer le lambda utilisé pour mettre à jour les partitions de AWS Glue table après la livraison des AWS sources et la réplication entre régions.

  • glue— Permet aux administrateurs d'effectuer des actions d'écriture spécifiques pour les tables du catalogue de AWS Glue données. Cela permet également aux AWS Glue robots d'identifier les partitions de vos données et à Security Lake de gérer les métadonnées Apache Iceberg pour vos tables Apache Iceberg.

  • s3— Permet aux administrateurs d'effectuer des actions de lecture et d'écriture spécifiques sur les compartiments Security Lake contenant les données de journal et les métadonnées de la table Glue.

  • logs— Autorise les administrateurs à accéder en lecture pour enregistrer la sortie de la fonction Lambda dans Logs. CloudWatch

  • sqs— Permet aux administrateurs d'effectuer des actions de lecture et d'écriture spécifiques pour les files d'attente Amazon SQS qui reçoivent des notifications d'événements lorsque des objets sont ajoutés ou mis à jour dans votre lac de données.

  • lakeformation— Permet aux directeurs de lire les paramètres de Lake Formation pour détecter les erreurs de configuration.

Pour passer en revue les autorisations relatives à cette politique, consultez SecurityLakeResourceManagementServiceRolePolicy le AWS Managed Policy Reference Guide.

Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, un groupe ou un rôle) de créer, modifier ou supprimer un rôle lié à un service. Pour plus d'informations, consultez la section sur les autorisations relatives aux Service-linked rôles dans le guide de l'utilisateur IAM.

Création du rôle lié aux services Security Lake

Vous pouvez créer le rôle AWSServiceRoleForSecurityLakeResourceManagement lié à un service pour Security Lake à l'aide de la console Security Lake ou du. AWS CLI

Pour créer le rôle lié à un service, vous devez accorder les autorisations suivantes à votre utilisateur IAM ou à votre rôle IAM. Le rôle IAM doit être celui d'administrateur de Lake Formation dans toutes les régions où Security Lake est activé.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowLakeFormationActionsViaSecurityLakeConsole",
      "Effect": "Allow",
      "Action": [
        "lakeformation:GrantPermissions",
        "lakeformation:ListPermissions",
        "lakeformation:ListResources",
        "lakeformation:RegisterResource",
        "lakeformation:RevokePermissions"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowIamActionsViaSecurityLakeConsole",
      "Effect": "Allow",
      "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:GetPolicyVersion",
        "iam:GetRole",
        "iam:PutRolePolicy"
      ],
      "Resource": [
        "arn:*:iam::*:role/aws-service-role/resource-management.securitylake.amazonaws.com/AWSServiceRoleForSecurityLakeResourceManagement",
        "arn:*:iam::*:role/*AWSServiceRoleForLakeFormationDataAccess",
        "arn:*:iam::aws:policy/service-role/AWSGlueServiceRole",
        "arn:*:iam::aws:policy/service-role/AmazonSecurityLakeMetastoreManager",
        "arn:*:iam::aws:policy/aws-service-role/SecurityLakeResourceManagementServiceRolePolicy"
      ],
      "Condition": {
        "StringLikeIfExists": {
          "iam:AWSServiceName": [
            "securitylake.amazonaws.com",
            "resource-management.securitylake.amazonaws.com",
            "lakeformation.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "AllowGlueActionsViaConsole",
      "Effect": "Allow",
      "Action": [
        "glue:GetDatabase",
        "glue:GetTables"
      ],
      "Resource": [
        "arn:*:glue:*:*:catalog",
        "arn:*:glue:*:*:database/amazon_security_lake_glue_db*",
        "arn:*:glue:*:*:table/amazon_security_lake_glue_db*/*"
      ]
    }
  ]
}
Console

  1. Ouvrez la console Security Lake à l'adresse https://console.aws.amazon.com/securitylake/.

  2. Acceptez le nouveau rôle lié à un service en cliquant sur Activer le rôle lié à un service dans la barre d'informations de la page Résumé.

Une fois que vous avez activé le rôle lié à un service, vous n'aurez plus besoin de répéter ce processus pour une utilisation future de Security Lake.

CLI

Pour créer le rôle AWSServiceRoleForSecurityLakeResourceManagement lié à un service par programmation, utilisez la commande CLI suivante. 

$ aws iam create-service-linked-role 
--aws-service-name resource-management.securitylake.amazonaws.com

Lorsque vous créez le rôle AWSServiceRoleForSecurityLakeResourceManagement lié à un service à l'aide de AWS CLI, vous devez également lui accorder des autorisations au niveau de la table Lake Formation (ALTER, DESCRIBE) sur toutes les tables de la base de données Security Lake Glue afin de gérer les métadonnées des tables et d'accéder aux données. Si les tables Glue d'une région font référence à des compartiments S3 issus de la précédente activation de Security Lake, vous devez accorder temporairement les autorisations DATA_LOCATION_ACCESS au rôle lié au service pour permettre à Security Lake de remédier à cette situation.

Vous devez également accorder à Lake Formation les autorisations nécessaires pour accéder au rôle AWSServiceRoleForSecurityLakeResourceManagement lié au service associé à votre compte.

L'exemple suivant montre comment accorder à Lake Formation des autorisations pour le rôle lié aux services dans la région désignée. Cet exemple est formaté pour Linux, macOS ou Unix et utilise le caractère de continuation de ligne barre oblique inverse (\) pour améliorer la lisibilité.

$ aws lakeformation grant-permissions --region {region} --principal DataLakePrincipalIdentifier={AWSServiceRoleForSecurityLakeResourceManagement ARN} \
--permissions ALTER DESCRIBE --resource '{ "Table": { "DatabaseName": "amazon_security_lake_glue_db_{region}", "TableWildcard": {} } }'

L'exemple suivant montre à quoi ressemblera le Role ARN. Vous devez modifier l'ARN du rôle pour qu'il corresponde à votre région.

"AWS": "arn:[partition]:iam::[accountid]:role/aws-service-role/resource-management.securitylake.amazonaws.com/AWSServiceRoleForSecurityLakeResourceManagement"

Vous pouvez également utiliser l'appel CreateServiceLinkedRole d'API. Dans la demande, spécifiez AWSServiceName commeresource-management.securitylake.amazonaws.com.

Après avoir activé le AWSServiceRoleForSecurityLakeResourceManagement rôle, si vous utilisez une clé gérée par le AWS KMS client (CMK) pour le chiffrement, vous devez autoriser le rôle lié au service à écrire des objets chiffrés dans des compartiments S3 dans les AWS régions où la CMK existe. Dans la AWS KMS console, ajoutez la politique suivante à la clé KMS dans les AWS régions où CMK existe. Pour plus de détails sur la manière de modifier la politique de clé KMS, consultez la section Stratégies clés AWS KMS dans le Guide du AWS Key Management Service développeur.

{
    "Sid": "Allow SLR",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:[partition]:iam::[accountid]:role/aws-service-role/resource-management.securitylake.amazonaws.com/AWSServiceRoleForSecurityLakeResourceManagement"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::[regional-datalake-s3-bucket-name]"
        },
        "StringLike": {
            "kms:ViaService": "s3.[region].amazonaws.com"
        }
    }
},

Modifier le rôle lié au service Security Lake

Security Lake ne vous permet pas de modifier le rôle AWSServiceRoleForSecurityLakeResourceManagement lié à un service. Une fois qu'un rôle lié à un service est créé, vous ne pouvez pas modifier le nom du rôle car différentes entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Suppression du rôle lié au service Security Lake

Vous ne pouvez pas supprimer le rôle lié à un service de Security Lake. Vous pouvez plutôt supprimer le rôle lié à un service depuis la console IAM, l'API ou. AWS CLI Pour plus d’informations, consultez la section Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Avant de supprimer le rôle lié à un service, vous devez d'abord vérifier que le rôle ne comporte aucune session active et supprimer toutes les ressources qu'AWSServiceRoleForSecurityLakeResourceManagementil utilise.

Note

Si Security Lake utilise le AWSServiceRoleForSecurityLakeResourceManagement rôle lorsque vous essayez de supprimer les ressources, la suppression peut échouer. Dans ce cas, patientez quelques minutes, puis recommencez l'opération.

Si vous supprimez le rôle AWSServiceRoleForSecurityLakeResourceManagement lié au service et que vous devez le créer à nouveau, vous pouvez le créer à nouveau en activant Security Lake pour votre compte. Lorsque vous réactivez Security Lake, Security Lake crée automatiquement à nouveau le rôle lié au service pour vous.

Pris en charge Régions AWS pour le rôle lié aux services de Security Lake

Security Lake prend en charge l'utilisation du rôle AWSServiceRoleForSecurityLakeResourceManagement lié aux services partout Régions AWS où Security Lake est disponible. Pour obtenir la liste des régions dans lesquelles Security Lake est actuellement disponible, consultezRégions et points de terminaison de Security Lake.