View a markdown version of this page

Comprendere i ruoli collegati ai servizi - Amazon DocumentDB
Service-linked autorizzazioni di ruoloCreazione di un ruolo collegato ai serviziModifica di un ruolo collegato al servizioEliminazione del ruolo collegato ai serviziRegioni supportate per i ruoli collegati al servizio Amazon DocumentDB

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Comprendere i ruoli collegati ai servizi

Amazon DocumentDB (con compatibilità con MongoDB) utilizza ruoli collegati ai servizi AWS Identity and Access Management (IAM). Un ruolo collegato ai servizi è un tipo unico di ruolo IAM collegato direttamente ad Amazon DocumentDB. Service-linked i ruoli sono predefiniti da Amazon DocumentDB e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato ai servizi semplifica l'utilizzo di Amazon DocumentDB perché non è necessario aggiungere manualmente le autorizzazioni necessarie. Amazon DocumentDB definisce le autorizzazioni dei suoi ruoli collegati ai servizi e, salvo diversa definizione, solo Amazon DocumentDB può assumerne i ruoli. Le autorizzazioni definite includono la policy di trust e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un’altra entità IAM.

È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. Questo protegge le tue risorse Amazon DocumentDB perché non puoi rimuovere inavvertitamente l'autorizzazione di accesso alle risorse.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, consulta AWS Services That Work with IAM e cerca i servizi che hanno Sì nella colonna Ruolo. Service-Linked Scegliere Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato al servizio per tale servizio.

Autorizzazioni per i ruoli collegati ai servizi Amazon DocumentDB

Amazon DocumentDB (con compatibilità con MongoDB) utilizza il ruolo collegato ai servizi denominato AWSServiceRoleForRDS per consentire ad Amazon DocumentDB di chiamare AWS i servizi per conto dei tuoi cluster.

Il ruolo AWSServiceRoleForRDS collegato ai servizi prevede che i seguenti servizi assumano il ruolo:

  • docdb.amazonaws.com

La politica delle autorizzazioni dei ruoli consente ad Amazon DocumentDB di completare le seguenti azioni sulle risorse specificate:

  • Operazioni su ec2:

    • AssignPrivateIpAddresses

    • AuthorizeSecurityGroupIngress

    • CreateNetworkInterface

    • CreateSecurityGroup

    • DeleteNetworkInterface

    • DeleteSecurityGroup

    • DescribeAvailabilityZones

    • DescribeInternetGateways

    • DescribeSecurityGroups

    • DescribeSubnets

    • DescribeVpcAttribute

    • DescribeVpcs

    • ModifyNetworkInterfaceAttribute

    • RevokeSecurityGroupIngress

    • UnassignPrivateIpAddresses

  • Operazioni su sns:

    • ListTopic

    • Publish

  • Operazioni su cloudwatch:

    • PutMetricData

    • GetMetricData

    • CreateLogStream

    • PullLogEvents

    • DescribeLogStreams

    • CreateLogGroup

Nota

Per consentire a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio è necessario configurare le relative autorizzazioni. Potrebbe essere visualizzato il messaggio di errore seguente:

Unable to create the resource. (Impossibile creare la risorsa. Verify that you have permission to create service linked role. (Verifica di possedere le autorizzazioni necessarie per creare un ruolo collegato ai servizi.) Otherwise wait and try again later. (In caso contrario, attendi e riprova più tardi.

Se viene visualizzato questo errore, verifica che le autorizzazioni seguenti siano abilitate:

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}

Per ulteriori informazioni, consulta Service-Linked Role Permissions nella IAM User Guide.

Creazione di un ruolo collegato al servizio Amazon DocumentDB

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando crei un cluster, Amazon DocumentDB crea il ruolo collegato al servizio per te.

Se devi ricreare un ruolo collegato ai servizi che hai precedentemente eliminato, puoi utilizzare lo stesso processo per ricreare il ruolo nel tuo account. Quando crei un cluster, Amazon DocumentDB crea nuovamente il ruolo collegato al servizio per te.

Modifica di un ruolo collegato al servizio Amazon DocumentDB

Amazon DocumentDB non consente di modificare il ruolo collegato al servizio. AWSServiceRoleForRDS Dopo avere creato un ruolo collegato al servizio, non sarà possibile modificarne il nome perché varie entità potrebbero farvi riferimento. Tuttavia, puoi modificare la descrizione del ruolo utilizzando IAM. Per ulteriori informazioni, consulta Modifica di un Service-Linked ruolo nella IAM User Guide.

Eliminazione di un ruolo collegato al servizio Amazon DocumentDB

Se non hai più bisogno di utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, elimina quel ruolo. In questo modo non hai un'entità inutilizzata che non viene monitorata o gestita attivamente. Tuttavia, prima di poter eliminare il ruolo collegato ai servizi, dovrai eliminare tutti i cluster .

Pulizia di un ruolo collegato al servizio Amazon DocumentDB

Prima di utilizzare IAM per eliminare un ruolo collegato ai servizi, devi innanzitutto verificare che il ruolo non abbia sessioni attive ed eliminare tutte le risorse utilizzate dal ruolo.

Per verificare la presenza di una sessione attiva del ruolo collegato ai servizi utilizzando la console

  1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo. https://console.aws.amazon.com/iam/

  2. Nel pannello di navigazione della console IAM, scegli Ruoli, quindi scegli il nome (non la casella di controllo) del AWSServiceRoleForRDS ruolo.

  3. Nella pagina Summary (Riepilogo) per il ruolo selezionato, scegliere la scheda Access Advisor (Consulente accessi).

  4. Nella scheda Access Advisor (Consulente accessi) esaminare l'attività recente per il ruolo collegato ai servizi.

    Nota

    Se non sei sicuro che Amazon DocumentDB stia utilizzando il AWSServiceRoleForRDS ruolo, puoi provare a eliminarlo. Se il servizio sta utilizzando il ruolo, l’eliminazione non andrà a buon fine e potrai visualizzare le regioni in cui il ruolo viene utilizzato. Se il ruolo è in uso, prima di poterlo eliminare dovrai attendere il termine della sessione. Non puoi revocare la sessione per un ruolo collegato al servizio.

Se desideri rimuovere il AWSServiceRoleForRDS ruolo, devi prima eliminare tutte le istanze e i cluster. Per informazioni sull'eliminazione delle istanze e dei cluster, consulta i seguenti argomenti:

Regioni supportate per i ruoli collegati al servizio Amazon DocumentDB

Amazon DocumentDB supporta l'utilizzo di ruoli collegati ai servizi in tutte le regioni in cui il servizio è disponibile. Per ulteriori informazioni, consulta https://docs.aws.amazon.com/documentdb/latest/devguide/regions-and-azs.html#regions-and-azs-availability.