Usar funções vinculadas ao serviço do AWS Identity and Access Management Access Analyzer
O AWS Identity and Access Management Access Analyzer usa um perfil vinculado ao serviço do IAM. Uma função vinculada a serviço é um tipo exclusivo de perfil do IAM vinculada diretamente ao IAM Access Analyzer. As funções vinculadas a um serviço são predefinidas pelo IAM Access Analyzer e incluem todas as permissões que o atributo exige para chamar outros serviços AWS em seu nome.
Uma função vinculada a um serviço facilita a configuração do IAM Access Analyzer porque não é preciso adicionar as permissões necessárias manualmente. O IAM Access Analyzer define as permissões de suas funções vinculadas a um serviço e, exceto se definido de outra forma, somente o IAM Access Analyzer pode assumir suas funções. As permissões definidas incluem a política de confiança e a política de permissões, que não pode ser anexada a nenhuma outra entidade do IAM.
Para obter informações sobre outros serviços compatíveis com funções vinculadas a serviços, consulte Serviços da AWS compatíveis com o IAM e procure os serviços que contenham Sim na coluna Função vinculada ao serviço. Escolha Sim com um link para visualizar a documentação da função vinculada a esse serviço.
Permissões de função vinculada ao serviço AWS Identity and Access Management Access Analyzer
O AWS Identity and Access Management Access Analyzer usa a função vinculada a serviço chamada AWSServiceRoleForAccessAnalyzer, que permite que o Access Analyzer analise os metadados do recurso para acessos externos e para analisar a atividade e identificar acessos não utilizados.
A função vinculada ao serviço AWSServiceRoleForAccessAnalyzer confia nos seguintes serviços para assumir a função:
-
access-analyzer.amazonaws.com
A política de permissões da função chamada AccessAnalyzerServiceRolePolicy permite que o IAM Access Analyzer conclua ações em recursos específicos.
Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou perfil) crie, edite ou exclua um perfil vinculado ao serviço. Para mais informações, consulte Permissões de perfil vinculado ao serviço no Guia do usuário do IAM.
Criar uma função vinculada a um serviço para o IAM Access Analyzer
Não é necessário criar manualmente um perfil vinculado ao serviço. Quando você habilita o Access Analyzer no AWS Management Console ou na API da AWS, o IAM Access Analyzer cria a função vinculada ao serviço para você. A mesma função vinculada ao serviço é usada em todas as regiões nas quais você habilita o IAM Access Analyzer. Tanto as descobertas de acessos externos quanto as de acessos não utilizados usam a mesma função vinculada ao serviço.
nota
O IAM Access Analyzer é regional. É necessário habilitar o IAM Access Analyzer em cada região de maneira independente.
Se excluir essa função vinculada ao serviço, o IAM Access Analyzer recriará a função na próxima vez em que você criar um analisador.
Você também pode usar o console do IAM para criar uma função vinculada ao serviço com o caso de uso do Access Analyzer. Na AWS CLI ou na API do AWS, crie uma função vinculada ao serviço com o nome de serviço access-analyzer.amazonaws.com. Para obter mais informações, consulte Criar uma função vinculada ao serviço no Guia do usuário do IAM. Se você excluir essa função vinculada ao serviço, será possível usar esse mesmo processo para criar a função novamente.
Editar uma função vinculada a um serviço para o IAM Access Analyzer
O IAM Access Analyzer não permite editar a função vinculada ao serviço AWSServiceRoleForAccessAnalyzer. Depois que criar um perfil vinculado ao serviço, você não poderá alterar o nome do perfil, pois várias entidades podem fazer referência a ele. No entanto, será possível editar a descrição do perfil usando o IAM. Para obter mais informações, consulte Editar uma função vinculada a serviço no Guia do usuário do IAM.
Excluir uma função vinculada a um serviço para o IAM Access Analyzer
Se você não precisar mais usar um atributo ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-la. Dessa forma, você não terá uma entidade não utilizada que não seja monitorada ativamente ou mantida. No entanto, você deve limpar os atributos de seu perfil vinculado ao serviço antes de excluí-lo manualmente.
nota
Se o IAM Access Analyzer estiver usando a função quando você tentar excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.
Para excluir os recursos do IAM Access Analyzer usados por AWSServiceRoleForAccessAnalyzer
-
Abra o console do IAM, em https://console.aws.amazon.com/iam/
. -
Na seção Access reports (Relatórios de acesso), em Access analyzer (Analisador de acesso), selecione Analyzers (Analisadores).
-
Marque a caixa de seleção no canto superior esquerdo acima da lista de analisadores na tabela Analisadores para selecionar todos os analisadores.
-
Escolha Excluir.
-
Para confirmar que deseja excluir os analisadores, insira
deletee selecione Delete (Excluir).
Para excluir manualmente o perfil vinculado ao serviço usando o IAM
Use o console do IAM, a AWS CLI ou a API da AWS para excluir a função vinculada a serviço AWSServiceRoleForAccessAnalyzer. Para obter mais informações, consulte Excluir um perfil vinculado ao serviço no Guia do usuário do IAM.
Regiões compatíveis com funções vinculadas a serviço do IAM Access Analyzer
O IAM Access Analyzer oferece suporte a funções vinculadas a serviços em todas as regiões onde o serviço está disponível. Para obter mais informações, consulte Regiões e endpoints da AWS.
