Aviso de fim do suporte: em 10 de setembro de 2025, AWS interromperá o suporte para AWS RoboMaker. Depois de 10 de setembro de 2025, você não poderá mais acessar o AWS RoboMaker console ou AWS RoboMaker os recursos. Para obter mais informações sobre como fazer a transição para ajudar AWS Batch a executar simulações em contêineres, visite esta postagem no blog.

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Autenticação e controle de acesso para o AWS RoboMaker

AWS Identity and Access Management (IAM) é um AWS serviço que ajuda o administrador a controlar com segurança o acesso aos AWS RoboMaker recursos. Os administradores usam o IAM para controlar quem está autenticado (conectado) e autorizado (tem permissões) a usar AWS RoboMaker os recursos. O IAM é um recurso da sua AWS conta oferecido sem custo adicional.

Tópicos

Introdução à autorização e controle de acesso

AWS RoboMaker é integrado ao AWS Identity and Access Management (IAM), que oferece uma ampla variedade de recursos:

Para obter mais informações sobre IAM, consulte o seguinte:

Permissões obrigatórias

Para usar AWS RoboMaker ou gerenciar a autorização e o controle de acesso para você ou para outras pessoas, você deve ter as permissões corretas.

Permissões necessárias para usar o console do AWS RoboMaker

Para acessar o AWS RoboMaker console, você deve ter um conjunto mínimo de permissões que permita listar e visualizar detalhes sobre os AWS RoboMaker recursos em sua AWS conta. Se você criar uma política de permissões baseada em identidade que seja mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades com essa política.

Para acesso somente de leitura ao AWS RoboMaker console, use a AWSRoboMakerReadOnlyAccesspolítica.

Se um usuário do IAM desejar criar uma trabalho de simulação, você precisará conceder a permissão de iam:PassRole para esse usuário. Para obter mais informações sobre como passar uma função, consulte Conceder permissões ao usuário para passar uma função para um serviço da AWS.

Por exemplo, você pode anexar a política a seguir a um usuário. Ela fornece permissão para criar um trabalho de simulação:

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/S3AndCloudWatchAccess"
        }
    ]
}

Você não precisa permitir permissões mínimas do console para usuários que estão fazendo chamadas somente para a API AWS CLI ou para a AWS API. Em vez disso, são necessárias apenas as permissões que correspondem à operação da API que você está tentando executar.

Permissões necessárias para visualizar mundos AWS RoboMaker no console

Você pode conceder as permissões necessárias para visualizar AWS RoboMaker mundos no AWS RoboMaker console anexando a seguinte política a um usuário:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "robomaker: DescribeWorld"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permissões necessárias para usar as ferramentas de simulação do AWS RoboMaker

O usuário ou perfil do IAM utilizado para criar a simulação receberá automaticamente a permissão para acessar as ferramentas de simulação. Caso esteja usando um usuário ou uma função diferente, o privilégio robomaker:CreateSimulationJob será necessário.

Permissões necessárias para o gerenciamento da autenticação

Para gerenciar suas próprias credenciais, como senha, chaves de acesso e dispositivos de autenticação multifator (MFA - Multi-factor Authentication), o administrador deve conceder a você as permissões necessárias. Para visualizar a política que inclui essas permissões, consulte Permitir que os usuários autogerenciem suas credenciais.

Como AWS administrador, você precisa de acesso total ao IAM para poder criar e gerenciar usuários, grupos, funções e políticas no IAM. Você deve usar a política AdministratorAccess AWS gerenciada que inclui acesso total a todos os AWS. Essa política não fornece acesso ao AWS Billing and Cost Management console nem permite tarefas que exijam credenciais de usuário raiz. Para obter mais informações, consulte Tarefas da AWS que exigem credenciais de usuário raiz da Conta da AWS na Referência geral da AWS.

Permissões necessárias para o controle de acesso

Se o administrador tiver lhe fornecido credenciais de usuário do IAM, ele terá anexado políticas a seu usuário do IAM para controlar os recursos que você acessa. Para visualizar as políticas anexadas ao seu usuário no AWS Management Console, você deve ter as seguintes permissões:

   {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": [
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Sid": "ListUsersViewGroupsAndPolicies",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Se precisar de permissões adicionais, peça ao administrador para atualizar suas políticas para permitir acesso às ações de que você precisa.

Permissões necessárias para um trabalho de simulação

Quando você cia um trabalho de simulação, ele deve ter um perfil do IAM com as permissões a seguir.

Os trabalhos públicos de ECR exigem permissões separadas, como ecr-public:GetAuthorizationToken, sts:GetServiceBearerToken e quaisquer outras permissões necessárias para sua implementação final. Para obter mais informações, consulte Políticas de repositório público no Guia do usuário do Amazon ECR.

Jobs with Private ECR images

  {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "s3:ListBucket",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": "s3:Put*",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams"
            ],
            "Resource": [
                "arn:aws:logs:*:account#:log-group:/aws/robomaker/SimulationJobs*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecr:BatchGetImage",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer"
            ],
            "Resource": "arn:partition:ecr:region:account#:repository/repository_name",
            "Effect": "Allow"
        }
    ]
}

Jobs with Public ECR images

  {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "s3:ListBucket",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": "s3:Put*",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams"
            ],
            "Resource": [
                "arn:aws:logs:*:account#:log-group:/aws/robomaker/SimulationJobs*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecr-public:GetAuthorizationToken",
                "sts:GetServiceBearerToken"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

A política deve ser anexada a uma função com a seguinte política de confiança.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": { "Service": "robomaker.amazonaws.com" },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "account#" // Account where the simulation job resource is created
            },
            "StringEquals": {
                "aws:SourceArn": "arn:aws:robomaker:region:account#:simulation-job/*"
            }
        }
    }
}    

Você pode usar essa chave de condição para impedir que um produto da AWS seja usado como um confused deputy durante transações entre os serviços. Consulte SourceAccounte SourceArnpara obter informações adicionais sobre chaves de condição.

Permissões necessárias para usar tags de um aplicativo ROS ou linha de comando ROS

Você pode marcar, desmarcar e listar tags no trabalho de simulação usando a linha de comando ROS ou o aplicativo ROS enquanto ele estiver em execução. É necessário ter um perfil do IAM com as permissões abaixo. Substitua account# pelo número da sua conta.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "robomaker:TagResource",
                "robomaker:UntagResource",
                "robomaker:ListTagsForResource",
            ],
            "Resource": [
                "arn:aws:robomaker:*:account#:simulation-job*"
            ],
            "Effect": "Allow"
        }
    ]
}

A política deve ser anexada a uma função com a seguinte política de confiança:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": { "Service": "robomaker.amazonaws.com" },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "account#" // Account where the simulation job resource is created
            },
            "StringEquals": {
                "aws:SourceArn": "arn:aws:robomaker:region:account#:simulation-job/*"
            }
        }
    }
}    

Você pode usar essa chave de condição para impedir que um produto da AWS seja usado como um confused deputy durante transações entre os serviços. Consulte SourceAccounte SourceArnpara obter informações adicionais sobre chaves de condição.

Entendendo como AWS RoboMaker funciona com o IAM

Os serviços podem funcionar de várias maneiras com o IAM:

Solução de problemas de autenticação e controle de acesso

Use as seguintes informações para ajudar a diagnosticar e corrigir problemas comuns que podem ser encontrados ao trabalhar com o IAM.

Não estou autorizado a realizar uma ação em AWS RoboMaker

Se você receber um erro AWS Management Console informando que você não está autorizado a realizar uma ação, entre em contato com o administrador que forneceu seu nome de usuário e senha.

O exemplo de erro a seguir ocorre quando um usuário do IAM chamado my-user-name tenta usar o console para realizar a CreateRobotApplication ação, mas não tem permissões.

User: arn:aws:iam::123456789012:user/my-user-name is not authorized to perform: aws-robomaker:CreateRobotApplication on resource: my-example-robot-application

Para esse exemplo, peça ao administrador para atualizar suas políticas a fim de conceder acesso ao recurso my-example-robot-application usando a ação aws-robomaker:CreateRobotApplication.

Sou administrador e quero permitir que outras pessoas acessem AWS RoboMaker

Para permitir que outras pessoas acessem, AWS RoboMaker você deve criar uma entidade do IAM (usuário ou função) para a pessoa ou o aplicativo que precisa de acesso. Elas usarão as credenciais dessa entidade para acessar a AWS. Você deve anexar uma política à entidade que concede a eles as permissões corretas no AWS RoboMaker.

Para começar a usar rapidamente, consulte Conceitos básicos do IAM.