Roles de identidad de instancia

Cada instancia que lance tiene un rol de identidad de instancia que representa su identidad. Un rol de identidad de instancia es un tipo de rol de IAM. Los servicios y las características de AWS integrados para usar el rol de identidad de instancia pueden usarlo para identificar la instancia en el servicio.

Las credenciales de rol de identidad de instancia están disponibles en el servicio de metadatos de instancia (IMDS) en /identity-credentials/ec2/security-credentials/ec2-instance. Las credenciales incluyen un par de claves de acceso temporal de AWS y un token de sesión. Se utilizan para firmar las solicitudes de Sigv4 de AWS a los servicios de AWS que utilizan el rol de identidad de instancia. Las credenciales están presentes en los metadatos de la instancia independientemente de si un servicio o una característica que utiliza los roles de identidad de la instancia está habilitado en la instancia.

Los roles de identidad de instancia se crean automáticamente cuando se inicia una instancia, no tienen ningún documento de política de confianza de roles y no están sujetos a ninguna política de identidad o recursos.

Servicios admitidos

Los siguientes servicios de AWS utilizan el rol de identidad de instancia:

• Amazon EC2: la conexión de instancias EC2 utiliza el rol de identidad de instancia para actualizar las claves de host de una instancia de Linux.

• Amazon GuardDuty: el monitoreo de tiempo de ejecución utiliza el rol de identidad de instancia para permitir que el agente de tiempo de ejecución envíe telemetría de seguridad al punto de conexión de VPC de GuardDuty.

• AWS Security Token Service (AWS STS): las credenciales del rol de identidad de instancia se pueden usar con la acción GetCallerIdentityde AWS STS.

• AWS Systems Manager: cuando se utiliza la configuración de la administración de host predeterminada, AWS Systems Manager utiliza la identidad proporcionada por el rol de identidad de instancia para registrar las instancias de EC2. Tras identificar la instancia, Systems Manager puede pasar el rol de IAM de AWSSystemsManagerDefaultEC2InstanceManagementRole a la instancia.

Los roles de identidad de instancia no se pueden usar con otros servicios o características de AWS porque no están integrados con los roles de identidad de instancia.

ARN de rol de identidad de instancia

El ARN de rol de identidad de instancia tiene el siguiente formato:

arn:aws-partition:iam::account-number:assumed-role/aws:ec2-instance/instance-id

Por ejemplo:

arn:aws:iam::0123456789012:assumed-role/aws:ec2-instance/i-0123456789example

Para más información acerca de los ARN, consulte Nombres de recursos de Amazon (ARN) en la guía de referencia de usuario de IAM.