Utilizzo di ruoli collegati ai servizi per Amazon

Aurora utilizza AWS Identity and Access Management (IAM) ruoli collegati ai servizi. Un ruolo collegato ai servizi è un tipo di IAM ruolo unico collegato direttamente ad Amazon Aurora. I ruoli collegati ai servizi sono predefiniti da Amazon RDS Amazon e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato ai servizi semplifica l' di Amazon Amazon RDS Aurora perché non è necessario aggiungere manualmente le autorizzazioni necessarie. Amazon Aurora definisce le autorizzazioni dei suoi ruoli collegati ai servizi e, se non diversamente definito, solo Amazon RDS Amazon può assumerne i ruoli. Le autorizzazioni definite includono la politica di fiducia e la politica di autorizzazione e tale politica di autorizzazione non può essere associata a nessun'altra entità. IAM

È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. Questo protegge le tue risorse Amazon Aurora perché non puoi rimuovere inavvertitamente l'autorizzazione ad accedere alle risorse.

Per informazioni su altri servizi che supportano ruoli collegati ai servizi, consulta i AWS servizi che funzionano con IAM e cerca i servizi con Sì nella colonna Service-Linked Role. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Il ruolo AWSServiceRoleForRDS collegato al servizio prevede che i seguenti servizi assumano il ruolo:

A questo ruolo collegato ai servizi è collegata un policy di autorizzazione denominata AmazonRDSServiceRolePolicy che concede le autorizzazioni per operare nell'account.

Per ulteriori informazioni su questa politica, incluso il documento relativo alla JSON policy, vedere A mazonRDSService RolePolicy nella AWS Managed Policy Reference Guide.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}
    

Creazione di un ruolo collegato ai servizi per Amazon

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando crei un cluster di DB, Aurora crea il ruolo collegato al servizio per te.

Se elimini questo ruolo collegato ai servizi, puoi ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando crei un cluster di DB, Amazon Aurora crea nuovamente il ruolo collegato al servizio per te.

Modifica di un ruolo collegato ai servizi per Amazon

Amazon Aurora non consente di modificare il ruolo collegato al AWSServiceRoleForRDS servizio. Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. Tuttavia, puoi modificare la descrizione del ruolo utilizzando. IAM Per ulteriori informazioni, consulta Modifica di un ruolo collegato al servizio nella Guida per l'IAMutente.

Se non è più necessario utilizzare una caratteristica o un servizio che richiede un ruolo collegato ai servizi, ti consigliamo di eliminare quel ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, prima di poter eliminare il ruolo collegato al servizio, devi eliminare tutti i cluster database.

Pulizia di un ruolo collegato ai servizi

Prima di poter eliminare un ruolo collegato IAM al servizio, devi prima confermare che il ruolo non abbia sessioni attive e rimuovere tutte le risorse utilizzate dal ruolo.

Se desideri rimuovere il AWSServiceRoleForRDS ruolo, devi prima eliminare tutti i cluster di DB.

Eliminazione di tutti i cluster

Utilizza una delle procedure seguenti per eliminare un singolo cluster. Ripeti la procedura per ogni cluster.

Per eliminare un cluster (CLI)

Consulta delete-db-cluster in Riferimento ai comandi AWS CLI .

Per eliminare un cluster (API)

Vedi DeleteDBCluster nell'Amazon RDS API Reference.

Puoi utilizzare la IAM console IAMCLI, il o il IAM API per eliminare il ruolo AWSServiceRoleForRDS collegato al servizio. Per ulteriori informazioni, vedere Eliminazione di un ruolo collegato al servizio nella Guida per l'utente. IAM

Autorizzazioni di ruolo collegate ai servizi per Amazon Beta RDS

Amazon Aurora utilizza il ruolo collegato ai servizi denominato per AWSServiceRoleForRDSBeta consentire ad Amazon RDS Amazon di chiamare i AWS servizi per conto delle tue risorse DB. RDS

Il ruolo AWSServiceRoleForRDSBeta collegato al servizio prevede che i seguenti servizi assumano il ruolo:

A questo ruolo collegato ai servizi è collegata un policy di autorizzazione denominata AmazonRDSBetaServiceRolePolicy che concede le autorizzazioni per operare nell'account. Per ulteriori informazioni, consulta AWS politica gestita: A mazonRDSBeta ServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSBetaServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Ruolo collegato ai servizi per Amazon Preview RDS

Amazon Aurora utilizza il ruolo collegato ai servizi denominato per AWSServiceRoleForRDSPreview consentire ad Amazon RDS Amazon di chiamare i AWS servizi per conto delle tue risorse DB. RDS

Il ruolo AWSServiceRoleForRDSPreview collegato al servizio prevede che i seguenti servizi assumano il ruolo:

A questo ruolo collegato ai servizi è collegata un policy di autorizzazione denominata AmazonRDSPreviewServiceRolePolicy che concede le autorizzazioni per operare nell'account. Per ulteriori informazioni, consulta AWS politica gestita: A mazonRDSPreview ServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSPreviewServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}