Uso de roles vinculados a servicios para Amazon WorkMail

Amazon WorkMail utiliza roles vinculados a servicios de AWS Identity and Access Management (IAM). Un rol vinculado a servicios es un tipo único de rol de IAM que se vincula directamente a Amazon WorkMail. Los roles vinculados a servicios están predefinidos por Amazon WorkMail e incluyen todos los permisos que el servicio requiere para llamar a otros servicios de AWS en su nombre.

Un rol vinculado a servicios le facilita la configuración de Amazon WorkMail dado que no tiene que añadir manualmente los permisos necesarios. Amazon WorkMail define los permisos de sus roles vinculados a servicios y, a menos que se defina de otro modo, solo Amazon WorkMail puede asumir sus roles. Los permisos definidos incluyen las políticas de confianza y de permisos, y que la política de permisos no se puede adjuntar a ninguna otra entidad de IAM.

Solo puede eliminar un rol vinculado a un servicio después de eliminar los recursos de relacionados. Esto protege sus recursos de Amazon WorkMail porque usted no puede eliminar inadvertidamente un permiso para acceder a los recursos.

Para obtener información sobre otros servicios que admiten roles vinculados a servicios, consulte Servicios de AWS que funcionan con IAM y busque los servicios que tienen Sí en la columna Rol vinculado a servicio. Seleccione una opción Sí con un enlace para ver la documentación acerca del rol vinculado al servicio en cuestión.

Permisos de roles vinculados a servicios para Amazon WorkMail

Amazon WorkMail utiliza el rol vinculado a servicios llamado AmazonWorkMailEvents. Amazon WorkMail utiliza este rol vinculado a servicios para habilitar el acceso a servicios y recursos de AWS utilizados o administrados por eventos de Amazon WorkMail, como el monitoreo de eventos de correo electrónico registrados por CloudWatch. Para obtener más información sobre cómo habilitar el registro de eventos de correo electrónico para Amazon WorkMail, consulte Habilitar el registro de eventos por correo electrónico.

El rol vinculado a servicios AmazonWorkMailEvents confía en los siguientes servicios para asumir el rol:

• events.workmail.amazonaws.com

La política de permisos del rol permite a Amazon WorkMail realizar las siguientes acciones en los recursos especificados:

• Acción: logs:CreateLogGroup en all AWS resources

• Acción: logs:CreateLogStream en all AWS resources

• Acción: logs:PutLogEvents en all AWS resources

Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM.

Creación de un rol vinculado a servicios para Amazon WorkMail

No necesita crear manualmente un rol vinculado a servicios. Al activar el registro de eventos de Amazon WorkMail y utilizar la configuración predeterminada en la consola de Amazon WorkMail, Amazon WorkMail crea el rol vinculado a servicios por usted.

Si elimina este rol vinculado al servicio y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Al activar el registro de eventos de Amazon WorkMail y utilizar la configuración predeterminada, Amazon WorkMail vuelve a crea el rol vinculado a servicios por usted.

Edición de un rol vinculado a servicios para Amazon WorkMail

Amazon WorkMail no le permite editar el rol vinculado a servicios AmazonWorkMailEvents. Después de crear un rol vinculado a un servicio, no puede cambiarle el nombre, ya que varias entidades pueden hacer referencia a él. Sin embargo, puede editar la descripción del rol utilizando IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM..

Eliminación de un rol vinculado a servicios para Amazon WorkMail

Si ya no necesita utilizar una característica o servicio que requiere un rol vinculado a un servicio, recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitorice ni mantenga de forma activa. Sin embargo, debe limpiar los recursos del rol vinculado al servicio antes de eliminarlo manualmente.

nota

Si el servicio de Amazon WorkMail utiliza el rol al momento de intentar eliminar los recursos, es posible que la eliminación falle. En tal caso, espere unos minutos e intente de nuevo la operación.

Para eliminar los recursos de Amazon WorkMail que utiliza AmazonWorkmailEvents

1. Desactive el registro de eventos de Amazon WorkMail.

   1. Abra la consola de Amazon WorkMail en https://console.aws.amazon.com/workmail/.

      Si es necesario, cambie la AWS región. En la barra situada en la parte superior de la ventana de la consola, abra la lista Seleccione una región y elija una región. Para obtener más información, consulte Regiones y puntos de enlace en la Referencia general de Amazon Web Services.

   2. En el panel de navegación, elija Organizaciones y, a continuación, elija el nombre de su organización.

   3. En el panel de navegación, elija Configuración de la organización y, a continuación, Monitoreo.

   4. Para la configuración de registro, elija Edit (Editar).

   5. Mueva el control deslizante Habilitar eventos de correo a la posición desactivado.

   6. Seleccione Guardar.

2. Elimine el grupo de registros de Amazon CloudWatch.

   1. Abra la consola de CloudWatch en https://console.aws.amazon.com/cloudwatch/.

   2. Seleccione Logs (Registros).

   3. En Log Groups (Grupo de registros), seleccione el grupo de registros que desea eliminar.

   4. En Actions (Acciones), seleccione Delete log group (Eliminar grupo de registros) .

   5. Elija Yes, Delete (Sí, eliminar).

Para eliminar manualmente el rol vinculado a servicios mediante IAM

Utilice la consola de IAM, la AWS CLI o la API de AWS para eliminar el rol vinculado a servicios AmazonWorkMailEvents. Para obtener más información, consulte Eliminar un rol vinculado a un servicio en la Guía del usuario de IAM.

Regiones admitidas para los roles vinculados a servicios de Amazon WorkMail

Amazon WorkMail admite el uso de roles vinculados a servicios en todas las regiones en las que el servicio esté disponible. Para obtener más información, consulte Regiones y puntos de conexión de Amazon WorkMail.