IAMruoli

Un'IAMidentità che puoi creare nel tuo account con autorizzazioni specifiche. Un IAM ruolo presenta alcune somiglianze con un IAM utente. Ruoli e utenti sono entrambi identità AWS con policy di autorizzazioni che determinano ciò che l'identità può o non può fare in AWS. Tuttavia, invece di essere associato in modo univoco a una persona, un ruolo è destinato a essere assunto da chiunque. Inoltre, un ruolo non ha credenziali a lungo termine standard associate (password o chiavi di accesso). Tuttavia, quando assumi un ruolo, vengono fornite le credenziali di sicurezza provvisorie per la sessione del ruolo.

I ruoli possono essere assunti nei seguenti modi:

Un ruolo di servizio è un IAMruolo che un servizio assume per eseguire azioni per conto dell'utente. Un IAM amministratore può creare, modificare ed eliminare un ruolo di servizio dall'internoIAM. Per ulteriori informazioni, consulta Creare un ruolo per delegare le autorizzazioni a un utente Servizio AWS nella Guida per l'IAMutente.

Un ruolo collegato al servizio è un tipo di ruolo di servizio collegato a un. Servizio AWS Il servizio può assumere il ruolo per eseguire un'azione per tuo conto. I ruoli collegati al servizio vengono visualizzati in Account AWS e sono di proprietà del servizio. Un IAM amministratore può visualizzare, ma non modificare le autorizzazioni per i ruoli collegati al servizio.

Per informazioni su quali servizi supportano i ruoli collegati ai servizi, consulta la pagina AWS servizi che funzionano con IAM e cerca i servizi per cui è indicato Sì nella colonna Ruolo collegato ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio. Per ulteriori informazioni, consulta Creazione di un ruolo collegato ai servizi.

Il concatenamento dei ruoli si verifica quando si utilizza un ruolo per assumere un secondo ruolo tramite la sala operatoria. AWS CLI API Ad esempio, RoleA dispone dell'autorizzazione per assumere il ruolo RoleB. È possibile consentire a User1 di assumere RoleA utilizzando le proprie credenziali utente a lungo termine durante l'operazione. AssumeRole API Questa restituisce le credenziali a breve termine del ruolo RoleA. Con la concatenazione del ruolo, puoi utilizzare le credenziali a breve termine del ruolo RoleA per abilitare l'Utente1 ad assumere il ruolo RoleB.

Quando assumi un ruolo, puoi passare un tag di sessione e impostare il tag come transitivo. I tag di sessione transitivi vengono passati a tutte le sessioni successive in una concatenazione del ruolo. Per ulteriori informazioni sui tag di sessione, consulta Passa i tag di sessione AWS STS.

Il concatenamento dei ruoli limita la sessione AWS CLI o la sessione di AWS API ruolo a un massimo di un'ora. Quando si utilizza l'AssumeRoleAPIoperazione per assumere un ruolo, è possibile specificare la durata della sessione di ruolo con il DurationSeconds parametro. Puoi specificare un valore di parametro fino a 43200 secondi (12 ore), che dipende dall'impostazione della durata massima della sessione per il tuo ruolo. Tuttavia, se assumi un ruolo utilizzando la concatenazione dei ruoli e fornisci un valore del parametro DurationSeconds maggiore di un'ora, l'operazione ha esito negativo.

La concessione delle autorizzazioni a un altro utente per permettere l'accesso alle risorse di controllo. La delega comporta la configurazione di un trust tra due account. Il primo è l'account proprietario della risorsa (l'account che concede fiducia). Il secondo è l'account che contiene gli utenti che devono accedere alla risorsa (l'account attendibile). L'account a cui viene concessa fiducia e l'account che concede fiducia possono essere uno dei seguenti:

Per delegare l'autorizzazione all'accesso a una risorsa, crei un IAM ruolo nell'account di fiducia a cui sono allegate due politiche. Le policy di autorizzazioni concedono all'utente del ruolo le autorizzazioni necessarie per eseguire le attività previste sulla risorsa. La policy di attendibilità specifica quali membri degli account a cui viene concessa fiducia sono autorizzati ad assumere il ruolo.

Quando si crea una politica di attendibilità, non è possibile specificare un carattere jolly (*) come parte e ARN nell'elemento principale. La policy di affidabilità è associata al ruolo nell'account che concede fiducia e rappresenta una metà delle autorizzazioni. L'altra metà è una policy delle autorizzazioni collegata all'utente nell'account a cui viene concessa fiducia che consente a quell'utente di passare al ruolo o di assumerlo. Un utente che assume un ruolo temporaneamente cede le proprie autorizzazioni e ottiene le autorizzazioni del ruolo. Quando l'utente esce o termina l'utilizzo del ruolo, le autorizzazioni originali dell'utente vengono ripristinate. Un parametro aggiuntivo chiamato external ID contribuisce a garantire sicuro l'uso dei ruoli tra gli account che non vengono controllati dalla stessa organizzazione.

Un documento di JSON policy in cui si definiscono i principi di cui ci si fida per l'assunzione del ruolo. Una politica di fiducia dei ruoli è una politica necessaria basata sulle risorse associata a un ruolo in. IAM I principali che è possibile specificare nella policy di attendibilità includono utenti, ruoli, account e servizi.

Un ruolo che concede l'accesso alle risorse in un account a un principale affidabile in un diverso account. I ruoli sono lo strumento principale per concedere l'accesso multi-account. Tuttavia, alcuni AWS servizi consentono di allegare una policy direttamente a una risorsa (anziché utilizzare un ruolo come proxy). Queste sono chiamate politiche basate sulle risorse ed è possibile utilizzarle per concedere ai responsabili di un'altra persona l' Account AWS accesso alla risorsa. Alcune di queste risorse includono bucket Amazon Simple Storage Service (S3), vault S3 Glacier, argomenti di Amazon Simple Notification Service (SNS) e code Amazon Simple Queue Service (). SQS Per informazioni su quali servizi supportano le policy basate su risorse, consulta AWS servizi che funzionano con IAM. Per ulteriori informazioni sulle policy basate sulle risorse, consulta Accesso alle risorse su più account in IAM.