Peran terkait layanan untuk AWS CloudHSM

IAMKebijakan yang Anda buat sebelumnya untuk Kebijakan yang dikelola pelanggan untuk AWS CloudHSM menyertakan iam:CreateServiceLinkedRole tindakan. AWS CloudHSM mendefinisikan peran terkait layanan bernama. AWSServiceRoleForCloudHSM Peran tersebut telah ditentukan oleh AWS CloudHSM dan termasuk izin yang AWS CloudHSM Membutuhkan untuk memanggil orang lain AWS layanan atas nama Anda. Peran tersebut memudahkan pengaturan layanan karena Anda tidak perlu menambahkan kebijakan peran dan izin kebijakan kepercayaan secara manual.

Kebijakan peran memungkinkan AWS CloudHSM untuk membuat grup CloudWatch log Amazon Log dan aliran log dan menulis peristiwa log atas nama Anda. Anda dapat melihatnya di bawah dan di IAM konsol.

{
    "Version": "2018-06-12",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams"
            ],
            "Resource": [
                "arn:aws:logs:*:*:*"
            ]
        }
    ]
}

Kebijakan kepercayaan untuk AWSServiceRoleForCloudHSMperan tersebut memungkinkan AWS CloudHSM untuk mengambil peran.

{
  "Version": "2018-06-12",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudhsm.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Membuat peran terkait layanan (otomatis)

AWS CloudHSM membuat AWSServiceRoleForCloudHSMperan saat Anda membuat klaster jika Anda menyertakan iam:CreateServiceLinkedRole tindakan dalam izin yang Anda tentukan saat membuat AWS CloudHSM grup administrator. Lihat Kebijakan yang dikelola pelanggan untuk AWS CloudHSM.

Jika Anda sudah memiliki satu atau lebih cluster dan hanya ingin menambahkan AWSServiceRoleForCloudHSMperan, Anda dapat menggunakan konsol, perintah create-cluster, atau CreateClusterAPIoperasi untuk membuat cluster. Kemudian gunakan konsol, perintah hapus-cluster, atau DeleteClusterAPIoperasi untuk menghapusnya. Membuat klaster baru menciptakan peran terkait layanan dan berlaku untuk semua klaster di akun Anda. Atau, Anda dapat membuat peran secara manual. Lihat bagian berikut untuk informasi selengkapnya.

catatan

Anda tidak perlu melakukan semua langkah yang diuraikan Memulai dengan AWS CloudHSM untuk membuat cluster jika Anda hanya membuatnya untuk menambahkan AWSServiceRoleForCloudHSMperan.

Membuat peran terkait layanan (manual)

Anda dapat menggunakan IAM konsol, AWS CLI, atau API untuk menciptakan AWSServiceRoleForCloudHSMperan. Untuk informasi selengkapnya, lihat Membuat Peran Tertaut Layanan di IAMPanduan Pengguna.

Mengedit peran terkait layanan

AWS CloudHSM tidak memungkinkan Anda untuk mengedit AWSServiceRoleForCloudHSMperan. Setelah membuat peran, misalnya, Anda tidak dapat mengubah namanya karena berbagai entitas mungkin mereferensikan peran tersebut. Selain itu, Anda tidak dapat mengubah kebijakan peran. Namun, Anda dapat menggunakannya IAM untuk mengedit deskripsi peran. Untuk informasi selengkapnya, lihat Mengedit Layanan—Peran Tertaut dalam Panduan Pengguna. IAM

Menghapus peran tertaut layanan

Anda tidak dapat menghapus peran terkait layanan selama klaster yang telah diterapkan masih ada. Untuk menghapus peran, Anda harus terlebih dahulu menghapus masing-masing HSM di cluster Anda dan kemudian menghapus cluster. Setiap klaster di akun Anda harus dihapus. Anda kemudian dapat menggunakan IAM konsol, AWS CLI, atau API untuk menghapus peran. Untuk informasi lebih lanjut tentang penghapusan klaster, lihat Menghapus cluster AWS CloudHSM. Untuk informasi selengkapnya, lihat Menghapus Peran Tertaut Layanan di Panduan Pengguna. IAM