Comprensione dei ruoli collegati ai servizi

Amazon DocumentDB (con compatibilità con MongoDB) utilizza () ruoli collegati ai servizi. AWS Identity and Access Management IAM Un ruolo collegato ai servizi è un tipo di IAM ruolo unico collegato direttamente ad Amazon DocumentDB. I ruoli collegati ai servizi sono predefiniti da Amazon DocumentDB e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato ai servizi semplifica l'utilizzo di Amazon DocumentDB perché non è necessario aggiungere manualmente le autorizzazioni necessarie. Amazon DocumentDB definisce le autorizzazioni dei suoi ruoli collegati ai servizi e, se non diversamente definito, solo Amazon DocumentDB può assumerne i ruoli. Le autorizzazioni definite includono la politica di fiducia e la politica di autorizzazione e tale politica di autorizzazione non può essere associata a nessun'altra entità. IAM

È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. Questo protegge le tue risorse Amazon DocumentDB perché non puoi rimuovere inavvertitamente l'autorizzazione ad accedere alle risorse.

Per informazioni su altri servizi che supportano ruoli collegati ai servizi, consulta AWS Servizi con cui lavorare IAM e cerca i servizi con Sì nella colonna Service-Linked Role. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni di ruolo collegate al servizio Amazon DocumentDB

Amazon DocumentDB (compatibile con MongoDB) utilizza il ruolo collegato ai servizi denominato per AWSServiceRoleForRDSconsentire ad Amazon DocumentDB di chiamare i servizi per conto dei tuoi cluster. AWS

Il ruolo AWSServiceRoleForRDS collegato ai servizi prevede che i seguenti servizi assumano il ruolo:

• docdb.amazonaws.com

La policy di autorizzazione dei ruoli consente ad Amazon DocumentDB di completare le seguenti azioni sulle risorse specificate:

• Operazioni su ec2:

  • AssignPrivateIpAddresses

  • AuthorizeSecurityGroupIngress

  • CreateNetworkInterface

  • CreateSecurityGroup

  • DeleteNetworkInterface

  • DeleteSecurityGroup

  • DescribeAvailabilityZones

  • DescribeInternetGateways

  • DescribeSecurityGroups

  • DescribeSubnets

  • DescribeVpcAttribute

  • DescribeVpcs

  • ModifyNetworkInterfaceAttribute

  • RevokeSecurityGroupIngress

  • UnassignPrivateIpAddresses

• Operazioni su sns:

  • ListTopic

  • Publish

• Operazioni su cloudwatch:

  • PutMetricData

  • GetMetricData

  • CreateLogStream

  • PullLogEvents

  • DescribeLogStreams

  • CreateLogGroup

Nota

È necessario configurare le autorizzazioni per consentire a un'IAMentità (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio. Potrebbe essere visualizzato il messaggio di errore seguente:

Unable to create the resource. (Impossibile creare la risorsa. Verify that you have permission to create service linked role. (Verifica di possedere le autorizzazioni necessarie per creare un ruolo collegato ai servizi.) Otherwise wait and try again later. (In caso contrario, attendi e riprova più tardi.

Se viene visualizzato questo errore, verifica che le autorizzazioni seguenti siano abilitate:

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}

Per ulteriori informazioni, consulta la sezione Autorizzazioni relative ai ruoli collegati ai servizi nella Guida per l'utente. IAM

Creazione di un ruolo collegato al servizio Amazon DocumentDB

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando crei un cluster, Amazon DocumentDB crea automaticamente il ruolo collegato al servizio.

Se devi ricreare un ruolo collegato ai servizi che hai precedentemente eliminato, puoi utilizzare lo stesso processo per ricreare il ruolo nel tuo account. Quando crei un cluster, Amazon DocumentDB crea nuovamente il ruolo collegato al servizio per te.

Modifica di un ruolo collegato al servizio Amazon DocumentDB

Amazon DocumentDB non consente di modificare il ruolo collegato al AWSServiceRoleForRDS servizio. Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. Tuttavia, puoi modificare la descrizione del ruolo utilizzando. IAM Per ulteriori informazioni, vedere Modifica di un ruolo collegato ai servizi nella Guida per l'IAMutente.

Eliminazione di un ruolo collegato al servizio Amazon DocumentDB

Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, prima di poter eliminare il ruolo collegato ai servizi, dovrai eliminare tutti i cluster .

Pulizia di un ruolo collegato al servizio Amazon DocumentDB

Prima di poter eliminare un ruolo collegato IAM al servizio, devi prima confermare che il ruolo non abbia sessioni attive e rimuovere tutte le risorse utilizzate dal ruolo.

Per verificare la presenza di una sessione attiva del ruolo collegato ai servizi utilizzando la console

1. Accedi a AWS Management Console e apri la IAM console all'indirizzo. https://console.aws.amazon.com/iam/

2. Nel riquadro di navigazione della IAM console, scegli Ruoli, quindi scegli il nome (non la casella di controllo) del AWSServiceRoleForRDSruolo.

3. Nella pagina Summary (Riepilogo) per il ruolo selezionato, scegliere la scheda Access Advisor (Consulente accessi).

4. Nella scheda Access Advisor (Consulente accessi) esaminare l'attività recente per il ruolo collegato ai servizi.

   Nota

   Se non sei sicuro che Amazon DocumentDB stia utilizzando AWSServiceRoleForRDS il ruolo, puoi provare a eliminarlo. Se il servizio sta utilizzando il ruolo, l'eliminazione non andrà a buon fine e potrai visualizzare le regioni in cui il ruolo viene utilizzato. Se il ruolo è in uso, prima di poterlo eliminare dovrai attendere il termine della sessione. Non puoi revocare la sessione per un ruolo collegato al servizio.

Se desideri rimuovere il AWSServiceRoleForRDS ruolo, devi prima eliminare tutte le istanze e i cluster. Per informazioni sull'eliminazione delle istanze e dei cluster, consulta i seguenti argomenti:

• Eliminazione di un'istanza Amazon DocumentDB

• Eliminazione di un cluster Amazon DocumentDB

Regioni supportate per i ruoli collegati ai servizi Amazon DocumentDB

Amazon DocumentDB supporta l'utilizzo di ruoli collegati ai servizi in tutte le regioni in cui il servizio è disponibile. Per ulteriori informazioni, consulta https://docs.aws.amazon.com/documentdb/latest/developerguide/regions-and-azs.html#regions-and-azs-availability.