Permisos de roles vinculados a servicios Creación de un rol vinculado a servicios (IAM)Edición de la descripción de un rol vinculado a servicio Eliminar un rol vinculado a servicios para Amazon ElastiCache

Uso de roles vinculados a servicios para Amazon ElastiCache

Amazon ElastiCache utiliza roles vinculados a servicios de AWS Identity and Access Management (IAM). Un rol vinculado a servicios es un tipo único de rol de IAM que se encuentra vinculado directamente a un servicio de AWS, como Amazon ElastiCache. Amazon ElastiCache predefine los roles vinculados a servicios de Amazon ElastiCache. Incluyen todos los permisos que requiere el servicio para llamar a otros servicios de AWS en nombre de los clústeres.

Un rol vinculado a servicios simplifica la configuración de Amazon ElastiCache porque ya no tendrá que agregar manualmente los permisos necesarios. Los roles ya existen dentro de la cuenta de AWS, pero se encuentran vinculados a los casos de uso de Amazon ElastiCache y tienen permisos predefinidos. Solo Amazon ElastiCache puede asumir estos roles y solo estos roles pueden utilizar la política de permisos predefinida. Las funciones se pueden eliminar únicamente después de eliminar primero sus recursos relacionados. De esta forma se protegen los recursos de Amazon ElastiCache porque no puede eliminar los permisos necesarios para acceder a los recursos.

Para obtener información acerca de otros servicios que admiten roles vinculados a servicios, consulte Servicios de AWS que funcionan con IAM y busque los servicios que muestran Sí en la columna Roles vinculado a servicios. Elija una opción Sí con un enlace para ver la documentación acerca del rol vinculado a servicios en cuestión.

Contenido

Permisos de roles vinculados a servicios para Amazon ElastiCache

Permisos para crear un rol vinculado a servicios

Para permitir a una entidad de IAM crear roles vinculados a servicios AWSServiceRoleForElastiCache

Agregue la siguiente instrucción de política a los permisos para esa entidad de IAM:


{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/elasticache.amazonaws.com/AWSServiceRoleForElastiCache*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "elasticache.amazonaws.com"}}
}

Para permitir a una entidad de IAM eliminar roles vinculados a servicios AWSServiceRoleForElastiCache

Agregue la siguiente instrucción de política a los permisos para esa entidad de IAM:


{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/elasticache.amazonaws.com/AWSServiceRoleForElastiCache*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "elasticache.amazonaws.com"}}
}

También puede utilizar una política administrada por AWS para proporcionar acceso completo a Amazon ElastiCache.

Creación de un rol vinculado a servicios (IAM)

Puede crear un rol vinculado a servicios mediante la consola de IAM, la CLI o la API.

Creación de un rol vinculado a servicios (consola de IAM)

Puede utilizar la consola de IAM para crear un rol vinculado a un servicio.

Para crear un rol vinculado a un servicio (consola)

Inicie sesión en la AWS Management Console y abra la consola de IAM en https://console.aws.amazon.com/iam/.
En el panel de navegación de la consola de IAM, elija Roles. A continuación, elija Create new role (Crear nuevo rol).
En Select type of trusted entity (Seleccionar el tipo de entidad de confianza), elija AWS Service (Servicio de ).
En Or select a service to view its use cases (O seleccionar un servicio para ver sus casos de uso), elija ElastiCache.
Elija Siguiente: permisos.
En Policy name (Nombre de la política), tenga en cuenta que ElastiCacheServiceRolePolicy es necesario para este rol. Elija Siguiente:Etiquetas.
Tenga en cuenta que las etiquetas no son compatibles con los roles vinculados a servicios. Elija Next: Review.
(Opcional) En Descripción del rol, edite la descripción del nuevo rol vinculado al servicio.
Revise el rol y, a continuación, seleccione Crear rol.

Creación de un rol vinculado a servicios (CLI de IAM)

Puede utilizar las operaciones de IAM desde la AWS Command Line Interface para crear un rol vinculado a servicios. Este rol puede incluir la política de confianza y las políticas insertadas que el servicio necesita para asumir el rol.

Para crear un rol vinculado a un servicio (CLI)

Use la operación siguiente:


$ aws iam create-service-linked-role --aws-service-name elasticache.amazonaws.com

Creación de un rol vinculado a servicios (API de IAM)

Puede utilizar la API de IAM para crear un rol vinculado a servicios. Este rol puede contener la política de confianza y las políticas insertadas que el servicio necesita para asumir el rol.

Para crear un rol vinculado a un servicio (API)

Use la llamada de API de CreateServiceLinkedRole. En la solicitud, especifique el nombre del servicio de elasticache.amazonaws.com.

Edición de la descripción de un rol vinculado a servicios para Amazon ElastiCache

Amazon ElastiCache no permite editar el rol vinculado a servicios de AWSServiceRoleForElastiCache. Después de crear un rol vinculado al servicio, no podrá cambiar el nombre del rol, ya que varias entidades podrían hacer referencia al rol. Sin embargo, sí puede editar la descripción del rol con IAM.

Edición de la descripción de un rol vinculado a servicios (consola de IAM)

Puede utilizar la consola de IAM para editar una descripción de rol vinculado a servicios.

Para editar la descripción de un rol vinculado a un servicio (consola)

En el panel de navegación de la consola de IAM, elija Roles.
Seleccione el nombre del rol que desea modificar.
En el extremo derecho de Role description, seleccione Edit.
Ingrese una descripción nueva en el cuadro Save (Guardar).

Edición de la descripción de un rol vinculado a servicios (CLI de IAM)

Puede utilizar operaciones de IAM desde la AWS Command Line Interface para editar una descripción de rol vinculado a servicios.

Para cambiar la descripción de un rol vinculado a un servicio (CLI)

(Opcional) A fin de ver la descripción actual de un rol, utilice la AWS CLI para la operación de IAM get-role.
```
$ aws iam get-role --role-name AWSServiceRoleForElastiCache
```
Utilice el nombre del rol, no el ARN, para hacer referencia a los roles con las operaciones de la CLI. Por ejemplo, si una función tiene el ARN arn:aws:iam::123456789012:role/myrole, debe referirse a él como myrole.

Para actualizar la descripción de un rol vinculado a servicios, utilice la AWS CLI para la operación de IAM update-role-description.

Para Linux, macOS o Unix:


$ aws iam update-role-description \
    --role-name AWSServiceRoleForElastiCache \
    --description "new description"

Para Windows:


$ aws iam update-role-description ^
    --role-name AWSServiceRoleForElastiCache ^
    --description "new description"

Edición de la descripción de un rol vinculado a servicios (API de IAM)

Puede utilizar la API de IAM para editar una descripción de rol vinculado a servicios.

Para cambiar la descripción de un rol vinculado a un servicio (API)

(Opcional) Para ver la descripción actual de un rol, utilice la operación de la API de IAM GetRole.


https://iam.amazonaws.com/
   ?Action=GetRole
   &RoleName=AWSServiceRoleForElastiCache
   &Version=2010-05-08
   &AUTHPARAMS

Para actualizar la descripción de un rol, utilice la operación de la API de IAM UpdateRoleDescription.


https://iam.amazonaws.com/
   ?Action=UpdateRoleDescription
   &RoleName=AWSServiceRoleForElastiCache
   &Version=2010-05-08
   &Description="New description"

Eliminar un rol vinculado a servicios para Amazon ElastiCache

Si ya no necesita utilizar una característica o servicio que requiere un rol vinculado a un servicio, recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Sin embargo, debe limpiar el rol vinculado al servicio antes de eliminarlo.

Amazon ElastiCache no elimina de forma automática el rol vinculado a servicios.

Limpiar un rol vinculado a un servicio

Antes de que pueda utilizar IAM para eliminar un rol vinculado a servicios, primero confirme que el rol no tiene recursos (clústeres) asociados a él.

Para comprobar si el rol vinculado a un servicio tiene una sesión activa en la consola de IAM

Inicie sesión en la AWS Management Console y abra la consola de IAM en https://console.aws.amazon.com/iam/.
En el panel de navegación de la consola de IAM, elija Roles. A continuación, elija el nombre (no la casilla de verificación) del rol AWSServiceRoleForElastiCache.
En la página Resumen del rol seleccionado, elija la pestaña Asesor de acceso.
En la pestaña Asesor de acceso, revise la actividad reciente del rol vinculado a servicios.

Para eliminar recursos de Amazon ElastiCache que requieren AWSServiceRoleForelastiCache

Para eliminar un clúster, consulte los siguientes temas:

Eliminación de un rol vinculado a servicios (consola de IAM)

Puede utilizar la consola de IAM para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (consola)

Inicie sesión en la AWS Management Console y abra la consola de IAM en https://console.aws.amazon.com/iam/.
En el panel de navegación de la consola de IAM, elija Roles. A continuación, seleccione la casilla junto al nombre del rol que desea eliminar, no el nombre ni la fila.
En Role actions (Acciones de rol) en la parte superior de la página, elija Delete role (Eliminar rol).
En el cuadro de diálogo de confirmación, revise los datos del último acceso al servicio, que muestra cuándo cada uno de los roles seleccionados tuvo acceso a un servicio de AWS por última vez. Esto lo ayuda a confirmar si el rol está actualmente activo. Si desea continuar, seleccione Yes, Delete para enviar la solicitud de eliminación del rol vinculado al servicio.
Consulte las notificaciones de la consola de IAM para monitorear el progreso de la eliminación del rol vinculado al servicio. Como el proceso de eliminación del rol vinculado al servicio de IAM es asíncrono, dicha tarea puede realizarse correctamente o fallar después de que envía la solicitud de eliminación. Si la tarea no se realiza correctamente, puede seleccionar View details (Ver detalles) o View Resources (Ver recursos) desde las notificaciones para obtener información sobre el motivo por el que no se pudo eliminar el rol.

Eliminación de un rol vinculado a servicios (CLI de IAM)

Puede utilizar las operaciones de IAM desde la AWS Command Line Interface para eliminar un rol vinculado a servicios.

Para eliminar un rol vinculado a un servicio (CLI)

Si no conoce el nombre del rol vinculado a servicios que desea eliminar, ingrese el siguiente comando. En este comando se enumeran los roles y los nombres de recursos de Amazon (ARN) de la cuenta.
```
$ aws iam get-role --role-name role-name
```
Utilice el nombre del rol, no el ARN, para hacer referencia a los roles con las operaciones de la CLI. Por ejemplo, si un rol tiene el ARN arn:aws:iam::123456789012:role/myrole, debe referirse a él como myrole.
Como los roles vinculados a servicios no se puede eliminar si están en uso o tienen recursos asociados, debe enviar una solicitud de eliminación. Esta solicitud puede denegarse si no se cumplen estas condiciones. Debe apuntar el valor deletion-task-id de la respuesta para comprobar el estado de la tarea de eliminación. Ingrese lo siguiente para enviar una solicitud de eliminación de un rol vinculado a servicios.
```
$ aws iam delete-service-linked-role --role-name role-name
```
Ingrese lo siguiente para verificar el estado de la tarea de eliminación.
```
$ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id
```
El estado de la tarea de eliminación puede ser NOT_STARTED, IN_PROGRESS, SUCCEEDED o FAILED. Si ocurre un error durante la eliminación, la llamada devuelve el motivo del error para que pueda resolver el problema.

Eliminación de un rol vinculado a servicios (API de IAM)

Puede utilizar la API de IAM para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (API)

Para enviar una solicitud de eliminación de un rol vinculado a un servicio, llame a DeleteServiceLinkedRole. En la solicitud, especifique el nombre del rol.

Como los roles vinculados a servicios no se puede eliminar si están en uso o tienen recursos asociados, debe enviar una solicitud de eliminación. Esta solicitud puede denegarse si no se cumplen estas condiciones. Debe apuntar el valor DeletionTaskId de la respuesta para comprobar el estado de la tarea de eliminación.
Para comprobar el estado de la tarea de eliminación, realice una llamada a GetServiceLinkedRoleDeletionStatus. En la solicitud, especifique el valor de DeletionTaskId.

El estado de la tarea de eliminación puede ser NOT_STARTED, IN_PROGRESS, SUCCEEDED o FAILED. Si ocurre un error durante la eliminación, la llamada devuelve el motivo del error para que pueda resolver el problema.

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Uso de claves de condición

ElastiCache Referencia de permisos de API