Grundlegendes zu Rollen im Zusammenhang mit Services

Amazon DocumentDB (mit MongoDB-Kompatibilität) verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger IAM Rollentyp, der direkt mit Amazon DocumentDB verknüpft ist. Servicebezogene Rollen sind von Amazon DocumentDB vordefiniert und beinhalten alle Berechtigungen, die der Service benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

Eine serviceverknüpfte Rolle erleichtert die Verwendung von Amazon DocumentDB, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Amazon DocumentDB definiert die Berechtigungen seiner serviceverknüpften Rollen, und sofern nicht anders definiert, kann nur Amazon DocumentDB seine Rollen übernehmen. Zu den definierten Berechtigungen gehören die Vertrauensrichtlinie und die Berechtigungsrichtlinie, und diese Berechtigungsrichtlinie kann keiner anderen Entität zugeordnet werden. IAM

Sie können die Rollen nur nach dem Löschen der zugehörigen Ressourcen löschen. Dadurch werden Ihre Amazon DocumentDB DocumentDB-Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.

Informationen zu anderen Diensten, die serviceverknüpfte Rollen unterstützen, finden Sie unter AWS Services That Work with IAM und suchen Sie in der Spalte Service-Linked Role nach den Services, für die Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Mit dem Service verknüpfte Amazon DocumentDB DocumentDB-Rollenberechtigungen

Amazon DocumentDB (mit MongoDB-Kompatibilität) verwendet die benannte dienstbezogene Rolle AWSServiceRoleForRDS, damit Amazon DocumentDB AWS Dienste im Namen Ihrer Cluster aufrufen kann.

Die AWSServiceRoleForRDS serviceverknüpfte Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

• docdb.amazonaws.com

Die Rollenberechtigungsrichtlinie ermöglicht es Amazon DocumentDB, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:

• Aktionen auf ec2:

  • AssignPrivateIpAddresses

  • AuthorizeSecurityGroupIngress

  • CreateNetworkInterface

  • CreateSecurityGroup

  • DeleteNetworkInterface

  • DeleteSecurityGroup

  • DescribeAvailabilityZones

  • DescribeInternetGateways

  • DescribeSecurityGroups

  • DescribeSubnets

  • DescribeVpcAttribute

  • DescribeVpcs

  • ModifyNetworkInterfaceAttribute

  • RevokeSecurityGroupIngress

  • UnassignPrivateIpAddresses

• Aktionen auf sns:

  • ListTopic

  • Publish

• Aktionen auf cloudwatch:

  • PutMetricData

  • GetMetricData

  • CreateLogStream

  • PullLogEvents

  • DescribeLogStreams

  • CreateLogGroup

Anmerkung

Sie müssen Berechtigungen konfigurieren, damit eine IAM Entität (z. B. ein Benutzer, eine Gruppe oder eine Rolle) eine dienstbezogene Rolle erstellen, bearbeiten oder löschen kann. Möglicherweise erhalten Sie die folgende Fehlermeldung:

Unable to create the resource. Überprüfen Sie, ob Sie die Berechtigung haben, eine serviceverknüpfte Rolle zu erstellen. Andernfalls warten Sie und versuchen Sie es später noch einmal.

Wenn Sie diesen Fehler erhalten, stellen Sie sicher, dass Sie die folgenden Berechtigungen aktiviert haben:

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}

Weitere Informationen finden Sie unter Berechtigungen für dienstverknüpfte Rollen im IAMBenutzerhandbuch.

Eine serviceverknüpfte Amazon DocumentDB DocumentDB-Rolle erstellen

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie einen Cluster erstellen, erstellt Amazon DocumentDB die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und dann erneut erstellen müssen, können Sie die Rolle in Ihrem Konto mit demselben Verfahren neu anlegen. Wenn Sie einen Cluster erstellen, erstellt Amazon DocumentDB die serviceverknüpfte Rolle erneut für Sie.

Änderung einer serviceverknüpften Amazon DocumentDB DocumentDB-Rolle

Amazon DocumentDB erlaubt es Ihnen nicht, die AWSServiceRoleForRDS serviceverknüpfte Rolle zu ändern. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können die Beschreibung der Rolle jedoch mithilfe von ändern. IAM Weitere Informationen finden Sie unter Bearbeiten einer dienstbezogenen Rolle im IAMBenutzerhandbuch.

Löschen einer serviceverknüpften Amazon DocumentDB DocumentDB-Rolle

Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch alle Ihre -Cluster löschen, bevor Sie die serviceverknüpfte Rolle löschen können.

Bereinigen einer serviceverknüpften Rolle mit Amazon DocumentDB

Bevor Sie eine serviceverknüpfte Rolle löschen könnenIAM, müssen Sie zunächst bestätigen, dass die Rolle keine aktiven Sitzungen hat, und alle Ressourcen entfernen, die von der Rolle verwendet werden.

So überprüfen Sie über die Konsole, ob die servicegebundene Rolle eine aktive Sitzung hat:

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM Konsole unterhttps://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich der IAM Konsole Rollen und dann den Namen (nicht das Kontrollkästchen) der AWSServiceRoleForRDSRolle aus.

3. Wählen Sie auf der Seite Summary für die ausgewählte Rolle die Registerkarte Access Advisor.

4. Überprüfen Sie auf der Registerkarte Access Advisor (Advisor aufrufen) die jüngsten Aktivitäten für die serviceverknüpfte Rolle.

   Anmerkung

   Wenn Sie sich nicht sicher sind, ob Amazon DocumentDB die AWSServiceRoleForRDS Rolle verwendet, können Sie versuchen, die Rolle zu löschen. Wenn der Service die Rolle verwendet, schlägt die Löschung fehl und Sie können die -Regionen anzeigen, in denen die Rolle verwendet wird. Wenn die Rolle verwendet wird, müssen Sie warten, bis die Sitzung beendet wird, bevor Sie die Rolle löschen können. Die Sitzung für eine serviceverknüpfte Rolle können Sie nicht widerrufen.

Wenn Sie die AWSServiceRoleForRDS Rolle entfernen möchten, müssen Sie zuerst alle Ihre Instances und Cluster löschen. Informationen zum Löschen von Instances und Clustern finden Sie in den folgenden Themen:

• Löschen einer Amazon DocumentDB DocumentDB-Instance

• Löschen eines Amazon DocumentDB-Clusters

Unterstützte Regionen für serviceverknüpfte Amazon DocumentDB DocumentDB-Rollen

Amazon DocumentDB unterstützt die Verwendung von serviceverknüpften Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter https://docs.aws.amazon.com/documentdb/latest/developerguide/regions-and-azs.html#regions-and-azs-availability.