Amazon Relational Database Service
Guide de l'utilisateur (Version de l'API 2014-10-31)

Utilisation des rôles liés à un service pour Amazon RDS

Amazon RDS utilise AWS Identity and Access Management (IAM) rôles liés à un service. Un rôle lié à un service est un type unique de rôle IAM lié directement à Amazon RDS. Les rôles liés à un service sont prédéfinis par Amazon RDS et comprennent toutes les autorisations nécessaires au service pour appeler d'autres services AWS en votre nom.

Un rôle lié à un service permet d'utiliser Amazon RDS plus facilement, car vous n'avez pas besoin d'ajouter manuellement les autorisations requises. Amazon RDS définit les autorisations de ses rôles liés à un service et, sauf définition contraire, seul Amazon RDS peut endosser ses rôles. Les autorisations définies comprennent la stratégie d'approbation et la stratégie d'autorisation. De plus, cette stratégie d'autorisation ne peut pas être attachée à une autre entité IAM.

Vous pouvez supprimer les rôles uniquement après la suppression préalable de leurs ressources connexes. Vos ressources Amazon RDS sont ainsi protégées, car vous ne pouvez pas involontairement supprimer l'autorisation pour accéder aux ressources.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés à un service, consultez Services AWS qui fonctionnent avec IAM et recherchez les services qui comportent Oui dans la colonne Rôle lié à un service. Choisissez un Oui ayant un lien permettant de consulter la documentation du rôle lié à un service, pour ce service.

Autorisations des rôles liés à un service pour Amazon RDS

Amazon RDS utilise le rôle lié à un service nommé AWSServiceRoleForRDS – to allow Amazon RDS to call AWS services on behalf of your DB instances.

Le rôle lié à un service AWSServiceRoleForRDS approuve les services suivants pour endosser le rôle :

  • rds.amazonaws.com

La stratégie d'autorisations liée au rôle permet à Amazon RDS de réaliser les actions suivantes sur les ressources spécifiées :

  • Actions sur ec2 :

    • AssignPrivateIpAddresses

    • AuthorizeSecurityGroupIngress

    • CreateNetworkInterface

    • CreateSecurityGroup

    • DeleteNetworkInterface

    • DeleteSecurityGroup

    • DescribeAvailabilityZones

    • DescribeInternetGateways

    • DescribeSecurityGroups

    • DescribeSubnets

    • DescribeVpcAttribute

    • DescribeVpcs

    • ModifyNetworkInterfaceAttribute

    • RevokeSecurityGroupIngress

    • UnassignPrivateIpAddresses

  • Actions sur sns :

    • ListTopic

    • Publish

  • Actions sur cloudwatch :

    • PutMetricData

    • GetMetricData

    • CreateLogStream

    • PullLogEvents

    • DescribeLogStreams

    • CreateLogGroup

Note

Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, groupe ou rôle) de créer, modifier ou supprimer un rôle lié à un service. Si vous rencontrez le message d'erreur suivant :

Impossible de créer la ressource. Vérifiez que vous détenez l'autorisation de créer un rôle lié au service. Dans le cas contraire, attendez et réessayez ultérieurement.

Vérifiez que les autorisations suivantes sont activées :

{ "Action": "iam:CreateServiceLinkedRole", "Effect": "Allow", "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS", "Condition": { "StringLike": { "iam:AWSServiceName":"rds.amazonaws.com" } } }

Pour plus d'informations, consultez Autorisations de rôles liés à un service dans le IAM Guide de l'utilisateur.

Création d'un rôle lié à un service pour Amazon RDS

Vous n'avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous create a DB instance, Amazon RDS vous crée automatiquement le rôle lié au service.

Important

Si vous utilisiez Amazon RDS avant December 1, 2017, quand il commençait à prendre en charge les rôles liés à un service, Amazon RDS créait le rôle AWSServiceRoleForRDS dans votre compte. Pour en savoir plus, consultez Un nouveau rôle est apparu dans mon compte IAM.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous create a DB instance, Amazon RDS vous recrée automatiquement le rôle lié au service.

Modification d'un rôle lié à un service pour Amazon RDS

Amazon RDS ne vous permet pas de modifier le rôle lié à un service AWSServiceRoleForRDS. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas modifier le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l'aide de IAM. Pour plus d'informations, consultez Modification d'un rôle lié à un service dans le IAM Guide de l'utilisateur.

Suppression d'un rôle lié à un service pour Amazon RDS

Si vous n'avez plus besoin d'utiliser une fonction ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n'avez aucune entité inutilisée qui n'est pas surveillée ou géré activement. Cependant, vous devez supprimer toutes vos instances et de bases de données avant de pouvoir supprimer le rôle lié à un service.

Nettoyage d'un rôle lié à un service

Avant de pouvoir utiliser IAM pour supprimer un rôle lié à un service, vous devez d'abord vérifier qu'aucune session n'est active pour le rôle et supprimer toutes les ressources utilisées par le rôle.

Pour vérifier si une session est active pour le rôle lié à un service dans la console IAM

  1. Connectez-vous à la AWS Management Console et ouvrez la console IAM à l'adresse https://console.aws.amazon.com/iam/.

  2. Dans le panneau de navigation de la console IAM, choisissez Rôles. Ensuite, sélectionnez le nom (et non la case à cocher) du rôle AWSServiceRoleForRDS.

  3. Sur la page Summary (Récapitulatif) du rôle sélectionné, choisissez l'onglet Access Advisor.

  4. Dans l'onglet Access Advisor, consultez l'activité récente pour le rôle lié à un service.

    Note

    Si vous n'êtes pas certain que Amazon RDS utilise le rôle AWSServiceRoleForRDS, vous pouvez essayer de supprimer le rôle. Si le service utilise ce rôle, la suppression échoue et vous avez accès aux régions AWS dans lesquelles le rôle est utilisé. Si le rôle est utilisé, vous devez attendre que la session se termine avant de pouvoir le supprimer. Vous ne pouvez pas révoquer la session d'un rôle lié à un service.

Si vous souhaitez supprimer le rôle AWSServiceRoleForRDS, vous devez d'abord supprimer toutes vos instances et de bases de données.

Suppression de toutes vos instances

Utilisez l'une des procédures suivantes pour supprimer chacune de vos instances.

Pour supprimer une instance (console)

  1. Ouvrez la console Amazon RDS à l'adresse https://console.aws.amazon.com/rds/.

  2. Dans la panneau de navigation, choisissez Databases (Bases de données).

  3. Choisissez l'instance que vous voulez supprimer.

  4. Pour Actions, choisissez Supprimer.

  5. Si vous on vous demande de Créer un aperçu final ?, sélectionnez Oui ou Non.

  6. Si vous avez choisi Oui à l'étape précédente, dans le champ Nom de l'instantané final, saisissez le nom de votre instantané final.

  7. Sélectionnez Delete.

Pour supprimer une instance (CLI)

Voir delete-db-instance dans le AWS CLI Command Reference.

Pour supprimer une instance (API)

Voir DeleteDBInstance dans le Amazon RDS API Reference.

Vous pouvez utiliser la console IAM, le CLI IAM ou l'API IAM pour supprimer le rôle lié à un service AWSServiceRoleForRDS. Pour plus d'informations, consultez Suppression d'un rôle lié à un service dans le IAM Guide de l'utilisateur.