Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Uso de roles vinculados a servicios para Firewall Manager
AWS Firewall Manager utiliza funciones AWS Identity and Access Management vinculadas al servicio (IAM). Un rol vinculado a un servicio es un tipo único de rol de IAM que está vinculado directamente a Firewall Manager. El Firewall Manager predefine las funciones vinculadas al servicio e incluyen todos los permisos que el servicio requiere para llamar a otros AWS servicios en su nombre.
Un rol vinculado al servicio simplifica la configuración de Firewall Manager porque ya no tendrá que agregar manualmente los permisos requeridos. Firewall Manager define los permisos de sus roles vinculados a servicios y, a menos que esté definido de otra manera, solo Firewall Manager puede asumir sus roles. Los permisos definidos incluyen la política de confianza y la política de permisos. Dicha política de permisos no se puede asociar a ninguna otra entidad de IAM.
Solo puede eliminar un rol vinculado a un servicio después de eliminar los recursos relacionados del rol. De esta forma, se protegen los recursos de Firewall Manager, ya que se evita que se puedan eliminar accidentalmente permisos de acceso a los recursos.
Para obtener información acerca de otros servicios que admiten roles vinculados a servicios, consulte Servicios de AWS que funcionan con IAM y busque los servicios que muestran Sí en la columna Rol vinculado a un servicio. Elija una opción Sí con un enlace para ver la documentación acerca del rol vinculado a servicios en cuestión.
Administración de permisos de roles vinculados a Firewall Manager
AWS Firewall Manager utiliza el nombre del rol vinculado al servicio AWSServiceRoleForFMS para permitir que Firewall Manager llame a AWS los servicios en su nombre para administrar las políticas de firewall y los recursos de la AWS Organizations cuenta. Esta política está asociada a la función AWS gestionada. AWSServiceRoleForFMS Para obtener más información sobre el rol administrado, consulte AWS política gestionada: FMSServiceRolePolicy.
El rol AWSServiceRoleForFMS vinculado al servicio confía en que el servicio asuma el rol. fms.amazonaws.com
La política de permisos del rol permite que Firewall Manager realice las siguientes acciones en los recursos especificados:
waf- Administre las ACL web AWS WAF clásicas, los permisos de los grupos de reglas y las asociaciones de las ACL web en su cuenta.ec2: administre grupos de seguridad en interfaces de red elásticas e instancias de Amazon EC2. Gestione las ACL de red en las subredes de Amazon VPC.vpc: administre subredes, tablas de enrutamiento, etiquetas y puntos de enlace en Amazon VPC.wafv2- Administre las ACL AWS WAF web, los permisos de los grupos de reglas y las asociaciones de ACL web en su cuenta.cloudfront- Cree ACL web para proteger las distribuciones. CloudFrontconfig- Administre las AWS Config reglas propiedad de Firewall Manager en su cuenta.iam- Gestione esta función vinculada al servicio y cree las funciones obligatorias y las vinculadas al servicio AWS WAF Shield si configura el registro y AWS WAF las políticas de Shield.organization- Cree un rol vinculado a un servicio propiedad de Firewall Manager para administrar AWS Organizations los recursos utilizados por Firewall Manager.shield- Gestione AWS Shield las protecciones y las configuraciones de mitigación L7 para los recursos de su cuenta.ram- Gestione el uso compartido de AWS RAM recursos para los grupos de reglas de DNS Firewall y los grupos de reglas de Network Firewall.network-firewall- Administre AWS Network Firewall los recursos propiedad de Firewall Manager y los recursos de Amazon VPC dependientes en su cuenta.route53resolver: administre las asociaciones de firewall DNS propiedad de Firewall Manager en su cuenta.
Consulte la política completa en la consola de IAM: FMS. ServiceRolePolicy
Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM.
Creación de un rol vinculado a un servicio para Firewall Manager
No necesita crear manualmente un rol vinculado a servicios. Cuando habilita el AWS Management Console inicio de sesión de Firewall Manager o realiza una PutLoggingConfiguration solicitud en la CLI o la API de Firewall Manager, Firewall Manager crea el rol vinculado al servicio por usted.
Debe tener el permiso iam:CreateServiceLinkedRole para habilitar el registro.
Si elimina este rol vinculado a servicios y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Al habilitar los registros de Firewall Manager, Firewall Manager se encarga de volver crear automáticamente el rol vinculado al servicio.
Edición de un rol vinculado a un servicio para Firewall Manager
Firewall Manager no le permite editar el rol AWSServiceRoleForFMS vinculado al servicio. Después de crear un rol vinculado a un servicio, no puede cambiarle el nombre, ya que varias entidades pueden hacer referencia a él. Sin embargo, puede editar la descripción del rol mediante IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM.
Eliminación de un rol vinculado a un servicio para Firewall Manager
Si ya no necesita usar una característica o servicio que requieran un rol vinculado a un servicio, le recomendamos que elimine dicho rol. Así no tendrá una entidad no utilizada que no se monitorice ni mantenga de forma activa. Sin embargo, debe limpiar los recursos de su rol vinculado al servicio antes de eliminarlo manualmente.
nota
Si el servicio de Firewall Manager está utilizando el rol cuando intenta eliminar los recursos, la eliminación podría producir un error. En tal caso, espere unos minutos e intente de nuevo la operación.
Eliminación del rol vinculado a servicios con IAM
Utilice la consola de IAM, la CLI de IAM o la API de IAM para eliminar el rol vinculado al AWSServiceRoleForFMS servicio. Para más información, consulte Eliminación de un rol vinculado a servicios en la Guía del usuario de IAM.
Regiones admitidas para los roles vinculados a servicios de Firewall Manager
Firewall Manager admite el uso de roles vinculados a servicios en todas las regiones en las que el servicio está disponible. Para obtener más información, consulte Puntos de conexión y cuotas de Firewall Manager.
