Menggunakan peran tertaut layanan untuk Amazon Lightsail

Amazon Lightsail AWS Identity and Access Management menggunakan peran terkait layanan (IAM). Peran terkait layanan adalah jenis IAM role unik yang terkait langsung ke Amazon Lightsail. Peran tertaut layanan ditentukan sebelumnya oleh Amazon Lightsail dan mencakup semua izin yang diperlukan Lightsail untuk memanggil layanan lainnya atas nama Anda. AWS

Peran tertaut layanan mempermudah pengaturan Amazon Lightsail karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. Amazon Lightsail menentukan izin peran terkait layanan, dan kecuali ditentukan lain, hanya Amazon Lightsail yang dapat menjalankan perannya. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin, yang tidak dapat dilampirkan ke entitas IAM lainnya.

Anda dapat menghapus peran tertaut layanan hanya setelah menghapus sumber daya terkait terlebih dahulu. Ini melindungi sumber daya Amazon Lightsail karena Anda tidak dapat secara tidak sengaja menghapus izin untuk mengakses sumber daya.

Untuk informasi tentang layanan lain yang mendukung peran yang terhubung dengan layanan, lihat Layanan AWS yang Berfungsi dengan IAM dan cari layanan yang memiliki Ya di kolom Peran yang Terhubung dengan Layanan. Pilih Ya dengan tautan untuk melihat dokumentasi peran tertaut layanan untuk layanan tersebut.

Izin Peran Terkait Layanan untuk Amazon Lightsail

Amazon Lightsail menggunakan peran terkait layanan AWSServiceRoleForLightsail— Peran untuk mengekspor instans Lightsail dan memblokir snapshot disk penyimpanan ke Amazon Elastic Compute Cloud (Amazon EC2), dan untuk mendapatkan konfigurasi Block Public Access (Amazon S3), dan untuk mendapatkan konfigurasi Block Public Access (Amazon S3).

Peran AWSServiceRoleForLightsail terkait layanan memercayakan layanan berikut untuk menjalankan peran:

• lightsail.amazonaws.com

Kebijakan izin peran mengizinkan Amazon Lightsail untuk menyelesaikan tindakan berikut ini pada sumber daya yang ditentukan:

• Tindakan: ec2:CopySnapshot pada semua AWS sumber daya.

• Tindakan: ec2:DescribeSnapshots pada semua AWS sumber daya.

• Tindakan: ec2:CopyImage pada semua AWS sumber daya.

• Tindakan: ec2:DescribeImages pada semua AWS sumber daya.

• Tindakan: cloudformation:DescribeStacks di semua AWS CloudFormation tumpukan AWS.

• Tindakan: s3:GetAccountPublicAccessBlock pada semua AWS sumber daya.

Izin Peran Terkait Layanan

Anda harus mengonfigurasikan izin untuk mengizinkan entitas IAM (seperti pengguna, grup, atau peran) untuk membuat atau menyunting deskripsi dari sebuah peran terkait layanan.

Untuk mengizinkan entitas IAM membuat peran terkait layanan tertentu

Tambahkan kebijakan berikut ke entitas IAM yang perlu membuat peran tertaut-layanan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*",
            "Condition": {"StringLike": {"iam:AWSServiceName": "lightsail.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
        }
    ]
}
    

Untuk mengizinkan entitas IAM membuat peran terkait layanan apa pun

Tambahkan pernyataan berikut ke kebijakan izin untuk entitas IAM yang perlu membuat peran tertaut-layanan, atau peran layanan apa pun yang menyertakan kebijakan yang diperlukan. Kebijakan ini melampirkan sebuah kebijakan pada peran tersebut.

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/*"
}
    

Untuk mengizinkan entitas IAM mengedit deskripsi peran layanan apa pun

Tambahkan pernyataan berikut ke kebijakan izin untuk entitas IAM yang perlu mengedit deskripsi peran tertaut-layanan, atau peran layanan apa pun.

{
    "Effect": "Allow",
    "Action": "iam:UpdateRoleDescription",
    "Resource": "arn:aws:iam::*:role/aws-service-role/*"
}
    

Untuk mengizinkan entitas IAM menghapus peran terkait layanan tertentu

Tambahkan pernyataan berikut ke kebijakan izin untuk entitas IAM yang perlu menghapus peran tertaut-layanan.

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
}
    

Untuk mengizinkan entitas IAM menghapus peran layanan apa pun

Tambahkan pernyataan berikut ke kebijakan izin untuk entitas IAM yang perlu menghapus peran terkait layanan, atau peran layanan apa pun.

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/*"
}
    

Atau, Anda dapat menggunakan kebijakan AWS terkelola untuk memberikan akses penuh ke layanan.

Membuat Peran Terkait Layanan untuk Amazon Lightsail

Anda tidak perlu membuat peran terkait layanan secara manual. Saat Anda mengekspor instance Lightsail atau memblokir snapshot disk penyimpanan ke Amazon EC2, atau membuat atau memperbarui bucket Lightsail di,, atau AWS API AWSAWS Management Console, Amazon Lightsail akan membuat AWS CLI peran terkait layanan untuk Anda.

Jika Anda menghapus peran terkait layanan ini, lalu ingin membuatnya lagi, Anda dapat menggunakan proses yang sama untuk membuat ulang peran tersebut di akun Anda. Saat Anda mengekspor instance Lightsail atau memblokir snapshot disk penyimpanan ke Amazon EC2, atau membuat atau memperbarui bucket Lightsail, Amazon Lightsail akan membuat peran terkait layanan untuk Anda lagi.

penting

Anda harus mengonfigurasikan izin IAM agar Amazon Lightsail membuat peran terkait layanan. Untuk melakukannya, selesaikan langkah-langkah yang ada di bagian Izin Peran Terkait Layanan.

Mengedit Peran Terkait Layanan untuk Amazon Lightsail

Amazon Lightsail tidak mengizinkan Anda untuk mengedit AWSServiceRoleForLightsail peran terkait layanan. Setelah Anda membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat mengedit penjelasan peran menggunakan IAM. Untuk informasi lebih lanjut, lihat Mengedit Peran Tertaut Layanan di Panduan Pengguna IAM.

Menghapus Peran Terkait Layanan untuk Amazon Lightsail

Jika Anda tidak perlu lagi menggunakan fitur atau layanan yang memerlukan peran terkait layanan, kami merekomendasikan Anda menghapus peran tersebut. Dengan begitu, Anda tidak memiliki entitas yang tidak digunakan yang tidak dipantau atau dipelihara secara aktif. Namun, Anda harus mengonfirmasi bahwa tidak ada instans Amazon Lightsail atau snapshot disk yang sedang dalam status salin yang menunggu sebelum Anda dapat menghapus peran terkait layanan. AWSServiceRoleForLightsail Untuk informasi selengkapnya, lihat Mengekspor snapshot ke Amazon EC2.

Untuk menghapus peran terkait layanan secara manual menggunakan IAM

Gunakan konsol IAM, AWS CLI, atau AWS API untuk menghapus peran terkait layanan AWSServiceRoleForLightsail . Untuk informasi lebih lanjut, lihat Menghapus Peran Tertaut Layanan di Panduan Pengguna IAM.

Wilayah yang Didukung untuk Peran Terkait Layanan Amazon Lightsail

Amazon Lightsail mendukung penggunaan peran terkait layanan di semua wilayah tempat layanan tersedia. Untuk informasi selengkapnya tentang wilayah tempat Lightsail tersedia, lihat Wilayah Amazon Lightsail.