Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
AWS Certificate Manager utilizza un ruolo collegato al servizio AWS Identity and Access Management (IAM) per consentire il rinnovo automatico dei certificati privati emessi da una CA privata per un altro account condiviso da. AWS Resource Access Manager Un ruolo collegato al servizio (SLR) è un ruolo IAM collegato direttamente al servizio ACM. SLRs sono predefiniti da ACM e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS
Il SLR semplifica la configurazione di ACM perché ti permette di evitare l'aggiunta manuale delle autorizzazioni necessarie per la firma automatica del certificato. ACM definisce le autorizzazioni di questo SLR e, salvo diversamente definito, solo ACM potrà assumere tale ruolo. Le autorizzazioni definite includono la policy di attendibilità e la policy delle autorizzazioni che non può essere collegata a nessun'altra entità IAM.
Per informazioni su altri servizi che supportano SLRs, consulta AWS Servizi che funzionano con IAM e cerca i servizi con Sì nella colonna Service-Linked Role. Scegli un link Yes (Sì) per visualizzare la documentazione relativa al SLR per tale servizio.
Autorizzazioni SLR per ACM
ACM utilizza una SLR denominata policy sui ruoli di servizio Certificate Manager di Amazon.
La AWSService RoleForCertificateManager SLR si fida dei seguenti servizi per l'assunzione del ruolo:
-
acm.amazonaws.com
La policy delle autorizzazioni del ruolo consente ad ACM di eseguire le seguenti operazioni sulle risorse specificate:
-
Operazioni:
acm-pca:IssueCertificate,acm-pca:GetCertificatesu "*"
Per permettere a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un SLR devi configurare le relative autorizzazioni. Per ulteriori informazioni, consulta Autorizzazioni del ruolo collegato ai servizi nella Guida per l'utente di IAM.
Importante
ACM potrebbe avvisarti che non è in grado di determinare se esiste un SLR sul tuo account. Se l'autorizzazione iam:GetRole richiesta è già stata concessa ad ACM SLR per il tuo account, l'avviso non si ripeterà dopo la creazione del SLR. In caso di ripetizione, l'utente o l'amministratore dell'account potrebbe essere necessario concedere l'autorizzazione iam:GetRole ad ACM o associare il proprio account con il AWSCertificateManagerFullAccess della policy gestito da ACM.
Creazione del SLR per ACM
Non devi creare manualmente il SLR utilizzato da ACM. Quando emetti un certificato ACM utilizzando l' AWS Management Console, l'o l' AWS API AWS CLI, ACM crea la SLR per te la prima volta che utilizzi una CA privata per un altro account condiviso per firmare il certificato. AWS RAM
Se ricevi messaggi che indicano che ACM non è in grado di determinare se esiste una SLR sul tuo account, è possibile che il tuo account non abbia concesso l'autorizzazione di lettura necessaria. CA privata AWS Ciò non impedirà l'installazione del SLR e sarà comunque possibile emettere certificati, ma ACM non sarà in grado di rinnovare automaticamente i certificati finché non verrà risolto il problema. Per ulteriori informazioni, consulta Problemi con il ruolo collegato al servizio ACM.
Importante
Questo SLR può apparire nell'account, se è stata completata un'operazione in un altro servizio che utilizza le caratteristiche supportate da questo ruolo. Inoltre, se utilizzavi il servizio ACM prima del 1° gennaio 2017, quando ha iniziato a supportare SLRs, ACM ha creato il AWSService RoleForCertificateManager ruolo nel tuo account. Per ulteriori informazioni, consulta Un nuovo ruolo è apparso nel mio account IAM.
Se elimini questo SLR e quindi devi crearlo di nuovo, puoi utilizzare uno dei seguenti metodi:
-
Nella console IAM, scegli Role, Create role, Certificate Manager per creare un nuovo ruolo con lo CertificateManagerServiceRolePolicyuse case.
-
Utilizzando l'API IAM CreateServiceLinkedRoleo il AWS CLI comando corrispondente create-service-linked-role, crea una SLR con il nome del
acm.amazonaws.com.rproxy.goskope.comservizio.
Per ulteriori informazioni, consulta Creazione di un ruolo collegato ai servizi nella Guida per l'utente IAM.
Modifica del SLR per ACM
ACM non consente di modificare il ruolo collegato al AWSService RoleForCertificateManager servizio. Dopo aver creato il SLR, non puoi modificare il relativo ruolo perché varie entità possono farvi riferimento. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, consulta la sezione Modifica di un ruolo collegato ai servizi nella Guida per l'utente di IAM.
Eliminazione del SLR per ACM
In genere non è necessario eliminare la reflex. AWSService RoleForCertificateManager Tuttavia, puoi eliminare il ruolo manualmente utilizzando la console IAM, AWS CLI o l' AWS API. Per ulteriori informazioni, consulta Eliminazione del ruolo collegato ai servizi nella Guida per l'utente di IAM.
Regioni supportate per ACM SLRs
ACM supporta l'utilizzo SLRs in tutte le regioni in cui sono disponibili sia ACM che ACM. CA privata AWS Per ulteriori informazioni, consulta AWS Regioni ed endpoint.
| Nome della Regione | Identità della regione | Supporto in ACM |
|---|---|---|
| US East (N. Virginia) | us-east-1 | Sì |
| Stati Uniti orientali (Ohio) | us-east-2 | Sì |
| US West (N. California) | us-west-1 | Sì |
| US West (Oregon) | us-west-2 | Sì |
| Asia Pacific (Mumbai) | ap-south-1 | Sì |
| Asia Pacifico (Osaka-Locale) | ap-northeast-3 | Sì |
| Asia Pacifico (Seul) | ap-northeast-2 | Sì |
| Asia Pacifico (Singapore) | ap-southeast-1 | Sì |
| Asia Pacifico (Sydney) | ap-southeast-2 | Sì |
| Asia Pacifico (Tokyo) | ap-northeast-1 | Sì |
| Canada (Central) | ca-central-1 | Sì |
| Europe (Frankfurt) | eu-central-1 | Sì |
| Europa (Zurigo) | eu-central-2 | Sì |
| Europa (Irlanda) | eu-west-1 | Sì |
| Europe (London) | eu-west-2 | Sì |
| Europe (Paris) | eu-west-3 | Sì |
| Sud America (São Paulo) | sa-east-1 | Sì |
| AWS GovCloud (Stati Uniti occidentali) | us-gov-west-1 | Sì |
| AWS GovCloud (Stati Uniti orientali) Est | us-gov-east-1 | Sì |
