Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Utilizzo di ruoli collegati ai servizi per IAM Identity Center
Centro identità AWS IAM utilizza ruoli collegati ai servizi AWS Identity and Access Management (IAM). Un ruolo collegato ai servizi è un tipo unico di ruolo IAM collegato direttamente a IAM Identity Center. È predefinito da IAM Identity Center e include tutte le autorizzazioni necessarie al servizio per chiamare altri AWS servizi per conto dell'utente. Per ulteriori informazioni, consulta Informazioni sui ruoli collegati ai servizi in IAM Identity Center.
Un ruolo collegato ai servizi semplifica la configurazione di IAM Identity Center perché non è necessario aggiungere manualmente le autorizzazioni necessarie. IAM Identity Center definisce le autorizzazioni del suo ruolo collegato ai servizi e, se non diversamente definito, solo IAM Identity Center può assumerne il ruolo. Le autorizzazioni definite includono la policy di attendibilità e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un'altra entità IAM.
Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, consulta AWS Servizi che funzionano con IAM e cerca i servizi che hanno Sì nella colonna Ruolo. Service-Linked Scegliere Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato al servizio per tale servizio.
Service-linked autorizzazioni di ruolo per IAM Identity Center
IAM Identity Center utilizza il ruolo collegato al servizio denominato AWSServiceRoleForSSO per concedere a IAM Identity Center le autorizzazioni per gestire le AWS risorse, inclusi i ruoli IAM, le policy e l'IdP SAML per conto dell'utente.
Il ruolo AWSServiceRoleForSSO collegato ai servizi affida l'assunzione del ruolo ai seguenti servizi:
-
IAM Identity Center (prefisso del servizio:)
sso
La policy sulle autorizzazioni dei ruoli AWSSSOServiceRolePolicy collegati ai servizi consente a IAM Identity Center di completare quanto segue sui ruoli presenti nel percorso «/aws- reserved/sso .amazonaws.com/» e con il prefisso del nome «AWSReservedSSO_»:
-
iam:AttachRolePolicy -
iam:CreateRole -
iam:DeleteRole -
iam:DeleteRolePermissionsBoundary -
iam:DeleteRolePolicy -
iam:DetachRolePolicy -
iam:GetRole -
iam:ListRolePolicies -
iam:PutRolePolicy -
iam:PutRolePermissionsBoundary -
iam:ListAttachedRolePolicies
La politica di autorizzazioni dei ruoli AWSSSOServiceRolePolicy collegati ai servizi consente a IAM Identity Center di completare quanto segue sui provider SAML con il prefisso «AWSSSO_»:
-
iam:CreateSAMLProvider -
iam:GetSAMLProvider -
iam:UpdateSAMLProvider -
iam:DeleteSAMLProvider
La policy sulle autorizzazioni dei ruoli AWSSSOServiceRolePolicy collegati ai servizi consente a IAM Identity Center di completare quanto segue in tutte le organizzazioni:
-
organizations:DescribeAccount -
organizations:DescribeOrganization -
organizations:ListAccounts -
organizations:ListAWSServiceAccessForOrganization -
organizations:ListDelegatedAdministrators
La policy AWSSSOServiceRolePolicy di autorizzazione dei ruoli collegati ai servizi consente a IAM Identity Center di completare quanto segue su tutti i ruoli IAM (*):
-
iam:listRoles
La policy sulle autorizzazioni dei ruoli AWSSSOServiceRolePolicy collegati ai servizi consente a IAM Identity Center di completare quanto segue su «arn:aws:iam: :*: -service- .amazonaws. role/aws role/sso com/AWSServiceRoleForSSO»:
-
iam:GetServiceLinkedRoleDeletionStatus -
iam:DeleteServiceLinkedRole
La policy di autorizzazione dei ruoli AWSSSOServiceRolePolicy collegati al servizio consente a IAM Identity Center di completare quanto segue su «arn:aws:identity-sync: *:*:profile/*»:
-
identity-sync:DeleteSyncProfile
Per ulteriori informazioni IAM Identity Center si aggiorna a AWS policy gestite sugli aggiornamenti AWSSSOServiceRolePolicy alla politica delle autorizzazioni dei ruoli collegati ai servizi, consulta.
Per consentire a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio è necessario configurare le relative autorizzazioni. Per ulteriori informazioni, consulta le autorizzazioni dei Service-linked ruoli nella IAM User Guide.
Creazione di un ruolo collegato ai servizi per IAM Identity Center
Non è necessario creare manualmente un ruolo collegato ai servizi. Una volta abilitato, IAM Identity Center crea un ruolo collegato ai servizi in tutti gli account all'interno dell'organizzazione in Organizations. AWS IAM Identity Center crea inoltre lo stesso ruolo collegato al servizio in ogni account che viene successivamente aggiunto all'organizzazione. Questo ruolo consente a IAM Identity Center di accedere alle risorse di ciascun account per tuo conto.
Note
-
Se hai effettuato l'accesso all'account di AWS Organizations gestione, questo utilizza il tuo ruolo attualmente connesso e non il ruolo collegato al servizio. Ciò impedisce l'escalation dei privilegi.
-
Quando IAM Identity Center esegue qualsiasi operazione IAM nell'account di AWS Organizations gestione, tutte le operazioni avvengono utilizzando le credenziali del responsabile IAM. Ciò consente agli accessi di CloudTrail fornire visibilità su chi ha apportato tutte le modifiche ai privilegi nell'account di gestione.
Importante
Se stavi utilizzando il servizio IAM Identity Center prima del 7 dicembre 2017, quando ha iniziato a supportare i ruoli collegati ai servizi, IAM Identity Center ha creato il AWSServiceRoleForSSO ruolo nel tuo account. Per ulteriori informazioni, consulta Un nuovo ruolo è apparso nel mio account IAM.
Se elimini questo ruolo collegato ai servizi e devi crearlo di nuovo, puoi utilizzare lo stesso processo per ricreare il ruolo nel tuo account.
Modifica di un ruolo collegato al servizio per IAM Identity Center
IAM Identity Center non consente di modificare il ruolo collegato al AWSServiceRoleForSSO servizio. Dopo avere creato un ruolo collegato al servizio, non sarà possibile modificarne il nome perché varie entità potrebbero farvi riferimento. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, consulta Modifica di un ruolo collegato al servizio nella Guida per l’utente di IAM.
Eliminazione di un ruolo collegato al servizio per IAM Identity Center
Non è necessario eliminare manualmente il ruolo. AWSServiceRoleForSSO Quando un Account AWS viene rimosso da un' AWS organizzazione, IAM Identity Center pulisce automaticamente le risorse ed elimina il ruolo collegato al servizio. Account AWS
Puoi anche utilizzare la console IAM, l'IAM CLI o l'API IAM per eliminare manualmente il ruolo collegato al servizio. Per farlo, sarà necessario prima eseguire manualmente la pulizia delle risorse associate al ruolo collegato ai servizi e poi eliminarlo manualmente.
Nota
Se il servizio IAM Identity Center utilizza il ruolo quando si tenta di eliminare le risorse, l'eliminazione potrebbe non riuscire. In questo caso, attendi alcuni minuti e quindi ripeti l’operazione.
Per eliminare le risorse IAM Identity Center utilizzate da AWSServiceRoleForSSO
-
Rimuovi l'accesso di utenti e gruppi a un Account AWSper tutti gli utenti e i gruppi che hanno accesso a Account AWS.
-
Rimuovi i set di autorizzazioni in IAM Identity Centerche hai associato al Account AWS.
Per eliminare manualmente il ruolo collegato ai servizi mediante IAM
Usa la console IAM, la CLI IAM oppure l’API IAM per eliminare il ruolo collegato al servizio AWSServiceRoleForSSO. Per ulteriori informazioni, consulta Eliminazione di un Service-Linked ruolo nella IAM User Guide.
