Verwenden von dienstverknüpften Rollen zum Erstellen serverloser Sammlungen OpenSearch

OpenSearch Serverless verwendet dienstgebundene AWS Identity and Access Management Rollen (IAM). Eine dienstverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, die direkt mit dem Dienst verknüpft ist. OpenSearch Dienstbezogene Rollen sind von OpenSearch Service vordefiniert und beinhalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

OpenSearch Serverless verwendet die mit dem Dienst verknüpfte Rolle mit dem Namen AWSServiceRoleForAmazonOpenSearchServerless, die die Rolle benötigt, um Metriken im Zusammenhang mit Serverless CloudWatch in Ihrem Konto zu veröffentlichen. Die zugeordnete Rollenberechtigungsrichtlinie ist benannt. AWSServiceRoleForAmazonOpenSearchServerless AmazonOpenSearchServerlessServiceRolePolicy Weitere Informationen zu der Richtlinie finden Sie AmazonOpenSearchServerlessServiceRolePolicyim Referenzhandbuch für AWS verwaltete Richtlinien.

Dienstbezogene Rollenberechtigungen für Serverless OpenSearch

OpenSearch Serverless verwendet die angegebene dienstverknüpfte Rolle AWSServiceRoleForAmazonOpenSearchServerless, die es OpenSearch Serverless ermöglicht, Dienste in Ihrem Namen aufzurufen AWS .

Die AWSServiceRoleForAmazonOpenSearchServerless dienstgebundene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

• observability.aoss.amazonaws.com

Die genannte Rollenberechtigungsrichtlinie AmazonOpenSearchServerlessServiceRolePolicy ermöglicht es OpenSearch Serverless, die folgenden Aktionen an den angegebenen Ressourcen durchzuführen:

• Aktion: cloudwatch:PutMetricData für alle Ressourcen AWS

Anmerkung

Die Richtlinie beinhaltet den Bedingungsschlüssel{"StringEquals": {"cloudwatch:namespace": "AWS/AOSS"}}, was bedeutet, dass die dienstbezogene Rolle nur Metrikdaten an den AWS/AOSS CloudWatch Namespace senden kann.

Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Serviceverknüpfte Rollenberechtigung im IAM-Benutzerhandbuch.

Die dienstverknüpfte Rolle für Serverless wird erstellt OpenSearch

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine OpenSearch serverlose Sammlung in der AWS Management Console, der oder der AWS API erstellen AWS CLI, erstellt OpenSearch Serverless die dienstverknüpfte Rolle für Sie.

Anmerkung

Wenn Sie zum ersten Mal eine Sammlung erstellen, muss Ihnen das iam:CreateServiceLinkedRole in einer identitätsbasierten Richtlinie zugewiesen werden.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine OpenSearch serverlose Sammlung erstellen, erstellt Serverless die OpenSearch dienstverknüpfte Rolle erneut für Sie.

Sie können die IAM-Konsole auch verwenden, um eine serviceverknüpfte Rolle mit dem Amazon OpenSearch Serverless-Anwendungsfall zu erstellen. Erstellen Sie in der API AWS CLI oder in der AWS API eine serviceverknüpfte Rolle mit dem Servicenamen: observability.aoss.amazonaws.com

aws iam create-service-linked-role --aws-service-name "observability.aoss.amazonaws.com"

Weitere Informationen finden Sie unter Erstellen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch. Wenn Sie diese serviceverknüpfte Rolle löschen, können Sie mit demselben Verfahren die Rolle erneut erstellen.

Bearbeiten Sie die dienstverknüpfte Rolle für Serverless OpenSearch

OpenSearch Serverless ermöglicht es Ihnen nicht, die dienstverknüpfte Rolle zu bearbeiten. AWSServiceRoleForAmazonOpenSearchServerless Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen der dienstverknüpften Rolle für Serverless OpenSearch

Wenn Sie ein Feature oder einen Service, die bzw. der eine serviceverknüpfte Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Dies verhindert, dass Sie über eine ungenutzte Entität verfügen, die nicht aktiv überwacht oder gewartet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpfte Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.

Um die zu löschen AWSServiceRoleForAmazonOpenSearchServerless, müssen Sie zuerst alle OpenSearch Serverless-Sammlungen in Ihrem löschen. AWS-Konto

Anmerkung

Wenn OpenSearch Serverless die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.

So löschen Sie die serviceverknüpfte Rolle mit IAM

Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die AWSServiceRoleForAmazonOpenSearchServerless serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter Löschen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Unterstützte Regionen für OpenSearch serverlose, serviceverknüpfte Rollen

OpenSearch Serverless unterstützt die Verwendung der AWSServiceRoleForAmazonOpenSearchServerless serviceverknüpften Rolle in jeder Region, in der Serverless verfügbar ist. OpenSearch Eine Liste der unterstützten Regionen finden Sie unter Amazon OpenSearch Serverless Endpoints and Quotas in der. Allgemeine AWS-Referenz