使用 Amazon Connect 的服務連結角色和角色許可 - Amazon Connect
什麼是服務連結角色 (SLR)？它們為什麼很重要？Amazon Connect 的服務連結角色許可建立 Amazon Connect 的服務連結角色對於 2018 年 10 月之前建立的執行個體對於 2025 年 1 月 31 日之前建立的客戶設定檔網域，並使用客戶 KMS 金鑰設定以加密資料編輯 Amazon Connect 的服務連結角色檢查服務連結角色是否具有 Amazon Lex 的許可刪除 Amazon Connect 的服務連結角色Amazon Connect 服務連結角色的支援區域

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Amazon Connect 的服務連結角色和角色許可

什麼是服務連結角色 (SLR)？它們為什麼很重要？

Amazon Connect 使用 AWS Identity and Access Management (IAM) 服務連結角色。服務連結角色是直接連結至 Amazon Connect 執行個體的一種特殊 IAM 角色類型。

服務連結角色是由 Amazon Connect 預先定義，並包含 Amazon Connect AWS 代表您呼叫其他服務所需的所有許可。

您需要啟用服務連結角色，才能在 Amazon Connect 中使用新功能，例如標記支援、使用者管理 和 轉接設定檔 中的新使用者介面，以及使用 CloudTrail 支援的佇列。

如需關於支援服務連結角色的其他服務資訊，請參閱《可搭配 IAM 運作的AWS 服務》，並尋找在 Service-Linked Role (服務連結角色) 欄中顯示為 Yes (是) 的服務。選擇具有連結的是，以檢視該服務的服務連結角色文件。

Amazon Connect 的服務連結角色許可

Amazon Connect 使用服務連結角色搭配字首 AWSServiceRoleForAmazonConnect_unique-id – 授予 Amazon Connect 代表您存取 AWS 資源的許可。

AWSServiceRoleForAmazonConnect 前綴的服務連結角色信任下列服務擔任該角色：

  • connect.amazonaws.com

AmazonConnectServiceLinkedRolePolicy 的角色政策允許 Amazon Connect 對指定資源完成下列動作。

  • 動作：所有 Amazon Connect 資源上的所有 Amazon Connect 操作，connect:*。

  • 動作：IAM iam:DeleteRole 以允許刪除服務連結角色。

  • 動作：Amazon S3 s3:GetObject、s3:DeleteObject、s3:GetBucketLocation 和 GetBucketAcl 適用於針對錄音對話指定的 S3 儲存貯體。

    這也會授予 s3:PutObject、s3:PutObjectAcl 和 s3:GetObjectAcl 給針對已匯出報告指定的儲存貯體。

  • 動作：Amazon CloudWatch Logs logs:CreateLogStream、logs:DescribeLogStreams 和 logs:PutLogEvents 以及針對流程記錄指定的 CloudWatch Logs 群組。

  • 動作：Amazon Lex lex:ListBots，lex:ListBotAliases 適用於在所有區域的帳戶中建立的所有機器人。

  • 動作：Amazon Connect Customer Profiles

    • profile:SearchProfiles

    • profile:CreateProfile

    • profile:UpdateProfile

    • profile:AddProfileKey

    • profile:ListProfileObjects

    • profile:ListAccountIntegrations

    • profile:ListProfileObjectTypeTemplates

    • profile:GetProfileObjectTypeTemplate

    • profile:ListProfileObjectTypes

    • profile:GetProfileObjectType

    • profile:ListCalculatedAttributeDefinitions

    • profile:GetCalculatedAttributeForProfile

    • profile:ListCalculatedAttributesForProfile

    • profile:GetDomain

    • profile:ListIntegrations

    • profile:GetIntegration

    • profile:PutIntegration

    • profile:DeleteIntegration

    • profile:CreateEventTrigger

    • profile:GetEventTrigger

    • profile:ListEventTriggers

    • profile:UpdateEventTrigger

    • profile:DeleteEventTrigger

    • profile:CreateCalculatedAttributeDefinition

    • profile:DeleteCalculatedAttributeDefinition

    • profile:GetCalculatedAttributeDefinition

    • profile:UpdateCalculatedAttributeDefinition

    • profile:PutProfileObject

    • profile:ListObjectTypeAttributes

    • profile:ListProfileAttributeValues

    • profile:BatchGetProfile

    • profile:BatchGetCalculatedAttributeForProfile

    • profile:ListSegmentDefinitions

    • profile:CreateSegmentDefinition

    • profile:GetSegmentDefinition

    • profile:DeleteSegmentDefinition

    • profile:CreateSegmentEstimate

    • profile:GetSegmentEstimate

    • profile:CreateSegmentSnapshot

    • profile:GetSegmentSnapshot

    • profile:GetSegmentMembership

    將您的預設 Customer Profiles 網域 (包括設定檔和網域中的所有物件類型) 與 Amazon Connect 流程和客服人員體驗應用程式搭配使用。

    注意

    每個 Amazon Connect 執行個體一次只能與一個網域建立關聯。不過，您可以將任何網域連結至 Amazon Connect 執行個體。相同 AWS 帳戶和區域內的跨網域存取，會自動為開頭為字首 的所有網域啟用amazon-connect-。若要限制跨網域存取，您可以使用個別的 Amazon Connect 執行個體來邏輯地分割資料，或在開頭不是字amazon-connect-首的相同執行個體中使用 Customer Profiles 網域名稱，進而防止跨網域存取。

  • 動作：Amazon Q in Connect

    • wisdom:CreateContent

    • wisdom:DeleteContent

    • wisdom:CreateKnowledgeBase

    • wisdom:GetAssistant

    • wisdom:GetKnowledgeBase

    • wisdom:GetContent

    • wisdom:GetRecommendations

    • wisdom:GetSession

    • wisdom:NotifyRecommendationsReceived

    • wisdom:QueryAssistant

    • wisdom:StartContentUpload

    • wisdom:UntagResource

    • wisdom:TagResource

    • wisdom:CreateSession

    • wisdom:CreateQuickResponse

    • wisdom:GetQuickResponse

    • wisdom:SearchQuickResponses

    • wisdom:StartImportJob

    • wisdom:GetImportJob

    • wisdom:ListImportJobs

    • wisdom:ListQuickResponses

    • wisdom:UpdateQuickResponse

    • wisdom:DeleteQuickResponse

    • wisdom:PutFeedback

    • wisdom:ListContentAssociations

    • wisdom:CreateMessageTemplate

    • wisdom:UpdateMessageTemplate

    • wisdom:UpdateMessageTemplateMetadata

    • wisdom:GetMessageTemplate

    • wisdom:DeleteMessageTemplate

    • wisdom:ListMessageTemplates

    • wisdom:SearchMessageTemplates

    • wisdom:ActivateMessageTemplate

    • wisdom:DeactivateMessageTemplate

    • wisdom:CreateMessageTemplateVersion

    • wisdom:ListMessageTemplateVersions

    • wisdom:CreateMessageTemplateAttachment

    • wisdom:DeleteMessageTemplateAttachment

    • wisdom:RenderMessageTemplate

    • wisdom:CreateAIAgent

    • wisdom:CreateAIAgentVersion

    • wisdom:DeleteAIAgent

    • wisdom:DeleteAIAgentVersion

    • wisdom:UpdateAIAgent

    • wisdom:UpdateAssistantAIAgent

    • wisdom:RemoveAssistantAIAgent

    • wisdom:GetAIAgent

    • wisdom:ListAIAgents

    • wisdom:ListAIAgentVersions

    • wisdom:CreateAIPrompt

    • wisdom:CreateAIPromptVersion

    • wisdom:DeleteAIPrompt

    • wisdom:DeleteAIPromptVersion

    • wisdom:UpdateAIPrompt

    • wisdom:GetAIPrompt

    • wisdom:ListAIPrompts

    • wisdom:ListAIPromptVersions

    • wisdom:CreateAIGuardrail

    • wisdom:CreateAIGuardrailVersion

    • wisdom:DeleteAIGuardrail

    • wisdom:DeleteAIGuardrailVersion

    • wisdom:UpdateAIGuardrail

    • wisdom:GetAIGuardrail

    • wisdom:ListAIGuardrails

    • wisdom:ListAIGuardrailVersions

    • wisdom:CreateAssistant

    • wisdom:ListTagsForResource

    與您的 Amazon Connect 執行個體關聯的所有 Amazon Connect Amazon Q in Connect 資源 'AmazonConnectEnabled':'True' 上的資源標籤。

    • wisdom:ListAssistants

    • wisdom:KnowledgeBases

    在所有 Amazon Q in Connect 資源上。

  • 動作：Amazon CloudWatch 指標 cloudwatch:PutMetricData 用於將執行個體的 Amazon Connect 用量指標發布至您的帳戶。

  • 行動：Amazon Pinpoint sms:DescribePhoneNumbers 且 sms:SendTextMessage 允許 Amazon Connect 傳送 SMS 訊息。

  • 動作：Amazon Pinpoint 允許 mobiletargeting:SendMessages Amazon Connect 傳送推播通知。

  • 動作：Amazon Cognito 使用者集區cognito-idp:ListUserPoolClients，cognito-idp:DescribeUserPool並允許 Amazon Connect 存取在具有AmazonConnectEnabled資源標籤的 Amazon Cognito 使用者集區資源上選取讀取操作。

  • 動作：Amazon Chime SDK Voice Connector chime:GetVoiceConnector 允許在所有具有'AmazonConnectEnabled':'True'資源標籤的 Amazon Chime SDK Voice Connector 資源 Amazon Connect 上讀取 Amazon Connect。

  • 動作：Amazon Chime SDK Voice Connector，chime:ListVoiceConnectors適用於所有 區域中在帳戶中建立的所有 Amazon Chime SDK Voice Connector。

  • 動作：Amazon Connect Messaging WhatsApp 整合。將 Amazon Connect 許可授予下列 AWS 最終使用者傳訊社交 APIs：

    • social-messaging:SendWhatsAppMessage

    • social-messaging:PostWhatsAppMessageMedia

    • social-messaging:GetWhatsAppMessageMedia

    • social-messaging:GetLinkedWhatsAppBusinessAccountPhoneNumber

    社交 APIs 僅限於您啟用 Amazon Connect 的電話號碼資源。電話號碼匯入 Amazon Connect 執行個體AmazonConnectEnabled : true時，會加上標籤。

  • 動作：Amazon Connect Messaging WhatsApp 整合。將 Amazon Connect 許可授予下列最終使用者傳訊社交 APIs：

    • social-messaging:SendWhatsAppMessage

    • social-messaging:PostWhatsAppMessageMedia

    • social-messaging:GetWhatsAppMessageMedia

    • social-messaging:GetLinkedWhatsAppBusinessAccountPhoneNumber

    社交 APIs 僅限於您啟用 Amazon Connect 的電話號碼資源。電話號碼匯入 Amazon Connect 執行個體AmazonConnectEnabled : true時，會加上標籤。

  • 動作：Amazon SES

    • ses:DescribeReceiptRule

    • ses:UpdateReceiptRule

    所有 Amazon SES 接收規則。用來傳送和接收電子郵件。

    • ses:DeleteEmailIdentity 適用於 {instance-alias}.email.connect.aws SES 網域身分。用於 Amazon Connect 提供的電子郵件網域管理。

    • ses:SendRawEmail 使用 Amazon Connect (configuration-set-for-connect-DO-NOT-DELETE) 提供的 SES 組態設定傳送電子郵件。

    • iam:PassRole 適用於 Amazon SES 所使用的 AmazonConnectEmailSESAccessRole 服務角色。 Amazon SES 對於 Amazon SES 接收規則管理，Amazon SES 需要傳遞其擔任的角色。

當您啟用 Amazon Connect 中的其他功能時，會新增以下的權限，來讓服務連結角色透過使用行內政策，存取與下列功能相關的資源：

  • 動作：Amazon Data Firehose firehose:DescribeDeliveryStream和 firehose:PutRecord，firehose:PutRecordBatch以及為客服人員事件串流和聯絡記錄定義的交付串流。

  • 動作：Amazon Kinesis Data Streams kinesis:PutRecord、kinesis:PutRecords 以及 kinesis:DescribeStream 針對客服人員事件串流和聯絡記錄指定的串流。

  • 動作：Amazon Lex lex:PostContent 適用於加入您執行個體的機器人。

  • 動作：與您的執行個體關聯的 Voice ID 網域的 Amazon Connect Voice ID voiceid:*。

  • 動作：EventBridge events:PutRule 和 events:PutTargets 為 Amazon Connect 受管的 EventBridge 規則發佈 CTR 記錄關聯的 Voice ID 網域。

  • 動作：外撥行銷活動

    • connect-campaigns:CreateCampaign

    • connect-campaigns:DeleteCampaign

    • connect-campaigns:DescribeCampaign

    • connect-campaigns:UpdateCampaignName

    • connect-campaigns:GetCampaignState

    • connect-campaigns:GetCampaignStateBatch

    • connect-campaigns:ListCampaigns

    • connect-campaigns:UpdateOutboundCallConfig

    • connect-campaigns:UpdateDialerConfig

    • connect-campaigns:PauseCampaign

    • connect-campaigns:ResumeCampaign

    • connect-campaigns:StopCampaign

    對於與外撥行銷活動相關的所有操作。

您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 IAM 使用者指南中的服務連結角色許可。

建立 Amazon Connect 的服務連結角色

您不需要手動建立一個服務連結角色。當您在 Amazon Connect 中建立新的執行個體時 AWS Management Console，Amazon Connect 會為您建立服務連結角色。

若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您在 Amazon Connect 中建立資料庫執行個體叢集時，Amazon Connect 會再次為您建立服務連結角色。

您也可以使用 IAM 主控台，透過 Amazon Connect – 完整存取 使用案例建立服務連結角色。在 IAM CLI 或 IAM API 中，建立一個使用 connect.amazonaws.com 服務名稱的服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》中的「建立服務連結角色」。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。

對於 2018 年 10 月之前建立的執行個體

提示

無法登入以管理 AWS 您的帳戶？ 不知道誰管理 AWS 您的帳戶？ 如需協助，請參閱對帳戶登入問題進行故障診斷 AWS。

如果您的 Amazon Connect 執行個體是在 2018 年 10 月之前建立的，則您沒有設定服務連結角色。若要建立服務連結角色，請在 帳戶概觀 頁面上，選擇 建立服務連結角色，如下圖所示。

帳戶概觀頁面，建立服務連結角色按鈕。

如需建立服務連結角色所需的 IAM 許可清單，請參閱 使用自訂 IAM 政策管理 Amazon Connect 主控台存取權的必要許可 主題中的 概觀頁面。

對於在 2025 年 1 月 31 日之前建立，並使用客戶 KMS 金鑰設定來加密資料的客戶設定檔網域，您需要將額外的 KMS 許可授予您的 Amazon Connect 執行個體。

如果關聯的客戶設定檔網域是在 2025 年 1 月 31 日之前建立，且該網域使用客戶管理的 KMS 金鑰 (CMK) 進行加密，若要啟用 Connect 執行個體的 CMK 強制執行，請採取下列動作：

  1. 提供 Amazon Connect 執行個體的服務連結角色 (SLR) 許可，以使用客戶設定檔網域的 AWS KMS 金鑰，方法是導覽至 AWS 管理主控台 Amazon Connect中的客戶設定檔頁面，然後選擇更新 KMS 許可。

    選擇更新 KMS 許可按鈕，為您 Amazon Connect 執行個體的服務連結角色授予 KMS 許可。

  2. 與 Amazon Connect Customer Profiles 團隊建立支援票證，以請求您帳戶的 CMK 許可強制執行。

如需更新 Amazon Connect 執行個體的 IAM 許可清單，請參閱 自訂 IAM 政策所需的許可客戶設定檔頁面 。

編輯 Amazon Connect 的服務連結角色

Amazon Connect 不允許您編輯 AWSServiceRoleForAmazonConnect 前綴的服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱「IAM 使用者指南」的編輯服務連結角色。

檢查服務連結角色是否具有 Amazon Lex 的許可

  1. 在 IAM 主控台的導覽面板上，選擇 角色。

  2. 選擇要修改之角色的名稱。

刪除 Amazon Connect 的服務連結角色

您不需要手動刪除 AWSServiceRoleForAmazonConnect 前綴的角色。當您在 中刪除 Amazon Connect 執行個體時 AWS Management Console，Amazon Connect 會清理資源，並為您刪除服務連結角色。

Amazon Connect 服務連結角色的支援區域

Amazon Connect 在所有提供服務的區域中支援使用服務連結的角色。如需詳細資訊，請參閱 AWS 區域與端點。