Verwenden von Rollen für die Multi-Region-Replikation in Amazon Keyspaces

Amazon Keyspaces (für Apache Cassandra) verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen . Eine serviceverknüpfte Rolle ist ein spezieller Typ einer IAM-Rolle, die direkt mit Amazon Keyspaces verknüpft ist. Serviceverknüpfte Rollen werden von Amazon Keyspaces vordefiniert und schließen alle Berechtigungen ein, die der Service zum Aufrufen anderer -AWSServices in Ihrem Namen erfordert.

Eine serviceverknüpfte Rolle vereinfacht das Einrichten von Amazon Keyspaces, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Amazon Keyspaces definiert die Berechtigungen seiner serviceverknüpften Rollen. Sofern keine andere Konfiguration festgelegt wurde, können nur Amazon Keyspaces die Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauensrichtlinie und die Berechtigungsrichtlinie, und diese Berechtigungsrichtlinie kann keiner anderen juristischen Stelle von IAM zugeordnet werden.

Sie können eine serviceverknüpfte Rolle erst löschen, nachdem die zugehörigen Ressourcen gelöscht wurden. Dies schützt Ihre Amazon Keyspaces-Ressourcen, da Sie nicht versehentlich die Berechtigung für den Zugriff auf die Ressourcen entfernen können.

Informationen zu anderen Services, die serviceorientierte Rollen unterstützen, finden Sie unter AWS services that work with IAM (-Services, die mit IAM funktionieren). Suchen Sie nach den Services, für die Yes (Ja) in der Spalte Service-linked roles (Serviceorientierte Rollen) angegeben ist. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Berechtigungen von serviceverknüpften Rollen für Amazon Keyspaces

Amazon Keyspaces verwendet die serviceverknüpfte Rolle namens AWSServiceRoleForAmazonKeyspacesReplication, um Amazon Keyspaces zu erlauben, Schreibvorgänge in alle Replikate einer multiregionalen Tabelle in Ihrem Namen zu replizieren.

Die AWSServiceRoleForAmazonKeyspacesReplication serviceverknüpfte Rolle vertraut darauf, dass die folgenden Services die Rolle übernehmen:

• replication.cassandra.amazonaws.com

Die Rollenberechtigungsrichtlinie namens KeyspacesReplicationServiceRolePolicy erlaubt Amazon Keyspaces, die folgenden Aktionen durchzuführen:

• Aktion: cassandra:Select

• Aktion: cassandra:SelectMultiRegionResource

• Aktion: cassandra:Modify

• Aktion: cassandra:ModifyMultiRegionResource

Obwohl die serviceverknüpfte Rolle von Amazon Keyspaces die Berechtigungen „Aktion:“ für den angegebenen Amazon-Ressourcennamen (ARN) „arn:*“ in der Richtlinie AWSServiceRoleForAmazonKeyspacesReplication bereitstellt, stellt Amazon Keyspaces den ARN Ihres Kontos bereit.

Sie müssen Berechtigungen konfigurieren, damit eine Benutzer, Gruppen oder Rollen eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen können. Weitere Informationen finden Sie unter serviceverknüpfte Rollenberechtigung im IAM-Benutzerhandbuch.

Erstellen einer serviceverknüpften Rolle für Amazon Keyspaces

Sie können eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie einen multiregionalen Keyspace in der AWS CLI, AWS Management Consoleder oder der -AWSAPI erstellen, erstellt Amazon Keyspaces die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie einen multiregionalen Keyspace erstellen, erstellt Amazon Keyspaces die serviceverknüpfte Rolle erneut für Sie.

Bearbeiten einer serviceverknüpften Rolle für Amazon Keyspaces

Amazon Keyspaces erlaubt es Ihnen nicht, die AWSServiceRoleForAmazonKeyspacesReplication serviceverknüpfte Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen einer serviceverknüpften Rolle für Amazon Keyspaces

Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch zunächst alle multiregionalen Keyspaces im Konto über alle hinweg löschen, AWS-Regionen bevor Sie die serviceverknüpfte Rolle manuell löschen können.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie IAM zum Löschen einer serviceverknüpften Rolle verwenden können, müssen Sie zunächst alle multiregionalen Keyspaces und Tabellen löschen, die von der Rolle verwendet werden.

Anmerkung

Wenn der Amazon Keyspaces-Service die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.

So löschen Sie Amazon Keyspaces-Ressourcen, die von der AWSServiceRoleForAmazonKeyspacesReplication (Konsole) verwendet werden

1. Melden Sie sich bei der an AWS Management Consoleund öffnen Sie die Amazon Keyspaces-Konsole unter https://console.aws.amazon.com/keyspaces/home.

2. Wählen Sie im linken Bereich Keyspaces aus.

3. Wählen Sie alle multiregionalen Keyspaces aus der Liste aus.

4. Wählen Sie Löschen, bestätigen Sie den Löschvorgang und wählen Sie Keyspaces löschen aus.

Sie können multiregionale Keyspaces auch programmgesteuert mit einer der folgenden Methoden löschen.

• Die Cassandra Query Language (CQL)-SCHLÜSSELRAUM LÖSCHENAnweisung.

• Die delete-keyspace-Operation der AWS CLI.

• Der DeleteKeyspace Betrieb der Amazon Keyspaces API.

Manuelles Löschen der -serviceverknüpften Rolle

Verwenden Sie die IAM-Konsole, AWS CLI- oder AWS-API, um die AWSServiceRoleForAmazonKeyspacesReplication serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter Löschen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Unterstützte Regionen für serviceverknüpfte Amazon Keyspaces-Rollen

Amazon Keyspaces unterstützt nicht die Verwendung von serviceverknüpften Rollen in jeder Region, in der der Service verfügbar ist. Sie können die AWSServiceRoleForAmazonKeyspacesReplication Rolle in den folgenden Regionen verwenden.

Name der Region	Regions-ID	Unterstützung in Amazon Keyspaces
USA Ost (Nord-Virginia)	us-east-1	Ja
USA Ost (Ohio)	us-east-2	Ja
USA West (Nordkalifornien)	us-west-1	Ja
USA West (Oregon)	us-west-2	Ja
Asien-Pazifik (Mumbai)	ap-south-1	Ja
Asien-Pazifik (Osaka)	ap-northeast-3	Ja
Asien-Pazifik (Seoul)	ap-northeast-2	Ja
Asien-Pazifik (Singapore)	ap-southeast-1	Ja
Asien-Pazifik (Sydney)	ap-southeast-2	Ja
Asien-Pazifik (Tokyo)	ap-northeast-1	Ja
Kanada (Zentral)	ca-central-1	Ja
Europa (Frankfurt)	eu-central-1	Ja
Europa (Ireland)	eu-west-1	Ja
Europa (London)	eu-west-2	Ja
Europa (Paris)	eu-west-3	Ja
Südamerika (São Paulo)	sa-east-1	Ja
AWS GovCloud (USA-Ost)	us-gov-east-1	Nein
AWS GovCloud (USA-West)	us-gov-west-1	Nein