Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Menggunakan peran terkait layanan untuk AWS Manajer Keamanan Jaringan
AWS Manajer Keamanan Jaringan menggunakan peran [terkait layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) IAM. Peran terkait layanan adalah jenis unik peran IAM yang ditautkan langsung ke Manajer Keamanan AWS Jaringan. Service-linked peran telah ditentukan sebelumnya oleh Manajer Keamanan AWS Jaringan dan mencakup semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.
Peran terkait layanan membuat pengaturan AWS Network Security Manager lebih mudah karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. AWS Network Security Manager mendefinisikan izin dari peran layanannya yang terkait. Kecuali ditentukan lain, hanya Manajer Keamanan AWS Jaringan yang dapat mengambil perannya. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin. Anda tidak dapat melampirkan kebijakan izin tersebut ke entitas IAM lainnya.
Anda dapat menghapus peran terkait layanan hanya setelah menghapus sumber daya terkait terlebih dahulu. Ini melindungi sumber daya Manajer Keamanan AWS Jaringan Anda karena Anda tidak dapat secara tidak sengaja menghapus izin untuk mengakses sumber daya.
**Untuk informasi tentang layanan lain yang mendukung peran terkait layanan, lihat [AWS layanan yang bekerja dengan IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) dan cari layanan yang menyertakan **Ya di kolom** peran. Service-linked ** Pilih tautan **Ya** untuk melihat dokumentasi peran terkait layanan untuk layanan tersebut.
## Service-linked izin peran untuk AWS Manajer Keamanan Jaringan
AWS Network Security Manager menggunakan peran terkait layanan bernama. `AWSServiceRoleForNetworkSecurityManager` Peran terkait layanan ini mempercayai kepala `network-security-manager.amazonaws.com` layanan untuk mengambil peran tersebut.
Kebijakan izin peran bernama `NetworkSecurityManagerServiceRolePolicy` adalah kebijakan AWS terkelola yang memungkinkan Manajer Keamanan AWS Jaringan menyelesaikan tindakan pada sumber daya yang ditentukan.
Kebijakan kepercayaan berikut memungkinkan kepala `network-security-manager.amazonaws.com` layanan untuk mengambil peran.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "network-security-manager.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
**catatan**
Anda harus mengonfigurasi izin agar entitas IAM (seperti pengguna, grup, atau peran) dapat membuat, mengedit, atau menghapus peran terkait layanan. Untuk informasi selengkapnya, lihat [izin Service-linked peran](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) di *Panduan Pengguna IAM*.
### Detail izin
AWS Manajer Keamanan Jaringan memerlukan setiap grup izin untuk melindungi dan menemukan sumber daya di seluruh akun dan organisasi Anda. Kebijakan `NetworkSecurityManagerServiceRolePolicy` terkelola memberikan izin berikut, dikelompokkan berdasarkan layanan:
+ `wafv2`— Buat, baca, perbarui, dan hapus grup aturan ACL web dan Firewall Manager. Kaitkan dan pisahkan ACL web dengan sumber daya yang dilindungi. Mengelola konfigurasi pencatatan ACL web dan kebijakan izin grup aturan. Tag dan untag sumber daya. Validasi AWS Network Security Manager web ACL dan konfigurasi aturan.
+ `shield`— Buat, jelaskan, daftar, dan hapus perlindungan AWS Shield Advanced. Buat dan jelaskan langganan AWS Shield Advanced.
+ `elasticloadbalancing`— Jelaskan Penyeimbang Beban Aplikasi dan tag. Membuat, menghapus, dan mengatur asosiasi ACL web pada Application Load Balancers.
+ `cloudfront`— Dapatkan dan daftar CloudFront distribusi, konfigurasi, dan tag Amazon. Mengaitkan dan memisahkan ACL web distribusi. Baca asal-usul VPC.
+ `apigateway`— Baca API REST Amazon API Gateway API, tahapan, dan tag. Atur ACL web pada tahap API.
+ `ec2`— Baca ACL dan asosiasi web instans Akses Terverifikasi Amazon EC2. Jelaskan alamat IP Elastis untuk perlindungan AWS Shield Advanced.
+ `cognito-idp`,,`apprunner`, `appsync``amplify`, dan `bedrock-agentcore` — Baca asosiasi ACL web untuk kumpulan pengguna Amazon Cognito, layanan AWS App Runner , API AWS AppSync GraphQL, AWS Amplify aplikasi, dan gateway AWS Amazon AgentCore Bedrock sehingga Manajer Keamanan Jaringan dapat menemukan sumber daya yang dilindungi.
+ `config`— Pilih konfigurasi sumber daya dan kelola perekam AWS Config konfigurasi terkait layanan yang digunakan Manajer Keamanan AWS Jaringan untuk menemukan sumber daya dalam cakupan.
+ `organizations`— Baca organisasi, akun, akar, unit organisasi, dan administrator yang didelegasikan sehingga Manajer Keamanan AWS Jaringan dapat beroperasi di seluruh organisasi Anda.
+ `logs`— Buat, baca, perbarui, hapus, dan daftar pengiriman log untuk pencatatan ACL web.
+ `s3`— Dapatkan dan letakkan kebijakan bucket di bucket Amazon S3 yang namanya dimulai `aws-waf-logs-` sehingga log ACL web dapat dikirimkan.
+ `iam`— Buat peran terkait layanan yang diperlukan AWS Shield Advanced, AWS Config, dan AWS WAF, dengan cakupan kunci kondisi. `iam:AWSServiceName`
JSON berikut menunjukkan kebijakan `NetworkSecurityManagerServiceRolePolicy` izin lengkap.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "LogsGeneral",
"Effect": "Allow",
"Action": [
"logs:ListLogDeliveries",
"logs:CreateLogDelivery",
"logs:GetLogDelivery",
"logs:UpdateLogDelivery",
"logs:DeleteLogDelivery"
],
"Resource": "*"
},
{
"Sid": "S3LogBucketGeneral",
"Effect": "Allow",
"Action": [
"s3:GetBucketPolicy",
"s3:PutBucketPolicy"
],
"Resource": "arn:aws:s3:::aws-waf-logs-*"
},
{
"Sid": "CloudfrontVpcOriginAccess",
"Effect": "Allow",
"Action": [
"cloudfront:GetVpcOrigin"
],
"Resource": "arn:aws:cloudfront::*:vpcorigin/*"
},
{
"Sid": "ConfigUnscoped",
"Effect": "Allow",
"Action": [
"config:SelectResourceConfig"
],
"Resource": "*"
},
{
"Sid": "DescribeOrganizationUnScoped",
"Effect": "Allow",
"Action": [
"organizations:DescribeOrganization",
"organizations:ListAccounts",
"organizations:ListChildren",
"organizations:ListRoots",
"organizations:ListParents",
"organizations:ListOrganizationalUnitsForParent",
"organizations:ListAWSServiceAccessForOrganization"
],
"Resource": "*"
},
{
"Sid": "DescribeAccountScoped",
"Effect": "Allow",
"Action": "organizations:DescribeAccount",
"Resource": "arn:aws:organizations::*:account/o-*/*"
},
{
"Sid": "DescribeOrganizationUnitScoped",
"Effect": "Allow",
"Action": "organizations:DescribeOrganizationalUnit",
"Resource": "arn:aws:organizations::*:ou/o-*/ou-*"
},
{
"Sid": "ListDelegatedAdministratorsScoped",
"Effect": "Allow",
"Action": "organizations:ListDelegatedAdministrators",
"Resource": "*",
"Condition": {
"StringEquals": {
"organizations:ServicePrincipal": [
"network-security-manager.amazonaws.com"
]
}
}
},
{
"Sid": "LoadBalancerNonMutationApiAccess",
"Effect": "Allow",
"Action": [
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeTags",
"elasticloadbalancing:DescribeWebACLAssociation"
],
"Resource": "*"
},
{
"Sid": "LoadBalancerGetWebACLScoped",
"Effect": "Allow",
"Action": "elasticloadbalancing:GetLoadBalancerWebACL",
"Resource": "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*"
},
{
"Sid": "CloudFrontDistributionNonMutationApiAccess",
"Effect": "Allow",
"Action": [
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListTagsForResource"
],
"Resource": "arn:aws:cloudfront::*:distribution/*"
},
{
"Sid": "ApiGatewayStageNonMutationApiAccess",
"Effect": "Allow",
"Action": "apigateway:GET",
"Resource": [
"arn:aws:apigateway:*::/restapis",
"arn:aws:apigateway:*::/restapis/*/stages",
"arn:aws:apigateway:*::/restapis/*/stages/*",
"arn:aws:apigateway:*::/tags/*"
]
},
{
"Sid": "Wafv2General",
"Effect": "Allow",
"Action": [
"wafv2:TagResource",
"wafv2:ListResourcesForWebACL",
"wafv2:AssociateWebACL",
"wafv2:ListTagsForResource",
"wafv2:UntagResource",
"wafv2:GetWebACL",
"wafv2:DisassociateFirewallManager",
"wafv2:DeleteWebACL",
"wafv2:DisassociateWebACL",
"wafv2:ValidateNetworkSecurityManagerWebACLConfiguration",
"wafv2:ValidateNetworkSecurityManagerRuleConfiguration"
],
"Resource": "arn:aws:wafv2:*:*:*/webacl/*"
},
{
"Sid": "Wafv2WebAclAndRuleGroupMutation",
"Effect": "Allow",
"Action": [
"wafv2:UpdateWebACL",
"wafv2:CreateWebACL",
"wafv2:DeleteFirewallManagerRuleGroups",
"wafv2:PutFirewallManagerRuleGroups"
],
"Resource": [
"arn:aws:wafv2:*:*:*/webacl/*",
"arn:aws:wafv2:*:*:global/rulegroup/*",
"arn:aws:wafv2:*:*:regional/rulegroup/*",
"arn:aws:wafv2:*:*:global/managedruleset/*",
"arn:aws:wafv2:*:*:regional/managedruleset/*",
"arn:aws:wafv2:*:*:global/ipset/*",
"arn:aws:wafv2:*:*:regional/ipset/*",
"arn:aws:wafv2:*:*:global/regexpatternset/*",
"arn:aws:wafv2:*:*:regional/regexpatternset/*"
]
},
{
"Sid": "Wafv2Logging",
"Effect": "Allow",
"Action": [
"wafv2:PutLoggingConfiguration",
"wafv2:GetLoggingConfiguration",
"wafv2:DeleteLoggingConfiguration"
],
"Resource": "arn:aws:wafv2:*:*:*/webacl/*"
},
{
"Sid": "Wafv2ListLogging",
"Effect": "Allow",
"Action": "wafv2:ListLoggingConfigurations",
"Resource": "*"
},
{
"Sid": "Wafv2ListWebACLs",
"Effect": "Allow",
"Action": "wafv2:ListWebACLs",
"Resource": "*"
},
{
"Sid": "Wafv2PermissionPolicy",
"Effect": "Allow",
"Action": [
"wafv2:PutPermissionPolicy",
"wafv2:GetPermissionPolicy",
"wafv2:DeletePermissionPolicy"
],
"Resource": [
"arn:aws:wafv2:*:*:global/rulegroup/*",
"arn:aws:wafv2:*:*:regional/rulegroup/*"
]
},
{
"Sid": "Wafv2WebaclDescribe",
"Effect": "Allow",
"Action": "wafv2:GetWebACLForResource",
"Resource": "arn:aws:wafv2:*:*:*/webacl/*"
},
{
"Sid": "CloudFrontListDistributions",
"Effect": "Allow",
"Action": [
"cloudfront:ListDistributionsByWebACLId",
"cloudfront:ListDistributions"
],
"Resource": "*"
},
{
"Sid": "CloudFrontDistributionMutation",
"Effect": "Allow",
"Action": [
"cloudfront:AssociateDistributionWebACL",
"cloudfront:DisassociateDistributionWebACL"
],
"Resource": "arn:aws:cloudfront::*:distribution/*"
},
{
"Sid": "ElbWebAclRemediationScoped",
"Effect": "Allow",
"Action": [
"elasticloadbalancing:CreateWebACLAssociation",
"elasticloadbalancing:DeleteWebACLAssociation"
],
"Resource": "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*"
},
{
"Sid": "ElbSetWebAcl",
"Effect": "Allow",
"Action": "elasticloadbalancing:SetWebACL",
"Resource": "*"
},
{
"Sid": "ApiGatewayWebAclRemediation",
"Effect": "Allow",
"Action": "apigateway:SetWebACL",
"Resource": "arn:aws:apigateway:*::/restapis/*/stages/*"
},
{
"Sid": "CognitoWebAclIntegration",
"Effect": "Allow",
"Action": [
"cognito-idp:GetWebACLForResource",
"cognito-idp:ListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "AppRunnerWebAclIntegration",
"Effect": "Allow",
"Action": [
"apprunner:DescribeWebAclForService",
"apprunner:ListAssociatedServicesForWebAcl"
],
"Resource": "*"
},
{
"Sid": "VerifiedAccessWebAclIntegration",
"Effect": "Allow",
"Action": [
"ec2:GetVerifiedAccessInstanceWebAcl",
"ec2:DescribeVerifiedAccessInstanceWebAclAssociations"
],
"Resource": "*"
},
{
"Sid": "AppSyncWebAclIntegration",
"Effect": "Allow",
"Action": [
"appsync:GetWebACLForResource",
"appsync:ListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "AmplifyWebAclIntegration",
"Effect": "Allow",
"Action": [
"amplify:GetWebACLForResource",
"amplify:ListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "ShieldGeneral",
"Effect": "Allow",
"Action": [
"shield:CreateProtection",
"shield:DeleteProtection",
"shield:DescribeProtection",
"shield:ListProtections",
"shield:CreateSubscription",
"shield:DescribeSubscription",
"shield:GetSubscriptionState",
"ec2:DescribeAddresses",
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeTags"
],
"Resource": "*"
},
{
"Sid": "ShieldSlrCreation",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/shield.amazonaws.com/*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "shield.amazonaws.com"
}
}
},
{
"Sid": "AllowConfigRecorderList",
"Effect": "Allow",
"Action": "config:ListConfigurationRecorders",
"Resource": "*"
},
{
"Sid": "AllowPutServiceLinkedConfigRecorder",
"Effect": "Allow",
"Action": "config:PutServiceLinkedConfigurationRecorder",
"Resource": "*"
},
{
"Sid": "AllowConfigRecorderScopedAccess",
"Effect": "Allow",
"Action": [
"config:DescribeConfigurationRecorders",
"config:DescribeConfigurationRecorderStatus",
"config:DeleteServiceLinkedConfigurationRecorder",
"config:AssociateResourceTypes",
"config:DisassociateResourceTypes"
],
"Resource": "arn:aws:config:*:*:configuration-recorder/*"
},
{
"Sid": "AllowCreateConfigServiceLinkedRole",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "config.amazonaws.com"
}
}
},
{
"Sid": "AllowListActionsForAgentCoreGateway",
"Effect": "Allow",
"Action": [
"bedrock-agentcore:GatewayListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "AllowGetActionForAgentCoreGateway",
"Effect": "Allow",
"Action": [
"bedrock-agentcore:GatewayGetWebACLForResource"
],
"Resource": "arn:aws:bedrock-agentcore:*:*:gateway/*"
},
{
"Sid": "WafV2LoggingSlrCreation",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/wafv2.amazonaws.com/*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "wafv2.amazonaws.com"
}
}
}
]
}
```
## Membuat peran terkait layanan untuk AWS Manajer Keamanan Jaringan
Anda tidak perlu membuat peran terkait layanan secara manual. Saat Anda mengaktifkan AWS Network Security Manager, AWS Network Security Manager akan membuat peran terkait layanan untuk Anda. Tidak ada langkah manual untuk dilakukan.
Jika Anda menghapus peran terkait layanan ini dan kemudian perlu membuatnya lagi, Manajer Keamanan AWS Jaringan akan membuat ulang peran tersebut saat berikutnya Anda menggunakan layanan. Anda tidak perlu mengambil tindakan apa pun.
Untuk informasi selengkapnya, silakan lihat [Membuat peran terkait layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) dalam *Panduan Pengguna IAM*.
## Menyunting peran terkait layanan untuk AWS Manajer Keamanan Jaringan
Anda tidak dapat mengubah izin peran `AWSServiceRoleForNetworkSecurityManager` terkait layanan. Setelah membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat menyunting penjelasan peran menggunakan IAM.
Untuk informasi selengkapnya, lihat [Mengedit peran terkait layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) dalam *Panduan Pengguna IAM*.
## Menghapus peran terkait layanan untuk AWS Manajer Keamanan Jaringan
Jika Anda tidak perlu lagi menggunakan AWS Network Security Manager, kami sarankan Anda menghapus peran `AWSServiceRoleForNetworkSecurityManager` terkait layanan.
Sebelum Anda menghapus peran terkait layanan, bersihkan sumber daya yang dikelola Manajer Keamanan AWS Jaringan. Nonaktifkan Manajer Keamanan AWS Jaringan dan hapus kebijakan dan cakupan sehingga tidak ada sumber daya yang dikelola Manajer Keamanan AWS Jaringan yang tetap ada di akun Anda. Anda kemudian dapat menghapus peran secara manual.
**catatan**
Jika Manajer Keamanan AWS Jaringan menggunakan peran saat Anda mencoba menghapus sumber daya, penghapusan mungkin gagal. Jika hal itu terjadi, tunggu beberapa menit dan coba mengoperasikannya lagi.
**Untuk menghapus peran tertaut layanan secara manual menggunakan IAM**
1. Buka konsol IAM di [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Di panel navigasi, pilih **Peran**.
1. Di kotak pencarian, masukkan`AWSServiceRoleForNetworkSecurityManager`, lalu pilih peran.
1. Pilih **Hapus**.
1. **Untuk mengonfirmasi penghapusan, masukkan nama peran, lalu pilih Hapus.**
Untuk informasi selengkapnya, lihat [Menghapus peran terkait layanan](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) dalam *Panduan Pengguna IAM*.
## Wilayah yang Didukung untuk AWS Peran terkait layanan Manajer Keamanan Jaringan
AWS Manajer Keamanan Jaringan mendukung penggunaan peran terkait layanan di semua AWS Wilayah tempat Manajer Keamanan AWS Jaringan tersedia.