Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo dei ruoli collegati ai servizi per MemoryDB

MemoryDB utilizza ruoli collegati al servizio AWS Identity and Access Management (IAM). Un ruolo collegato al servizio è un tipo unico di IAM ruolo collegato direttamente a un AWS servizio, come MemoryDB. I ruoli collegati ai servizi MemoryDB sono predefiniti da MemoryDB. Includono tutte le autorizzazioni necessarie al servizio per richiamare servizi AWS per conto dei cluster.

Un ruolo collegato al servizio semplifica la configurazione di MemoryDB perché non è necessario aggiungere manualmente le autorizzazioni necessarie. I ruoli esistono già all'interno dell' AWS account ma sono collegati ai casi d'uso di MemoryDB e dispongono di autorizzazioni predefinite. Solo MemoryDB può assumere questi ruoli e solo questi ruoli possono utilizzare la politica di autorizzazioni predefinita. È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. Ciò protegge le risorse di MemoryDB perché non è possibile rimuovere inavvertitamente le autorizzazioni necessarie per accedere alle risorse.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, consulta AWS Servizi con cui funziona IAM e cerca i servizi con Sì nella colonna Ruolo collegato ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni di ruolo collegate ai servizi per MemoryDB

MemoryDB utilizza il ruolo collegato al servizio denominato AWSServiceRoleForMemoryDB: questa politica consente a MemoryDB di gestire le risorse per conto dell'utente, se necessario per la gestione AWS dei cluster.

La politica di autorizzazione dei ruoli AWSServiceRoleForMemoryDB collegati al servizio consente a MemoryDB di completare le seguenti azioni sulle risorse specificate:

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "CreateMemoryDBTagsOnNetworkInterfaces",
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateTags"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:CreateAction": "CreateNetworkInterface"
                    },
                    "ForAllValues:StringEquals": {
                        "aws:TagKeys": [
                            "AmazonMemoryDBManaged"
                        ]
                    }
                }
            },
            {   
                "Sid": "CreateNetworkInterfaces",
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateNetworkInterface"
                ],
                "Resource": [
                    "arn:aws:ec2:*:*:network-interface/*",
                    "arn:aws:ec2:*:*:subnet/*",
                    "arn:aws:ec2:*:*:security-group/*"
                ]
            },
            {
                "Sid": "DeleteMemoryDBTaggedNetworkInterfaces",
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:ResourceTag/AmazonMemoryDBManaged": "true"
                    }
                }
            },
            {
                "Sid": "DeleteNetworkInterfaces",
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:security-group/*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DescribeSecurityGroups",
                    "ec2:DescribeNetworkInterfaces",
                    "ec2:DescribeAvailabilityZones",
                    "ec2:DescribeSubnets",
                    "ec2:DescribeVpcs"
                ],
                "Resource": "*"
            },
            {
                "Sid": "PutCloudWatchMetricData",
                "Effect": "Allow",
                "Action": [
                    "cloudwatch:PutMetricData"
                ],
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "cloudwatch:namespace": "AWS/MemoryDB"
                    }
                }
            },
	      {
	          "Sid": "ReplicateMemoryDBMultiRegionClusterData",
		    "Effect": "Allow",
		    "Action": [
			      "memorydb:ReplicateMultiRegionClusterData"
		    ],
		    "Resource": "arn:aws:memorydb:*:*:cluster/*"
 		}
          ]
    }

Per ulteriori informazioni, consulta AWS politica gestita: M emoryDBService RolePolicy.

Per consentire a un'IAMentità di creare ruoli collegati ai servizi AWSServiceRoleForMemoryDB

Aggiungi l'istruzione della policy seguente alle autorizzazioni per l'entità IAM:

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

Per consentire a un'IAMentità di eliminare i ruoli collegati al servizio AWSServiceRoleForMemoryDB

Aggiungi l'istruzione della policy seguente alle autorizzazioni per l'entità IAM:

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

In alternativa, è possibile utilizzare una policy AWS gestita per fornire l'accesso completo a MemoryDB.

Creazione di un ruolo collegato ai servizi (IAM)

È possibile creare un ruolo collegato al servizio utilizzando la IAM console, o. CLI API

Creazione di un ruolo collegato ai servizi (console IAM)

Puoi utilizzare la console IAM per creare un ruolo collegato ai servizi.

Creazione di un ruolo collegato al servizio () IAM CLI

È possibile utilizzare IAM le operazioni di AWS Command Line Interface per creare un ruolo collegato al servizio. Questo ruolo può includere la policy di attendibilità e le policy inline che il servizio richiede per assumere il ruolo.

Per creare un ruolo collegato ai servizi (CLI)

Attenersi alle operazioni seguenti:

$ aws iam create-service-linked-role --aws-service-name memorydb.amazonaws.com

Creazione di un ruolo collegato al servizio () IAM API

È possibile utilizzare il IAM API per creare un ruolo collegato al servizio. Questo ruolo può contenere la policy di attendibilità e le policy inline che il servizio richiede per assumere il ruolo.

Per creare un ruolo collegato ai servizi (API)

Usa il CreateServiceLinkedRole APIchiamata. Nella richiesta, specificare un nome del servizio di memorydb.amazonaws.com.

Modifica della descrizione di un ruolo collegato ai servizi per MemoryDB

MemoryDB non consente di modificare il ruolo collegato al servizio. AWSServiceRoleForMemoryDB Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. Puoi tuttavia modificare la descrizione del ruolo utilizzando IAM.

Modifica della descrizione di un ruolo collegato ai servizi (console IAM)

È possibile utilizzare la console IAM per modificare la descrizione di un ruolo collegato ai servizi.

Modifica della descrizione di un ruolo collegato al servizio () IAM CLI

È possibile utilizzare IAM le operazioni di AWS Command Line Interface per modificare la descrizione di un ruolo collegato al servizio.

Modifica della descrizione di un ruolo collegato al servizio () IAM API

È possibile utilizzare il IAM API per modificare la descrizione di un ruolo collegato al servizio.

Eliminazione di un ruolo collegato ai servizi per MemoryDB

Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario effettuare la pulizia delle risorse associate al ruolo collegato ai servizi prima di poterlo eliminare.

MemoryDB non elimina automaticamente il ruolo collegato al servizio.

Pulizia di un ruolo collegato ai servizi

Prima di poter eliminare un ruolo collegato IAM al servizio, verificate innanzitutto che al ruolo non siano associate risorse (cluster).

Eliminazione di un ruolo collegato ai servizi (console IAM)

È possibile utilizzare la console IAM per eliminare un ruolo collegato ai servizi.

Eliminazione di un ruolo collegato al servizio () IAM CLI

È possibile utilizzare IAM le operazioni di AWS Command Line Interface per eliminare un ruolo collegato al servizio.

Eliminazione di un ruolo collegato al servizio () IAM API

È possibile utilizzare il IAM API per eliminare un ruolo collegato al servizio.