Transmission des autorisations de rôle

Une définition de règle comporte un rôle IAM qui accorde l'autorisation d'accéder aux ressources spécifiées dans l'action de la règle. Le moteur de règles assume ce rôle lorsque l'action de la règle est invoquée.. Le rôle doit être défini de la même manière Compte AWS que la règle.

Lorsque vous créez ou remplacez une règle, vous transférez en fait un rôle au moteur de règles. L’iam:PassRoleautorisation est requise pour effectuer cette opération. Pour vous assurer que vous disposez de cette autorisation, créez une politique qui accorde iam:PassRole l'autorisation et attachez-la à votre utilisateur IAM. La stratégie suivante montre comment accorder l'autorisation iam:PassRole pour un rôle.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "Stmt1",
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::123456789012:role/myRole"
			]
		}
	]
}

Dans cet exemple de politique, iam:PassRole l'autorisation est accordée pour le rôle myRole. Le rôle a été spécifié à l'aide de son ARN. Attacher cette politique à votre utilisateur IAM ou au rôle auquel appartient votre utilisateur. Pour plus d'informations, consultez Utilisation des politiques gérées.

Note

Les fonctions Lambda utilisent des politiques basées sur des ressources, où la politique est attachée directement à la fonction Lambda. Lorsque vous créez une règle qui appelle une fonction Lambda, vous ne transmettez pas de rôle, et l'utilisateur qui crée la règle n'a donc pas besoin de iam:PassRole l'autorisation. Pour plus d'informations sur l'autorisation de fonctions , consultez Octroi de permissions à l'aide d'une politique de ressources.