Verwenden von dienstbezogenen Rollen für AWS Service Catalog

AWS Service Catalog Verwendungszwecke AWS Identity and Access Management (IAM) Mit Diensten verknüpfte Rollen. Eine dienstbezogene Rolle ist ein einzigartiger Rollentyp, der IAM direkt verknüpft ist mit AWS Service Catalog. Servicebezogene Rollen sind vordefiniert von AWS Service Catalog und enthalten alle Berechtigungen, die der Dienst benötigt, um andere aufzurufen AWS Dienste in Ihrem Namen.

Eine dienstbezogene Rolle macht das Einrichten AWS Service Catalog einfacher, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. AWS Service Catalog definiert die Berechtigungen seiner dienstbezogenen Rollen und, sofern nicht anders definiert, nur AWS Service Catalog kann seine Rollen übernehmen. Zu den definierten Berechtigungen gehören die Vertrauensrichtlinie und die Berechtigungsrichtlinie, und diese Berechtigungsrichtlinie kann keiner anderen IAM Entität zugeordnet werden.

Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Das schützt Ihre AWS Service Catalog Ressourcen, da Sie die Zugriffsberechtigung für die Ressourcen nicht versehentlich entfernen können.

Informationen zu anderen Diensten, die dienstbezogene Rollen unterstützen, finden Sie unter AWS Dienste, die mit Diensten funktionieren, IAM und suchen nach den Diensten, für die in der Spalte Dienstbezogene Rollen die Option Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Berechtigungen von serviceverknüpften Rollen für AWSServiceRoleForServiceCatalogSync

AWS Service Catalog kann die dienstverknüpfte Rolle mit dem Namen verwenden AWSServiceRoleForServiceCatalogSync— Diese dienstverknüpfte Rolle ist erforderlich für AWS Service Catalog zu verwenden CodeConnections und zu erstellen, zu aktualisieren und zu beschreiben AWS Service Catalog Bereitstellung von Artefakten für ein Produkt.

Die serviceverknüpfte Rolle AWSServiceRoleForServiceCatalogSync vertraut darauf, dass die folgenden Services die Rolle annehmen:

• sync.servicecatalog.amazonaws.com

Die genannte AWSServiceCatalogSyncServiceRolePolicyRichtlinie für Rollenberechtigungen ermöglicht AWS Service Catalog um die folgenden Aktionen mit den angegebenen Ressourcen durchzuführen:

• Aktion: Connection für CodeConnections

• Aktion: Create, Update, and Describe an ProvisioningArtifact für ein AWS Service Catalog Produkt

Sie müssen Berechtigungen konfigurieren, damit eine IAM Entität (z. B. ein Benutzer, eine Gruppe oder eine Rolle) eine dienstbezogene Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Berechtigungen für dienstbezogene Rollen im IAMBenutzerhandbuch.

Erstellen der serviceverknüpfte AWSServiceRoleForServiceCatalogSync-Rolle

Sie müssen die AWSServiceRoleForServiceCatalogSync dienstverknüpfte Rolle nicht manuell erstellen. AWS Service Catalog erstellt die serviceverknüpfte Rolle automatisch für Sie, wenn Sie sie in der einrichten CodeConnections AWS Management Console, der AWS CLI, oder der AWS API.

Wichtig

Diese serviceverknüpfte Rolle kann in Ihrem Konto erscheinen, wenn Sie eine Aktion in einem anderen Service abgeschlossen haben, der die von dieser Rolle unterstützten Features verwendet. Ebenfalls, wenn du das benutzt AWS Service Catalog Dienst vor dem 18. November 2022, als er begann, dienstbezogene Rollen zu unterstützen, dann AWS Service Catalog hat die AWSServiceRoleForServiceCatalogSync Rolle in Ihrem Konto erstellt. Weitere Informationen finden Sie unter Eine neue Rolle wurde in meinem IAM Konto angezeigt.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie festlegen CodeConnections, AWS Service Catalog erstellt die serviceverknüpfte Rolle erneut für Sie.

Sie können die IAM Konsole auch verwenden, um eine dienstverknüpfte Rolle mit der synchronisierten Datei zu erstellen AWS Service Catalog Anwendungsfall für Produkte. Im AWS CLI oder der AWS API, erstellen Sie eine dienstbezogene Rolle mit dem sync.servicecatalog.amazonaws.com Dienstnamen. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Erstellen einer dienstbezogenen Rolle. Wenn Sie diese serviceverknüpfte Rolle löschen, können Sie mit demselben Verfahren die Rolle erneut erstellen.

Berechtigungen von serviceverknüpften Rollen für AWSServiceRoleForServiceCatalogOrgsDataSync

AWS Service Catalog kann die dienstverknüpfte Rolle mit dem Namen verwenden AWSServiceRoleForServiceCatalogOrgsDataSync— Diese dienstverknüpfte Rolle ist erforderlich für AWS Service Catalog Organisationen, mit denen man auf dem Laufenden bleiben soll AWS Organizations.

Die serviceverknüpfte Rolle AWSServiceRoleForServiceCatalogOrgsDataSync vertraut darauf, dass die folgenden Services die Rolle annehmen:

• orgsdatasync.servicecatalog.amazonaws.com

Für die AWSServiceRoleForServiceCatalogOrgsDataSync dienstbezogene Rolle müssen Sie zusätzlich zur AWSServiceCatalogOrgsDataSyncServiceRolePolicy verwalteten Richtlinie die folgende Vertrauensrichtlinie verwenden:

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
        "Service": "orgsdatasync.servicecatalog.amazonaws.com" 
      }, 
      "Action": "sts:AssumeRole" 
    } 
  ] 
}
      

Die genannte AWSServiceCatalogOrgsDataSyncServiceRolePolicyRichtlinie für Rollenberechtigungen ermöglicht AWS Service Catalog um die folgenden Aktionen mit den angegebenen Ressourcen durchzuführen:

• Aktion: DescribeAccountDescribeOrganization, und ListAWSServiceAccessForOrganization weiter Organizations accounts

• Aktion: ListAccountsListChildren, und ListParent weiter Organizations accounts

Sie müssen Berechtigungen konfigurieren, damit eine IAM Entität (z. B. ein Benutzer, eine Gruppe oder eine Rolle) eine dienstbezogene Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Berechtigungen für dienstbezogene Rollen im IAMBenutzerhandbuch.

Erstellen der serviceverknüpfte AWSServiceRoleForServiceCatalogOrgsDataSync-Rolle

Sie müssen die AWSServiceRoleForServiceCatalogOrgsDataSync dienstverknüpfte Rolle nicht manuell erstellen. AWS Service Catalog betrachtet Ihre Aktion der Aktivierung Freigeben für AWS Organizations oder Freigeben eines Portfolios als Genehmigung für AWS Service Catalog um SLR in Ihrem Namen eine im Hintergrund zu erstellen.

AWS Service Catalog erstellt die serviceverknüpfte Rolle automatisch für Sie, wenn Sie sie anfordern EnableAWSOrganizationsAccess oder CreatePortfolioShare in der AWS Management Console, der AWS CLI, oder der AWS API.

Wichtig

Diese serviceverknüpfte Rolle kann in Ihrem Konto erscheinen, wenn Sie eine Aktion in einem anderen Service abgeschlossen haben, der die von dieser Rolle unterstützten Features verwendet. Weitere Informationen finden Sie unter Eine neue Rolle wurde in meinem IAM Konto angezeigt.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine Anfrage stellen EnableAWSOrganizationsAccess CreatePortfolioShare oder AWS Service Catalog erstellt die serviceverknüpfte Rolle erneut für Sie.

Bearbeiten einer serviceverknüpften Rolle für AWS Service Catalog

AWS Service Catalog erlaubt es Ihnen nicht, die AWSServiceRoleForServiceCatalogSync oder die AWSServiceRoleForServiceCatalogOrgsDataSync dienstbezogenen Rollen zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können die Beschreibung der Rolle jedoch mithilfe IAM von bearbeiten. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Bearbeiten einer dienstbezogenen Rolle.

Löschen einer serviceverknüpften Rolle für AWS Service Catalog

Sie können die IAM Konsole verwenden, AWS CLI, oder das AWS APIum das AWSServiceRoleForServiceCatalogSync oder manuell zu löschen AWSServiceRoleForServiceCatalogOrgsDataSyncSLR. Dazu müssen Sie zunächst alle Ressourcen manuell entfernen, die die serviceverknüpfte Rolle verwenden (z. B. AWS Service Catalog Produkte, die mit einem externen Repository synchronisiert wurden), und dann kann die Rolle, die mit dem Service verknüpft ist, manuell gelöscht werden.

Unterstützte Regionen für AWS Service Catalog Serviceverknüpfte Rollen

AWS Service Catalog unterstützt die Verwendung von dienstbezogenen Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter AWS Regionen und Endpunkte.

Name der Region	Regions-ID	Support in AWS Service Catalog
USA Ost (Nord-Virginia)	us-east-1	Ja
USA Ost (Ohio)	us-east-2	Ja
USA West (Nordkalifornien)	us-west-1	Ja
USA West (Oregon)	us-west-2	Ja
Afrika (Kapstadt)	af-south-1	Ja
Asien-Pazifik (Hongkong)	ap-east-1	Ja
Asien-Pazifik (Jakarta)	ap-southeast-3	Ja
Asien-Pazifik (Mumbai)	ap-south-1	Ja
Asien-Pazifik (Osaka)	ap-northeast-3	Ja
Asien-Pazifik (Seoul)	ap-northeast-2	Ja
Asien-Pazifik (Singapore)	ap-southeast-1	Ja
Asien-Pazifik (Sydney)	ap-southeast-2	Ja
Asien-Pazifik (Tokyo)	ap-northeast-1	Ja
Kanada (Zentral)	ca-central-1	Ja
Europa (Frankfurt)	eu-central-1	Ja
Europa (Ireland)	eu-west-1	Ja
Europa (London)	eu-west-2	Ja
Europa (Mailand)	eu-south-1	Ja
Europa (Paris)	eu-west-3	Ja
Europa (Stockholm)	eu-north-1	Ja
Naher Osten (Bahrain)	me-south-1	Ja
Südamerika (São Paulo)	sa-east-1	Ja
AWS GovCloud (US-Ost)	us-gov-east-1	Nein
AWS GovCloud (US-West)	us-gov-west-1	Nein