Utilizzo dei ruoli collegati ai servizi per Amazon S3 su Outposts

Amazon S3 on Outposts utilizza AWS Identity and Access Management () IAM ruoli collegati ai servizi. Un ruolo collegato ai servizi è un tipo unico di IAM ruolo collegato direttamente a S3 su Outposts. I ruoli collegati ai servizi sono predefiniti da S3 su Outposts e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato ai servizi semplifica la configurazione di S3 su Outposts perché ti permette di evitare l'aggiunta manuale delle autorizzazioni necessarie. S3 su Outposts definisce le autorizzazioni dei relativi ruoli collegati ai servizi e, salvo diversamente definito, solo S3 su Outposts potrà assumere i propri ruoli. Le autorizzazioni definite includono la politica di fiducia e la politica di autorizzazione e tale politica di autorizzazione non può essere associata a nessun'altra entità. IAM

È possibile eliminare un ruolo collegato ai servizi solo dopo aver eliminato le risorse correlate. Questa procedura protegge le risorse di S3 su Outposts perché impedisce la rimozione involontaria delle autorizzazioni di accesso alle risorse.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, vedi AWS Servizi compatibili con IAM e cerca i servizi con Sì nella colonna Ruoli collegati ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni del ruolo collegato ai servizi per S3 su Outposts

S3 on Outposts utilizza il ruolo collegato ai servizi AWSServiceRoleForS3OnOutpostsdenominato per aiutarti a gestire le risorse di rete per te.

Ai fini dell'assunzione del ruolo, il ruolo collegato ai servizi AWSServiceRoleForS3OnOutposts considera attendibili i seguenti servizi:

• s3-outposts.amazonaws.com

La policy delle autorizzazioni del ruolo denominata AWSS3OnOutpostsServiceRolePolicy consente a S3 su Outposts di eseguire le seguenti operazioni sulle risorse specificate:

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeVpcs",
                "ec2:DescribeCoipPools",
                "ec2:GetCoipPoolUsage",
                "ec2:DescribeAddresses",
                "ec2:DescribeLocalGatewayRouteTableVpcAssociations"
            ],
            "Resource": "*",
            "Sid": "DescribeVpcResources"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:subnet/*",
                "arn:aws:ec2:*:*:security-group/*"
            ],
            "Sid": "CreateNetworkInterface"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CreatedBy": "S3 On Outposts"
                }
            },
            "Sid": "CreateTagsForCreateNetworkInterface"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AllocateAddress"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:ipv4pool-ec2/*"
            ],
            "Sid": "AllocateIpAddress"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AllocateAddress"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:elastic-ip/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CreatedBy": "S3 On Outposts"
                }
            },
            "Sid": "CreateTagsForAllocateIpAddress"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterface",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:DisassociateAddress",
                "ec2:ReleaseAddress",
                "ec2:AssociateAddress"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/CreatedBy": "S3 On Outposts"
                }
            },
            "Sid": "ReleaseVpcResources"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": [
                        "CreateNetworkInterface",
                        "AllocateAddress"
                    ],
                    "aws:RequestTag/CreatedBy": [
                        "S3 On Outposts"
                    ]
                }
            },
            "Sid": "CreateTags"
        }
    ]
}

È necessario configurare le autorizzazioni per consentire a un'IAMentità (come un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio. Per ulteriori informazioni, consulta Autorizzazioni per i ruoli collegati ai servizi nella Guida per l'utente. IAM

Creazione di un ruolo collegato ai servizi per S3 su Outposts

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando crei un endpoint S3 on Outposts nel, il o AWS Management Console AWS CLI il, S3 on Outposts crea automaticamente AWS API il ruolo collegato al servizio.

Se elimini questo ruolo collegato ai servizi, puoi ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando crei un endpoint S3 su Outposts, esso crea automaticamente il ruolo collegato ai servizi.

Puoi anche usare la IAM console per creare un ruolo collegato ai servizi con lo use case S3 on Outposts. In AWS CLI oppure AWS API, crea un ruolo collegato al servizio con il nome del servizio. s3-outposts.amazonaws.com Per ulteriori informazioni, consulta Creazione di un ruolo collegato al servizio nella Guida per l'utente. IAM Se elimini il ruolo collegato ai servizi, puoi utilizzare lo stesso processo per crearlo nuovamente.

Modifica di un ruolo collegato ai servizi per S3 su Outposts

S3 su Outposts non consente di modificare il ruolo collegato ai servizi AWSServiceRoleForS3OnOutposts. Questo include il nome del ruolo perché varie entità possano farvi riferimento. Tuttavia, è possibile modificare la descrizione del ruolo utilizzando. IAM Per ulteriori informazioni, consulta Modifica di un ruolo collegato al servizio nella Guida per l'IAMutente.

Eliminazione di un ruolo collegato ai servizi per S3 su Outposts

Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario effettuare la pulizia delle risorse associate al ruolo collegato al servizio prima di poterlo eliminare manualmente.

Nota

Se il servizio S3 su Outposts utilizza tale ruolo quando tenti di eliminare le risorse, è possibile che l'eliminazione non riesca. In questo caso, attendi alcuni minuti e quindi ripeti l'operazione.

Per eliminare le risorse S3 su Outposts utilizzate dal ruolo AWSServiceRoleForS3OnOutposts

1. Elimina gli endpoint S3 on Outposts dal tuo account. Account AWS Regioni AWS

2. Elimina il ruolo collegato al servizio utilizzando. IAM

   Utilizza la IAM console AWS CLI, il o il AWS API per eliminare il ruolo collegato al AWSServiceRoleForS3OnOutposts servizio. Per ulteriori informazioni, vedere Eliminazione di un ruolo collegato al servizio nella Guida per l'utente. IAM

Regioni supportate per i ruoli collegati ai servizi di S3 su Outposts

S3 on Outposts supporta l'utilizzo di ruoli collegati ai servizi in tutti i paesi in cui Regioni AWS il servizio è disponibile. Per ulteriori informazioni, consulta S3 on Outposts Regions and endpoints.