Berechtigungen von serviceverknüpften Rollen Eine serviceverknüpfte Rolle erstellen () IAM Bearbeiten der Beschreibung einer serviceverknüpften Rolle Löschen einer serviceverknüpften Rolle für Amazon Timestream for InfluxDB Unterstützte Regionen für Amazon Timestream for InfluxDB Service-Linked Roles

Verwenden von serviceverknüpften Rollen für Amazon Timestream for InfluxDB

Amazon Timestream for InfluxDB verwendet AWS Identity and Access Management (IAM) service-verknüpfte Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger IAM Rollentyp, der direkt mit einem AWS Service verknüpft ist, z. B. Amazon Timestream für InfluxDB. Servicebezogene Rollen von Amazon Timestream for InfluxDB sind von Amazon Timestream for InfluxDB vordefiniert. Sie beinhalten alle Berechtigungen, die der Service benötigt, um Dienste im Namen Ihrer DB-Instances aufzurufen AWS .

Eine serviceverknüpfte Rolle erleichtert die Einrichtung von Amazon Timestream für InfluxDB, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Die Rollen sind bereits in Ihrem AWS Konto vorhanden, sind jedoch mit Amazon Timestream für InfluxDB-Anwendungsfälle verknüpft und haben vordefinierte Berechtigungen. Nur Amazon Timestream for InfluxDB kann diese Rollen übernehmen, und nur diese Rollen können die vordefinierte Berechtigungsrichtlinie verwenden. Sie können die Rollen nur nach dem Löschen der zugehörigen Ressourcen löschen. Dies schützt Ihre Amazon Timestream for InfluxDB-Ressourcen, da Sie nicht versehentlich die erforderlichen Berechtigungen für den Zugriff auf die Ressourcen entfernen können.

Informationen zu anderen Diensten, die serviceverknüpfte Rollen unterstützen, finden Sie unter AWS Services That Work with IAM und suchen Sie in der Spalte Service-Linked Role nach den Diensten, für die Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Inhalt

Servicebezogene Rollenberechtigungen für Amazon Timestream for InfluxDB

Amazon Timestream for InfluxDB verwendet die serviceverknüpfte Rolle mit dem Namen AmazonTimestreamInfluxDBServiceRolePolicy— Diese Richtlinie ermöglicht es Timestream for InfluxDB, AWS Ressourcen in Ihrem Namen zu verwalten, soweit dies für die Verwaltung Ihrer Cluster erforderlich ist.

Die Richtlinie für AmazonTimestreamInflux DBServiceRolePolicy servicebezogene Rollenberechtigungen ermöglicht es Amazon Timestream for InfluxDB, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "DescribeNetworkStatement",
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeSubnets",
				"ec2:DescribeVpcs",
				"ec2:DescribeNetworkInterfaces"
			],
			"Resource": "*"
		},
		{
			"Sid": "CreateEniInSubnetStatement",
			"Effect": "Allow",
			"Action": [
				"ec2:CreateNetworkInterface"
			],
			"Resource": [
				"arn:aws:ec2:*:*:subnet/*",
				"arn:aws:ec2:*:*:security-group/*"
			]
		},
		{
			"Sid": "CreateEniStatement",
			"Effect": "Allow",
			"Action": [
				"ec2:CreateNetworkInterface"
			],
			"Resource": "arn:aws:ec2:*:*:network-interface/*",
			"Condition": {
				"Null": {
					"aws:RequestTag/AmazonTimestreamInfluxDBManaged": "false"
				}
			}
		},
		{
			"Sid": "CreateTagWithEniStatement",
			"Effect": "Allow",
			"Action": [
				"ec2:CreateTags"
			],
			"Resource": "arn:aws:ec2:*:*:network-interface/*",
			"Condition": {
				"Null": {
					"aws:RequestTag/AmazonTimestreamInfluxDBManaged": "false"
				},
				"StringEquals": {
					"ec2:CreateAction": [
						"CreateNetworkInterface"
					]
				}
			}
		},
		{
			"Sid": "ManageEniStatement",
			"Effect": "Allow",
			"Action": [
				"ec2:CreateNetworkInterfacePermission",
				"ec2:DeleteNetworkInterface"
			],
			"Resource": "arn:aws:ec2:*:*:network-interface/*",
			"Condition": {
				"Null": {
					"aws:ResourceTag/AmazonTimestreamInfluxDBManaged": "false"
				}
			}
		},
		{
			"Sid": "PutCloudWatchMetricsStatement",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:PutMetricData"
			],
			"Condition": {
				"StringEquals": {
					"cloudwatch:namespace": [
						"AWS/Timestream/InfluxDB",
						"AWS/Usage"
					]
				}
			},
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "ManageSecretStatement",
			"Effect": "Allow",
			"Action": [
				"secretsmanager:CreateSecret",
				"secretsmanager:DeleteSecret"
			],
			"Resource": [
				"arn:aws:secretsmanager:*:*:secret:READONLY-InfluxDB-auth-parameters-*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Um es einer IAM Entität zu ermöglichen, servicebezogene Rollen zu erstellen AmazonTimestreamInflux DBServiceRolePolicy

Fügen Sie den Berechtigungen für diese IAM Entität die folgende Richtlinienerklärung hinzu:


{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/timestreamforinfluxdb.amazonaws.com/AmazonTimestreamInfluxDBServiceRolePolicy*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "timestreamforinfluxdb.amazonaws.com"}}
}

Um einer IAM Entität das Löschen von AmazonTimestreamInflux DBServiceRolePolicy dienstbezogenen Rollen zu ermöglichen

Fügen Sie den Berechtigungen für diese IAM Entität die folgende Richtlinienerklärung hinzu:


{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/timestreamforinfluxdb.amazonaws.com/AmazonTimestreamInfluxDBServiceRolePolicy*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "timestreamforinfluxdb.amazonaws.com"}}
}

Alternativ können Sie eine AWS verwaltete Richtlinie verwenden, um vollen Zugriff auf Amazon Timestream for InfluxDB zu gewähren.

Eine serviceverknüpfte Rolle erstellen () IAM

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine DB-Instance erstellen, erstellt Amazon Timestream for InfluxDB die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine DB-Instance erstellen, erstellt Amazon Timestream for InfluxDB die serviceverknüpfte Rolle erneut für Sie.

Bearbeiten der Beschreibung einer serviceverknüpften Rolle für Amazon Timestream for InfluxDB

Amazon Timestream for InfluxDB erlaubt Ihnen nicht, die serviceverknüpfte Rolle zu bearbeiten. AmazonTimestreamInflux DBServiceRolePolicy Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können die Beschreibung der Rolle jedoch mithilfe von bearbeiten. IAM

Bearbeiten einer servicebezogenen Rollenbeschreibung (IAMKonsole)

Sie können die IAM Konsole verwenden, um eine Beschreibung einer dienstbezogenen Rolle zu bearbeiten.

So bearbeiten Sie die Beschreibung einer serviceverknüpften Rolle (Konsole)

Wählen Sie im linken Navigationsbereich der IAM Konsole die Option Rollen aus.
Wählen Sie den Namen der zu ändernden Rolle.
Wählen Sie neben Role description ganz rechts Edit.
Geben Sie eine neue Beschreibung im Dialogfeld ein und klicken Sie auf Save (Speichern).

Eine Beschreibung einer serviceverknüpften Rolle bearbeiten () IAM CLI

Sie können IAM Operationen von verwenden AWS Command Line Interface , um eine servicebezogene Rollenbeschreibung zu bearbeiten.

Um die Beschreibung einer dienstbezogenen Rolle zu ändern () CLI

(Optional) Um die aktuelle Beschreibung einer Rolle anzuzeigen, verwenden Sie den IAM Vorgang AWS CLI get-role for.
```
$ aws iam get-role --role-name AmazonTimestreamInfluxDBServiceRolePolicy
```
Verwenden Sie den Rollennamen, nicht denARN, um auf Rollen mit den CLI Operationen zu verweisen. Wenn eine Rolle beispielsweise Folgendes hatARN:arn:aws:iam::123456789012:role/myrole, bezeichnen Sie die Rolle alsmyrole.

Um die Beschreibung einer serviceverknüpften Rolle zu aktualisieren, verwenden Sie den IAM Vorgang AWS CLI update-role-description for.

Linux und macOS


$ aws iam update-role-description \
    --role-name AmazonTimestreamInfluxDBServiceRolePolicy \
    --description "new description"

Windows


$ aws iam update-role-description ^
    --role-name AmazonTimestreamInfluxDBServiceRolePolicy ^
    --description "new description"

Bearbeiten einer mit einem Dienst verknüpften Rollenbeschreibung () IAM API

Sie können die verwenden IAMAPI, um eine mit einem Dienst verknüpfte Rollenbeschreibung zu bearbeiten.

Um die Beschreibung einer dienstbezogenen Rolle zu ändern () API

(Optional) Um die aktuelle Beschreibung einer Rolle anzuzeigen, verwenden Sie den Vorgang IAM API GetRole.


https://iam.amazonaws.com/
   ?Action=GetRole
   &RoleName=AmazonTimestreamInfluxDBServiceRolePolicy
   &Version=2010-05-08
   &AUTHPARAMS

Verwenden Sie den IAM API Vorgang, um die Beschreibung einer Rolle zu aktualisieren UpdateRoleDescription.


https://iam.amazonaws.com/
   ?Action=UpdateRoleDescription
   &RoleName=AmazonTimestreamInfluxDBServiceRolePolicy
   &Version=2010-05-08
   &Description="New description"

Löschen einer serviceverknüpften Rolle für Amazon Timestream for InfluxDB

Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch Ihre serviceverknüpfte Rolle zunächst bereinigen, bevor Sie sie löschen können.

Amazon Timestream for InfluxDB löscht die serviceverknüpfte Rolle nicht für Sie.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie eine serviceverknüpfte Rolle löschen können, stellen Sie zunächst sicher, dass der Rolle keine Ressourcen (Cluster) zugeordnet sind. IAM

Um zu überprüfen, ob die dienstverknüpfte Rolle über eine aktive Sitzung in der Konsole verfügt IAM

Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.
Wählen Sie im linken Navigationsbereich der IAM Konsole Rollen aus. Wählen Sie dann den Namen (nicht das Kontrollkästchen) der AmazonTimestreamInflux DBServiceRolePolicy Rolle aus.
Wählen Sie auf der Seite Summary für die ausgewählte Rolle die Registerkarte Access Advisor.
Überprüfen Sie auf der Registerkarte Access Advisor die jüngsten Aktivitäten für die serviceverknüpfte Rolle.

Löschen einer dienstverknüpften Rolle (IAMKonsole)

Sie können die IAM Konsole verwenden, um eine dienstverknüpfte Rolle zu löschen.

So löschen Sie eine serviceverknüpfte Rolle (Konsole)

Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.
Wählen Sie im linken Navigationsbereich der IAM Konsole Rollen aus. Aktivieren Sie dann das Kontrollkästchen neben dem Rollennamen, den Sie löschen möchten, nicht den Namen oder die Zeile selbst.
Wählen Sie für Role actions oben auf der Seite Delete role aus.
Überprüfen Sie auf der Bestätigungsseite die Daten, auf die der Dienst zuletzt zugegriffen hat. Aus diesen Daten geht hervor, wann jede der ausgewählten Rollen zuletzt auf einen AWS Dienst zugegriffen hat. Auf diese Weise können Sie leichter bestätigen, ob die Rolle derzeit aktiv ist. Wenn Sie fortfahren möchten, wählen Sie Yes, Delete aus, um die serviceverknüpfte Rolle zur Löschung zu übermitteln.
Sehen Sie sich die IAM Konsolenbenachrichtigungen an, um den Fortschritt beim Löschen der dienstbezogenen Rolle zu verfolgen. Da das Löschen der IAM dienstbezogenen Rolle asynchron erfolgt, kann die Löschaufgabe erfolgreich sein oder fehlschlagen, nachdem Sie die Rolle zum Löschen eingereicht haben. Wenn der Vorgang fehlschlägt, können Sie in den Benachrichtigungen View details oder View Resources auswählen, um zu erfahren, warum die Löschung fehlgeschlagen ist.

Löschen einer dienstverknüpften Rolle () IAM CLI

Sie können IAM Operationen von verwenden, AWS Command Line Interface um eine dienstverknüpfte Rolle zu löschen.

Um eine dienstverknüpfte Rolle zu löschen () CLI

Wenn Sie den Namen der serviceverknüpften Rolle, die Sie löschen möchten, nicht kennen, geben Sie den folgenden Befehl ein. Dieser Befehl listet die Rollen und ihre Amazon-Ressourcennamen (ARNs) in Ihrem Konto auf.
```
$ aws iam get-role --role-name role-name
```
Verwenden Sie den Rollennamen, nicht denARN, um auf Rollen mit den CLI Vorgängen zu verweisen. Wenn eine Rolle beispielsweise den hat ARNarn:aws:iam::123456789012:role/myrole, bezeichnen Sie die Rolle alsmyrole.
Da eine serviceverknüpfte Rolle nicht gelöscht werden kann, wenn sie verwendet wird oder ihr Ressourcen zugeordnet sind, müssen Sie eine Löschungsanforderung übermitteln. Diese Anforderung kann verweigert werden, wenn diese Bedingungen nicht erfüllt sind. Sie benötigen die deletion-task-id aus der Antwort, um den Status der Löschaufgabe zu überprüfen. Geben Sie Folgendes ein, um eine Anforderung zum Löschen einer serviceverknüpften Rolle abzusenden.
```
$ aws iam delete-service-linked-role --role-name role-name
```
Geben Sie Folgendes ein, um den Status der Löschaufgabe zu überprüfen.
```
$ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id
```
Der Status der Löschaufgabe kann NOT_STARTED, IN_PROGRESS, SUCCEEDED oder FAILED lauten. Wenn die Löschung fehlschlägt, gibt der Aufruf den Grund zurück, sodass Sie das Problem beheben können.

Löschen einer serviceverknüpften Rolle () IAM API

Sie können die verwenden IAMAPI, um eine dienstverknüpfte Rolle zu löschen.

Um eine dienstverknüpfte Rolle zu löschen () API

Um einen Löschantrag für eine dienstbezogene Rolle einzureichen, rufen Sie DeleteServiceLinkedRole. Geben Sie in der Anfrage einen Rollennamen an.

Da eine serviceverknüpfte Rolle nicht gelöscht werden kann, wenn sie verwendet wird oder ihr Ressourcen zugeordnet sind, müssen Sie eine Löschungsanforderung übermitteln. Diese Anforderung kann verweigert werden, wenn diese Bedingungen nicht erfüllt sind. Sie benötigen die DeletionTaskId aus der Antwort, um den Status der Löschaufgabe zu überprüfen.
Um den Status des Löschvorgangs zu überprüfen, rufen Sie GetServiceLinkedRoleDeletionStatus. Geben Sie in der Anfrage die anDeletionTaskId.

Der Status der Löschaufgabe kann NOT_STARTED, IN_PROGRESS, SUCCEEDED oder FAILED lauten. Wenn die Löschung fehlschlägt, gibt der Aufruf den Grund zurück, sodass Sie das Problem beheben können.

Unterstützte Regionen für Amazon Timestream for InfluxDB Service-Linked Roles

Amazon Timestream for InfluxDB unterstützt die Verwendung von serviceverknüpften Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter AWS -Service-Endpunkte.

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Steuern des Zugriffs auf eine DB-Instance in einem VPC

AWS verwaltete Richtlinien