As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Perfil vinculado a serviços para o Amazon MWAA

O Amazon Managed Workflows para Apache Airflow usa funções vinculadas a AWS Identity and Access Management serviços (IAM). Um perfil vinculado a serviços é um tipo exclusivo de perfil do IAM vinculado diretamente ao Amazon MWAA. As funções vinculadas ao serviço são predefinidas pelo Amazon MWAA e incluem todas as permissões que o serviço exige para chamar outros AWS serviços em seu nome.

Um perfil vinculado a serviços facilita a configuração do Amazon MWAA porque você não precisa adicionar as permissões necessárias manualmente. O Amazon MWAA define as permissões desses perfis vinculados ao serviço e, a menos que definido em contrário, somente o Amazon MWAA pode assumir os perfis. As permissões definidas incluem a política de confiança e a política de permissões, e essa política não pode ser anexada a nenhuma outra entidade do IAM.

Uma função vinculada ao serviço poderá ser excluída somente após excluir seus recursos relacionados. Isso protege seus recursos do Amazon MWAA, pois você não pode remover inadvertidamente as permissões para acessar os recursos.

Para obter informações sobre outros serviços que oferecem suporte a funções vinculadas a serviços, consulte AWS Serviços que funcionam com IAM e procure os serviços que têm Sim na coluna Funções vinculadas ao serviço. Escolha um Sim com um link para visualizar a documentação da função vinculada a esse serviço.

Permissões de perfil vinculado a serviços para o Amazon MWAA

O Amazon MWAA usa a função vinculada ao serviço chamada AWSServiceRoleForAmazonMWAA — A função vinculada ao serviço criada em sua conta concede ao Amazon MWAA acesso aos seguintes serviços: AWS

A seguinte política de confiança permite à entidade principal de serviço para assumir o perfil vinculado a serviços. A entidade principal de serviço do Amazon MWAA é airflow.amazonaws.com, conforme demonstrado pela política.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "airflow.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

A política de permissões do perfil denominada AmazonMWAAServiceRolePolicy permite que o Amazon MWAA conclua as seguintes ações nos recursos especificados:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:airflow-*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AttachNetworkInterface",
                "ec2:CreateNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterface",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcs",
                "ec2:DetachNetworkInterface"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateVpcEndpoint",
            "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": "AmazonMWAAManaged"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:ModifyVpcEndpoint",
                "ec2:DeleteVpcEndpoints"
            ],
            "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/AmazonMWAAManaged": false
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVpcEndpoint",
                "ec2:ModifyVpcEndpoint"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:vpc/*",
                "arn:aws:ec2:*:*:security-group/*",
                "arn:aws:ec2:*:*:subnet/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateVpcEndpoint"
                },
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": "AmazonMWAAManaged"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "AWS/MWAA"
                    ]
                }
            }
        }
    ]
}

Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou função) crie, edite ou exclua um perfil vinculado a serviço. Para obter mais informações, consulte Permissões de perfil vinculado ao serviço no Guia do usuário do IAM.

Como criar um perfil vinculado a serviços para Amazon MWAA

Não é necessário criar manualmente um perfil vinculado ao serviço. Quando você cria um novo ambiente do Amazon MWAA usando a AWS Management Console, a ou a AWS API AWS CLI, o Amazon MWAA cria a função vinculada ao serviço para você.

Se excluir esse perfil vinculado ao serviço e precisar criá-lo novamente, será possível usar esse mesmo processo para recriar o perfil em sua conta. Quando você cria outro ambiente, o Amazon MWAA cria novamente um perfil vinculado a serviços para você.

Como editar um perfil vinculado a serviços do Amazon MWAA

O Amazon MWAA não permite que você edite a função vinculada ao serviço do AWSService RoleForAmazon MWAA. Depois que criar um perfil vinculado ao serviço, você não poderá alterar o nome do perfil, pois várias entidades podem fazer referência a ele. No entanto, será possível editar a descrição do perfil usando o IAM. Para obter mais informações, consulte Editar um perfil vinculado ao serviço no Guia do usuário do IAM.

Como apagar um perfil vinculado a serviços do Amazon MWAA

Se você não precisar mais usar um atributo ou serviço que requer uma função vinculada a serviço, é recomendável excluí-la. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ativamente ou mantida.

Quando você exclui um ambiente do Amazon MWAA, o Amazon MWAA exclui todos os recursos associados que usa como parte do serviço. No entanto, você deve esperar até que o Amazon MWAA conclua a exclusão de seu ambiente, antes de tentar excluir o perfil vinculado a serviços. Se você excluir o perfil vinculado a serviços antes que o Amazon MWAA exclua o ambiente, o Amazon MWAA talvez não consiga excluir todos os recursos associados ao ambiente.

Como excluir manualmente o perfil vinculado ao serviço usando o IAM

Use o console do IAM AWS CLI, o ou a AWS API para excluir a função vinculada ao serviço AWSService RoleForAmazon MWAA. Para obter mais informações, consulte Excluir um perfil vinculado ao serviço no Guia do usuário do IAM.

Regiões com suporte para os perfis vinculados a serviços do Amazon MWAA

O Amazon ECS é compatível com perfis vinculados a serviços em todas as regiões em que o serviço está disponível. Para obter mais informações, consulte Endpoints e cotas do Amazon Managed Workflows for Apache Airflow.

Atualizações da política