Aggiornare una politica di attendibilità dei ruoli

Per modificare una politica di fiducia nei ruoli in AWS Management Console

1. Accedi a AWS Management Console e apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione della IAM console, scegli Ruoli.

3. Nell'elenco di ruoli dell'account selezionare il nome del ruolo da modificare.

4. Scegli la scheda Relazioni di attendibilità e quindi Modifica policy di attendibilità.

5. Modificare la policy di affidabilità in base alle esigenze. Per aggiungere ulteriori entità principali che possono assumere il ruolo, specificarle nell'elemento Principal. Ad esempio, il seguente frammento di policy mostra come fare riferimento a due Account AWS nell'Principalelemento:

   "Principal": {
     "AWS": [
       "arn:aws:iam::111122223333:root",
       "arn:aws:iam::444455556666:root"
     ]
   },

   Se specifichi un'entità principale in un altro account, l'aggiunta di un account alla policy di attendibilità di un ruolo è solo una parte della creazione della relazione di trust tra più account. Per impostazione predefinita, gli utenti negli account attendibili non possono assumere il ruolo. L'amministratore del nuovo account attendibile deve concedere agli utenti l'autorizzazione ad assumere il ruolo. A tale scopo, l'amministratore deve creare o modificare una policy collegata all'utente per consentire all'utente di accedere all'operazione sts:AssumeRole. Per ulteriori informazioni, consultare la procedura seguente o Concedere a un utente le autorizzazioni per cambiare ruolo.

   Il seguente frammento di policy mostra come fare riferimento a due AWS servizi nell'elemento: Principal

   "Principal": {
     "Service": [
       "opsworks.amazonaws.com",
       "ec2.amazonaws.com"
     ]
   },

6. Una volta completata la modifica della policy di attendibilità, scegli Update policy (Aggiorna policy) per salvare le modifiche.

   Per ulteriori informazioni sulla sintassi e sulla struttura della policy, consultare Politiche e autorizzazioni in AWS Identity and Access Management e IAMJSONriferimento all'elemento della politica.

Per permettere agli utenti in un account esterno attendibile di usare il ruolo (console)

Per ulteriori informazioni e dettagli su questa procedura, consultare Concedere a un utente le autorizzazioni per cambiare ruolo.

1. Accedi a un sito esterno affidabile. Account AWS

2. Stabilire se collegare le autorizzazioni a un utente o a un gruppo. Nel riquadro di navigazione della IAM console, scegli Utenti o Gruppi di utenti di conseguenza.

3. Scegliere il nome dell'utente o del gruppo a cui si desidera concedere l'accesso e selezionare la scheda Permissions (Autorizzazioni).

4. Esegui una di queste operazioni:

   • Per modificare una politica gestita dal cliente, scegli il nome della politica, scegli Modifica politica, quindi scegli la JSONscheda. Non puoi modificare una politica AWS gestita. AWS le politiche gestite vengono visualizzate con l' AWS icona ( ). Per ulteriori informazioni sulle differenze tra le policy gestite da AWS e quelle gestite dal cliente, consultare Policy gestite e policy inline.

   • Per modificare una policy inline, selezionare la freccia accanto al nome della policy e scegliere Edit policy (Modifica policy).

5. Nell'editor di policy aggiungere un nuovo elemento Statement che specifica quanto segue:

   {
     "Effect": "Allow",
     "Action": "sts:AssumeRole",
     "Resource": "arn:aws:iam::ACCOUNT-ID:role/ROLE-NAME"
   }

   Sostituisci ARN nella dichiarazione ARN il ruolo che l'utente può assumere.

6. Seguire le indicazioni sullo schermo per completare la modifica della policy.

Per modificare una policy di attendibilità del ruolo (AWS CLI)

1. (Facoltativo) Se non si conosce il nome del ruolo da modificare, eseguire il comando seguente per elencare i ruoli nell'account:

   • aws iam list-roles

2. (Facoltativo) Per visualizzare la policy di affidabilità corrente per un ruolo, eseguire il comando seguente:

   • aws iam get-role

3. Per modificare le entità principali attendibili che possono accedere al ruolo, creare un file di testo con la policy di affidabilità aggiornata. È possibile usare qualsiasi editor di testo per creare la policy.

   Ad esempio, la policy di attendibilità seguente illustra come fare riferimento a due Account AWS nell'elemento Principal. Ciò consente agli utenti di due persone separate Account AWS di assumere questo ruolo.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Allow",
           "Principal": {"AWS": [
               "arn:aws:iam::111122223333:root",
               "arn:aws:iam::444455556666:root"
           ]},
           "Action": "sts:AssumeRole"
       }
   }

   Se specifichi un'entità principale in un altro account, l'aggiunta di un account alla policy di attendibilità di un ruolo è solo una parte della creazione della relazione di trust tra più account. Per impostazione predefinita, gli utenti negli account attendibili non possono assumere il ruolo. L'amministratore del nuovo account attendibile deve concedere agli utenti l'autorizzazione ad assumere il ruolo. A tale scopo, l'amministratore deve creare o modificare una policy collegata all'utente per consentire all'utente di accedere all'operazione sts:AssumeRole. Per ulteriori informazioni, consultare la procedura seguente o Concedere a un utente le autorizzazioni per cambiare ruolo.

4. Per utilizzare il file creato per aggiornare la policy di attendibilità, eseguire il comando seguente:

   • era io update-assume-role-policy

Per permettere agli utenti in un account esterno attendibile di usare il ruolo (AWS CLI)

Per ulteriori informazioni e dettagli su questa procedura, consultare Concedere a un utente le autorizzazioni per cambiare ruolo.

1. Crea un JSON file che contenga una politica di autorizzazioni che conceda le autorizzazioni per assumere il ruolo. La policy seguente contiene ad esempio le autorizzazioni minime necessarie:

   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": "arn:aws:iam::ACCOUNT-ID-THAT-CONTAINS-ROLE:role/ROLE-NAME"
     }
   }

   Sostituisci il ARN contenuto della dichiarazione con il ARN ruolo che l'utente può assumere.

2. Esegui il comando seguente per caricare il JSON file che contiene la politica di fiducia suIAM:

   • aws iam create-policy

   L'output di questo comando include ARN la politica. Prendi nota di ciò ARN perché ti servirà in un passaggio successivo.

3. Stabilire a quale utente o gruppo collegare la policy. Se non si conosce il nome dell'utente o del gruppo desiderato, usare uno dei comandi seguenti per elencare gli utenti o i gruppi nell'account:

   • aws iam list-users

   • aws iam list-groups

4. Usare uno dei comandi seguenti per collegare la policy creata nel passaggio precedente all'utente o al gruppo:

   • era Sam attach-user-policy

   • era io attach-group-policy

Per modificare una politica di attendibilità del ruolo (AWS API)

1. (Facoltativo) Se non si conosce il nome del ruolo che si desidera modificare, chiamare l'operazione seguente per elencare i ruoli nell'account:

   • ListRoles

2. (Facoltativo) Per visualizzare la policy di affidabilità corrente per un ruolo, chiamare l'operazione seguente:

   • GetRole

3. Per modificare le entità principali attendibili che possono accedere al ruolo, creare un file di testo con la policy di affidabilità aggiornata. È possibile usare qualsiasi editor di testo per creare la policy.

   Ad esempio, la policy di attendibilità seguente illustra come fare riferimento a due Account AWS nell'elemento Principal. Ciò consente agli utenti all'interno di due Account AWS paesi diversi di assumere questo ruolo.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Effect": "Allow",
           "Principal": {"AWS": [
               "arn:aws:iam::111122223333:root",
               "arn:aws:iam::444455556666:root"
           ]},
           "Action": "sts:AssumeRole"
       }
   }

   Se specifichi un'entità principale in un altro account, l'aggiunta di un account alla policy di attendibilità di un ruolo è solo una parte della creazione della relazione di trust tra più account. Per impostazione predefinita, gli utenti negli account attendibili non possono assumere il ruolo. L'amministratore del nuovo account attendibile deve concedere agli utenti l'autorizzazione ad assumere il ruolo. A tale scopo, l'amministratore deve creare o modificare una policy collegata all'utente per consentire all'utente di accedere all'operazione sts:AssumeRole. Per ulteriori informazioni, consultare la procedura seguente o Concedere a un utente le autorizzazioni per cambiare ruolo.

4. Per utilizzare il file creato per aggiornare la policy di attendibilità, chiamare l'operazione seguente:

   • UpdateAssumeRolePolicy

Per consentire agli utenti di un account esterno affidabile di utilizzare il ruolo (AWS API)

Per ulteriori informazioni e dettagli su questa procedura, consultare Concedere a un utente le autorizzazioni per cambiare ruolo.

1. Crea un JSON file che contenga una politica di autorizzazioni che conceda le autorizzazioni per assumere il ruolo. La policy seguente contiene ad esempio le autorizzazioni minime necessarie:

   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": "arn:aws:iam::ACCOUNT-ID-THAT-CONTAINS-ROLE:role/ROLE-NAME"
     }
   }

   Sostituisci il ARN contenuto della dichiarazione con il ARN ruolo che l'utente può assumere.

2. Effettua la seguente operazione per caricare il JSON file che contiene la politica di attendibilità suIAM:

   • CreatePolicy

   L'output di questa operazione include ARN la politica. Prendi nota di ciò ARN perché ti servirà in un passaggio successivo.

3. Stabilire a quale utente o gruppo collegare la policy. Se non si conosce il nome dell'utente o del gruppo desiderato, chiamare una delle operazioni seguenti per elencare gli utenti o i gruppi nell'account:

   • ListUsers

   • ListGroups

4. Chiamare una delle operazioni seguenti per collegare la policy creata nel passaggio precedente all'utente o al gruppo:

   • API: AttachUserPolicy

   • AttachGroupPolicy