Comprender las funciones vinculadas al servicio

Amazon DocumentDB (compatible con MongoDB) usa () roles vinculados a servicios. AWS Identity and Access Management IAM Un rol vinculado a un servicio es un tipo de IAM rol único que está vinculado directamente a Amazon DocumentDB. Amazon DocumentDB predefine las funciones vinculadas a servicios e incluyen todos los permisos que el servicio requiere para llamar a AWS otros servicios en su nombre.

Un rol vinculado a un servicio simplifica el uso de Amazon DocumentDB porque ya no tendrá que agregar manualmente los permisos requeridos. Amazon DocumentDB define los permisos de sus roles vinculados al servicio y, a menos que esté definido de otra manera, solo Amazon DocumentDB puede asumir sus roles. Los permisos definidos incluyen la política de confianza y la política de permisos, y esa política de permisos no se puede adjuntar a ninguna otra entidad. IAM

Las funciones se pueden eliminar únicamente después de eliminar primero sus recursos relacionados. De esta forma, se protegen los recursos de Amazon DocumentDB, ya que se evita que se puedan eliminar accidentalmente permisos de acceso a los recursos.

Para obtener información sobre otros servicios que admiten funciones vinculadas a servicios, consulte AWS Servicios con los que funcionan IAM y busque los servicios con los que se indica Sí en la columna Función vinculada al servicio. Elija una opción Sí con un enlace para ver la documentación acerca del rol vinculado a servicios en cuestión.

Permisos de roles vinculados al servicio Amazon DocumentDB

Amazon DocumentDB (compatible con MongoDB) usa el rol vinculado al servicio denominado para AWSServiceRoleForRDSpermitir que Amazon DocumentDB llame a los servicios en nombre de sus clústeres. AWS

El rol AWSServiceRoleForRDS vinculado al servicio confía en que los siguientes servicios asuman el rol:

• docdb.amazonaws.com

La política de permisos del rol permite que Amazon DocumentDB realice las siguientes acciones en los recursos especificados:

• Acciones en ec2:

  • AssignPrivateIpAddresses

  • AuthorizeSecurityGroupIngress

  • CreateNetworkInterface

  • CreateSecurityGroup

  • DeleteNetworkInterface

  • DeleteSecurityGroup

  • DescribeAvailabilityZones

  • DescribeInternetGateways

  • DescribeSecurityGroups

  • DescribeSubnets

  • DescribeVpcAttribute

  • DescribeVpcs

  • ModifyNetworkInterfaceAttribute

  • RevokeSecurityGroupIngress

  • UnassignPrivateIpAddresses

• Acciones en sns:

  • ListTopic

  • Publish

• Acciones en cloudwatch:

  • PutMetricData

  • GetMetricData

  • CreateLogStream

  • PullLogEvents

  • DescribeLogStreams

  • CreateLogGroup

nota

Debe configurar los permisos para permitir que una IAM entidad (como un usuario, un grupo o un rol) cree, edite o elimine un rol vinculado a un servicio. Podría encontrarse con el siguiente mensaje de error:

Unable to create the resource. Verify that you have permission to create service linked role. Otherwise wait and try again later.

Si aparece este error, asegúrese de que tiene los siguientes permisos habilitados:

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}

Para obtener más información, consulte Permisos de roles vinculados a un servicio en la Guía del usuario. IAM

Creación de un rol vinculado a un servicio de Amazon DocumentDB

No necesita crear manualmente un rol vinculado a servicios. Al crear un clúster, Amazon DocumentDB se encarga de crear de nuevo el rol vinculado a servicios en su nombre.

Si elimina este rol vinculado a un servicio y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Al crear un clúster, Amazon DocumentDB se encarga de crear de nuevo el rol vinculado a servicios en su nombre de nuevo.

Modificación de un rol vinculado a un servicio de Amazon DocumentDB

Amazon DocumentDB no le permite modificar la función vinculada al AWSServiceRoleForRDS servicio. Después de crear un rol vinculado a un servicio, no podrá cambiar el nombre del rol, ya que varias entidades podrían hacer referencia al mismo. Sin embargo, puede modificar la descripción del rol utilizando. IAM Para obtener más información, consulte Edición de un rol vinculado a un servicio en la Guía del IAMusuario.

Eliminar un rol vinculado a un servicio de Amazon DocumentDB

Si ya no necesita utilizar una característica o servicio que requiere un rol vinculado a servicios, recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Sin embargo, debe eliminar todos los clústeres para poder eliminar el rol vinculado al servicio.

Limpiar un rol vinculado a un servicio de Amazon DocumentDB

Antes de poder eliminar un rol vinculado IAM a un servicio, primero debe confirmar que el rol no tiene sesiones activas y eliminar todos los recursos que utilice el rol.

Para comprobar si el rol vinculado al servicio tiene una sesión activa mediante la consola

1. Inicie sesión en AWS Management Console y abra la IAM consola en. https://console.aws.amazon.com/iam/

2. En el panel de navegación de la IAM consola, elija Funciones y, a continuación, elija el nombre (no la casilla de verificación) de la AWSServiceRoleForRDSfunción.

3. En la página Resumen del rol seleccionado, seleccione la pestaña Asesor de acceso.

4. En la pestaña Access Advisor, revise la actividad reciente del rol vinculado al servicio.

   nota

   Si no está seguro de si Amazon DocumentDB utiliza el AWSServiceRoleForRDS rol, puede intentar eliminarlo. Si el servicio está utilizando el rol, este no podrá eliminarse y podrá ver las regiones en las que se está utilizando. Si el rol se está utilizando, debe esperar que la sesión finalice para poder eliminarlo. No se puede revocar la sesión de un rol vinculado a servicios.

Si desea eliminar el AWSServiceRoleForRDS rol, primero debe eliminar todas las instancias y clústeres. Para obtener información acerca de cómo eliminar instancias y clústeres, consulte los siguientes temas:

• Eliminación de una instancia de Amazon DocumentDB

• Eliminar un clúster de Amazon DocumentDB

Regiones compatibles con las funciones vinculadas al servicio Amazon DocumentDB

Amazon DocumentDB admite el uso de roles vinculados a servicios en todas las regiones en las que se encuentra disponible el servicio. Para obtener más información, consulte https://docs.aws.amazon.com/documentdb/latest/developerguide/regions-and-azs.html#regions-and-azs-availability.