Uso de roles vinculados a servicios para WorkSpaces Web - Amazon WorkSpaces Web

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de roles vinculados a servicios para WorkSpaces Web

WorkSpaces Web utiliza roles vinculados a servicios (IAM) de AWS Identity and Access Management. Un rol vinculado a un servicio es un tipo único de rol de IAM que está vinculado directamente a WorkSpaces Web. Los roles vinculados a servicios los predefine WorkSpaces Web e incluyen todos los permisos que el servicio necesita para llamar a otros servicios de AWS en su nombre.

Un rol vinculado a un servicio simplifica la configuración de WorkSpaces Web, porque ya no es necesario añadir manualmente los permisos necesarios. WorkSpaces Web define los permisos de sus roles vinculados a servicios y, a menos que esté definido de otra manera, solo WorkSpaces Web puede asumir sus roles. Los permisos definidos incluyen políticas de confianza y políticas de permisos. La política de permisos no se puede adjuntar a ninguna otra entidad de IAM.

Solo puede eliminar un rol vinculado a servicios después de eliminar sus recursos relacionados. De esta forma, se protegen los recursos de WorkSpaces Web, ya que se evita que se puedan eliminar accidentalmente permisos de acceso a los recursos.

Para obtener información sobre otros servicios que son compatibles con los roles vinculados a servicios, consulte Servicios de AWS que funcionan con IAM y busque los servicios que muestran Yes (Sí) en la columna Service-Linked Role (Rol vinculado a servicios). Seleccione una opción con un enlace para ver la documentación acerca del rol vinculado al servicio en cuestión.

Permisos de roles vinculados al servicio para WorkSpaces Web

WorkSpaces Web utiliza el rol vinculado al servicio denominado AWSServiceRoleForAmazonWorkSpacesWeb. WorkSpaces Web lo utiliza para acceder a los recursos de Amazon EC2 de las cuentas de cliente para las instancias de streaming y las métricas de CloudWatch.

El rol vinculado a servicios AWSServiceRoleForAmazonWorkSpacesWeb confía en los siguientes servicios para asumir el rol:

  • workspaces-web.amazonaws.com

La política de permisos del rol denominada AmazonWorkSpacesWebServiceRolePolicy permite que WorkSpaces Web realice las siguientes acciones en los recursos especificados. Para obtener más información, consulte Política administrada de AWS: AmazonWorkSpacesWebServiceRolePolicy.

  • Acción: ec2:DescribeVpcs en all AWS resources

  • Acción: ec2:DescribeSubnets en all AWS resources

  • Acción: ec2:DescribeAvailabilityZones en all AWS resources

  • Acción: ec2:CreateNetworkInterface con aws:RequestTag/WorkSpacesWebManaged: true en recursos de subred y grupo de seguridad

  • Acción: ec2:DescribeNetworkInterfaces en all AWS resources

  • Acción: ec2:DeleteNetworkInterface en las interfaces de red con aws:ResourceTag/WorkSpacesWebManaged: true

  • Acción: ec2:DescribeSubnets en all AWS resources

  • Acción: ec2:AssociateAddress en all AWS resources

  • Acción: ec2:DisassociateAddress en all AWS resources

  • Acción: ec2:DescribeRouteTables en all AWS resources

  • Acción: ec2:DescribeSecurityGroups en all AWS resources

  • Acción: ec2:DescribeVpcEndpoints en all AWS resources

  • Acción: ec2:CreateTags en la operación ec2:CreateNetworkInterface con aws:TagKeys: ["WorkSpacesWebManaged"]

  • Acción: cloudwatch:PutMetricData en all AWS resources

  • Acción: kinesis:PutRecord en flujos de datos de Kinesis con nombres que comiencen por amazon-workspaces-web-

  • Acción: kinesis:PutRecords en flujos de datos de Kinesis con nombres que comiencen por amazon-workspaces-web-

  • Acción: kinesis:DescribeStreamSummary en flujos de datos de Kinesis con nombres que comiencen por amazon-workspaces-web-

Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM.

Creación de un rol vinculado a servicio para WorkSpaces Web

No necesita crear manualmente un rol vinculado a servicios. Cuando crea su primer portal en la AWS Management Console, la AWS CLI o la API de AWS, WorkSpaces Web crea el rol vinculado al servicio por usted.

importante

Este rol vinculado al servicio puede aparecer en su cuenta si se ha completado una acción en otro servicio que utilice las características compatibles con este rol.

Si elimina este rol vinculado a un servicio y luego necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Al crear su primer portal, WorkSpaces Web vuelve a crear el rol vinculado al servicio.

También puede utilizar la consola de IAM para crear un rol vinculado al servicio con el caso de uso de WorkSpaces Web. En la AWS CLI o la API de AWS, cree un rol vinculado al servicio con el nombre de servicio workspaces-web.amazonaws.com. Para obtener más información, consulte Crear un rol vinculado a un servicio en la Guía del usuario de IAM. Si elimina este rol vinculado al servicio, puede utilizar este mismo proceso para volver a crear el rol.

Edición de un rol vinculado a servicio para WorkSpaces Web

WorkSpaces Web no le permite modificar el rol vinculado a servicio AWSServiceRoleForAmazonWorkSpacesWeb. Después de crear un rol vinculado a un servicio, no puede cambiarle el nombre, ya que varias entidades pueden hacer referencia a él. Sin embargo, puede editar la descripción del rol utilizando IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM..

Eliminación de un rol vinculado a servicio para WorkSpaces Web

Si ya no necesita utilizar una característica o servicio que requiere un rol vinculado a un servicio, recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitorice ni mantenga de forma activa. Sin embargo, debe limpiar los recursos del rol vinculado al servicio antes de eliminarlo manualmente.

nota

Si el servicio de WorkSpaces Web está utilizando el rol cuando intenta eliminar los recursos, la eliminación podría producir un error. En tal caso, espere unos minutos e intente de nuevo la operación.

Para eliminar los recursos de WorkSpaces Web utilizados por el rol AWSServiceRoleForAmazonWorkSpacesWeb
  • Elija una de las siguientes opciones.

    • Si usa la consola, elimine todos los portales en la consola.

    • Si usa la CLI o la API, desasocie todos sus recursos (incluida la configuración del navegador, la configuración de red, la configuración de usuario, los almacenes de confianza y la configuración de registro de acceso de los usuarios) de sus portales, elimine estos recursos y, a continuación, elimine los portales.

Para eliminar manualmente el rol vinculado a servicios mediante IAM

Utilice la consola de IAM, la AWS CLI o la API de AWS para eliminar el rol vinculado a servicio AWSServiceRoleForAmazonWorkSpacesWeb. Para obtener más información, consulte Eliminación de un rol vinculado a servicios en la Guía del usuario de IAM.

Regiones admitidas para los roles vinculados a servicio de WorkSpaces Web

WorkSpaces Web admite el uso de roles vinculados a servicio en todas las regiones en las que el servicio esté disponible. Para obtener más información, consulte Regiones y puntos de enlace de AWS.