Comprendere il ruolo del profilo di configurazione IAM

È possibile creare il IAM ruolo che fornisce l'accesso ai dati di configurazione utilizzando AWS AppConfig. Oppure puoi creare tu stesso il IAM ruolo. Se si crea il ruolo utilizzando AWS AppConfig, il sistema crea il ruolo e specifica una delle seguenti politiche di autorizzazione, a seconda del tipo di origine di configurazione scelta.

L'origine della configurazione è un segreto di Secrets Manager

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
             ],
            "Resource": [
                "arn:aws:secretsmanager:Regione AWS:account_ID:secret:secret_name-a1b2c3"
            ]
        }
    ]
}

L'origine della configurazione è un parametro Parameter Store

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter"
            ],
            "Resource": [
                "arn:aws:ssm:Regione AWS:account_ID:parameter/parameter_name"
            ]
        }
    ]
    }

L'origine della configurazione è un SSM documento

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetDocument"
            ],
            "Resource": [
                "arn:aws:ssm:Regione AWS:account_ID:document/document_name"
            ]
        }
    ]
}

Se si crea il ruolo utilizzando AWS AppConfig, il sistema crea anche la seguente relazione di trust per il ruolo.

{

  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "appconfig.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}