As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Como usar funções vinculadas a serviços para o AWS WAF Classic
Atenção
O suporte ao AWS WAF Classic terminará em 30 de setembro de 2025.
nota
Essa é a documentação do AWS WAF Classic. Você só deverá usar essa versão se tiver criado recursos do AWS WAF, como regras e web ACLs, no AWS WAF antes de novembro de 2019, e ainda não os tiver migrado para a versão mais recente. Para migrar suas ACLs da Web, consulte Como migrar recursos do AWS WAF Classic para o AWS WAF.
Para obter a versão mais recente do AWS WAF, consulte AWS WAF.
O AWS WAF Classic usa funções vinculadas a serviços do AWS Identity and Access Management (IAM). A função vinculada a serviço é um tipo exclusivo de perfil do IAM vinculada diretamente ao AWS WAF Classic. As funções vinculadas a serviços são predefinidas pelo AWS WAF Classic e incluem todas as permissões que o serviço requer para chamar outros serviços da AWS em seu nome.
Um perfil vinculado ao serviço facilita a configuração do AWS WAF Classic porque você não precisa adicionar as permissões necessárias manualmente. AWS WAF Classic define as permissões das funções vinculadas a serviços e, exceto se definido de outra forma, somente o AWS WAF Classic pode assumir suas funções. As permissões definidas incluem a política de confiança e a política de permissões. Essa política de permissões não pode ser anexada a nenhuma outra entidade do IAM.
É possível excluir uma função vinculada a serviço somente depois de excluir os recursos relacionados da função. Isso protege seus recursos do AWS WAF Classic, pois você não pode remover por engano as permissões para acessar os recursos.
Para obter informações sobre outros serviços compatíveis com funções vinculadas a serviços, consulte Serviços da AWS compatíveis com o IAM e procure os serviços que contenham Sim na coluna Função vinculada a serviço. Escolha um Sim com um link para visualizar a documentação do perfil vinculado a esse serviço.
Permissões de função vinculada a serviço para o AWS WAF Classic
O AWS WAF Classic usa as seguintes funções vinculadas a serviços:
-
AWSServiceRoleForWAFLogging AWSServiceRoleForWAFRegionalLogging
O AWS WAF Classic usa essas funções vinculadas a serviços para gravar logs no Amazon Data Firehose. Essas funções são usadas somente se você habilitar o registro em log no AWS WAF. Para ter mais informações, consulte Registrar em log as informações de tráfego da web ACL.
As funções vinculadas a serviços AWSServiceRoleForWAFLogging e AWSServiceRoleForWAFRegionalLogging confiam nos seguintes serviços (respectivamente) para assumir a função:
-
waf.amazonaws.com.rproxy.goskope.comwaf-regional.amazonaws.com
As políticas de permissões das funções permitem que o AWS WAF Classic conclua as seguintes ações nos recursos especificados:
-
Ação:
firehose:PutRecordefirehose:PutRecordBatchem recursos de fluxo de dados do Amazon Data Firehose com um nome que começa com “aws-waf-logs-.” Por exemplo,aws-waf-logs-us-east-2-analytics.
Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou função) crie, edite ou exclua uma função vinculada a serviço. Para obter mais informações, consulte Permissões de função vinculada a serviço no Guia do usuário do IAM.
Criação de função vinculada a serviço para o AWS WAF Classic
Não é necessário criar manualmente uma função vinculada a serviço. Quando você habilita o registro em log do AWS WAF Classic no AWS Management Console ou faz uma solicitação de PutLoggingConfiguration na CLI do AWS WAF Classic ou na API do AWS WAF Classic, o AWS WAF Classic cria a função vinculada a serviço para você.
Você deve ter a permissão iam:CreateServiceLinkedRole para habilitar o registro em log.
Se excluir essa função vinculada a serviço e precisar criá-la novamente, você poderá usar esse mesmo processo para recriar a função em sua conta. Quando você habilita o registro em log do AWS WAF Classic, o AWS WAF Classic cria a função vinculada a serviço novamente.
Editar uma função vinculada a serviço para o AWS WAF Classic
O AWS WAF Classic não permite que você edite as funções vinculadas a serviços AWSServiceRoleForWAFLogging e AWSServiceRoleForWAFRegionalLogging. Depois que você criar um perfil vinculado ao serviço, não poderá alterar o nome do perfil, pois várias entidades podem fazer referência ao perfil. No entanto, você poderá editar a descrição do perfil usando o IAM. Para obter mais informações, consulte Editar uma função vinculada a serviço no Guia do usuário do IAM.
Exclusão de uma função vinculada a serviço para o AWS WAF Classic
Se você não precisar mais usar um atributo ou serviço que requer uma função vinculada a serviço, é recomendável excluí-la. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ativamente ou mantida. No entanto, você deve limpar os recursos de sua função vinculada a serviço antes de excluí-la manualmente.
nota
Se o serviço AWS WAF Classic estiver usando a função quando você tenta excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.
Para excluir recursos do AWS WAF Classic usados por AWSServiceRoleForWAFLogging e AWSServiceRoleForWAFRegionalLogging
-
No console do AWS WAF Classic, remova o registro de cada web ACL. Para ter mais informações, consulte Registrar em log as informações de tráfego da web ACL.
-
Usando a API ou a CLI, envie uma solicitação
DeleteLoggingConfigurationpara cada web ACL que tem o registro em log habilitado. Para obter mais informações, consulte Referência da API do AWS WAF Classic.
Como excluir manualmente a função vinculada a serviço usando o IAM
Use o console, a CLI ou a API do IAM para excluir funções vinculadas a serviços AWSServiceRoleForWAFLogging e AWSServiceRoleForWAFRegionalLogging. Para obter mais informações, consulte Excluir uma função vinculada a serviço no Guia do usuário do IAM.
Regiões compatíveis com funções vinculadas a serviços do AWS WAF Classic
O AWS WAF Classic é compatível com o uso de funções vinculadas a serviços nas seguintes Regiões da AWS.
| Nome da região | Identidade da região | Suporte no AWS WAF Classic |
|---|---|---|
| Leste dos EUA (Norte da Virgínia) | us-east-1 |
Sim |
| Leste dos EUA (Ohio) | us-east-2 |
Sim |
| Oeste dos EUA (N. da Califórnia) | us-west-1 |
Sim |
| Oeste dos EUA (Oregon) | us-west-2 |
Sim |
| Ásia-Pacífico (Mumbai) | ap-south-1 |
Sim |
| Ásia-Pacífico (Osaka) | ap-northeast-3 |
Sim |
| Ásia-Pacífico (Seul) | ap-northeast-2 |
Sim |
| Ásia-Pacífico (Singapura) | ap-southeast-1 |
Sim |
| Ásia-Pacífico (Sydney) | ap-southeast-2 |
Sim |
| Ásia-Pacífico (Tóquio) | ap-northeast-1 |
Sim |
| Canadá (Central) | ca-central-1 |
Sim |
| Europa (Frankfurt) | eu-central-1 |
Sim |
| Europa (Irlanda) | eu-west-1 |
Sim |
| Europa (Londres) | eu-west-2 |
Sim |
| Europa (Paris) | eu-west-3 |
Sim |
| América do Sul (São Paulo) | sa-east-1 |
Sim |
