Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Rôles liés à un service pour IPAM
L'IPAM utilise des rôles AWS Identity and Access Management liés à un service (IAM). Un rôle lié à un service est un type unique de rôle IAM. Les rôles liés à un service sont prédéfinis par l'IPAM et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom.
Un rôle lié à un service facilite la configuration d'IPAM car il n'est pas nécessaire d'ajouter manuellement les autorisations nécessaires. IPAM définit les autorisations associées à ses rôles liés aux services et, sauf indication contraire, seul l'IPAM peut assumer ses rôles. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.
Autorisations de rôles liés à un service
IPAM utilise le rôle lié au service AWSServiceRoleForIPAM pour appeler les actions de la politique gérée ci-jointe. AWSIPAMServiceRolePolicy Pour plus d'informations sur les actions autorisées dans cette stratégie, consultez AWS politiques gérées pour IPAM.
Le rôle lié au service est également associé à une politique de confiance IAM qui permet au ipam.amazonaws.com service d'assumer le rôle lié au service.
Création du rôle lié à un service
L'IPAM surveille l'utilisation des adresses IP dans un ou plusieurs comptes en assumant le rôle lié au service dans un compte, en découvrant les ressources et les leurs CIDRs, et en intégrant les ressources à IPAM.
Le rôle lié à un service est créé de l'une des deux manières suivantes :
-
Lors de votre intégration à AWS Organisations
Si vous Intégrer l'IPAM aux comptes d'une organisation AWS utilisez la console IPAM ou la
enable-ipam-organization-admin-accountAWS CLI commande, le rôle lié au service AWSServiceRoleForIPAM est automatiquement créé dans chacun des comptes membres de vos Organizations AWS . Par conséquent, les ressources de tous les comptes membres sont détectables par IPAM.Important
Pour qu'IPAM crée le rôle lié au service en votre nom :
-
Le compte de gestion des AWS Organisations qui permet l'intégration d'IPAM aux AWS Organizations doit être associé à une politique IAM autorisant les actions suivantes :
-
ec2:EnableIpamOrganizationAdminAccount -
organizations:EnableAwsServiceAccess -
organizations:RegisterDelegatedAdministrator -
iam:CreateServiceLinkedRole
-
-
Le compte IPAM doit être associé à une politique IAM qui autorise l'action
iam:CreateServiceLinkedRole.
-
-
Lorsque vous créez un IPAM à l'aide d'un seul compte AWS
Si c'est le casUtilisation d'IPAM avec un seul compte, le rôle lié au service AWSServiceRoleForIPAM est automatiquement créé lorsque vous créez un IPAM en tant que compte.
Important
Si vous utilisez IPAM avec un seul AWS compte, avant de créer un IPAM, vous devez vous assurer que le AWS compte que vous utilisez est associé à une politique IAM autorisant l'action.
iam:CreateServiceLinkedRoleLorsque vous créez l'IPAM, vous créez automatiquement le rôle lié au service AWSServiceRoleForIPAM. Pour plus d'informations sur la gestion des politiques IAM, voir Modifier la description d'un rôle lié à un service dans le Guide de l'utilisateur IAM.
Modifier le rôle lié à un service
Vous ne pouvez pas modifier le rôle AWSServiceRoleForlié au service IPAM.
Supprimer le rôle lié à un service
Si vous n'avez plus besoin d'utiliser IPAM, nous vous recommandons de supprimer le rôle lié au service AWSServiceRoleForIPAM.
Note
Vous pouvez supprimer le rôle lié à un service après que vous avez supprimé toutes les ressources IPAM de votre compte AWS . Ainsi, vous ne pouvez pas involontairement supprimer la capacité de contrôle d'IPAM.
Procédez comme suit pour supprimer le rôle lié au service via la CLI AWS :
Supprimez vos ressources IPAM à l'aide de deprovision-ipam-pool-cidr
et supprimez-ipam . Pour plus d’informations, consultez Déprovisionnement CIDRs depuis un pool et Suppression d'un IPAM. Désactivez le compte IPAM avec disable-ipam-organization-admin-account
. Désactivez le service IPAM à disable-aws-service-access
l'aide de l' --service-principal ipam.amazonaws.com.rproxy.goskope.comoption.Supprimez le rôle lié au service :. delete-service-linked-role
Lorsque vous supprimez le rôle lié à un service, la stratégie gérée par IPAM est également supprimée. Pour plus d’informations, consultez Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.
