Ruolo collegato ai servizi di manutenzione

AWS Elastic Beanstalk utilizza ruoli collegati ai servizi AWS Identity and Access Management (IAM). Un ruolo collegato ai servizi è un tipo univoco di ruolo IAM collegato direttamente a Elastic Beanstalk. I ruoli collegati ai servizi sono predefiniti da Elastic Beanstalk e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato ai servizi semplifica la configurazione di Elastic Beanstalk perché non devi aggiungere manualmente le autorizzazioni necessarie. Elastic Beanstalk definisce le autorizzazioni dei propri ruoli associati ai servizi e, salvo diversamente definito, solo Elastic Beanstalk può assumere i propri ruoli. Le autorizzazioni definite includono la policy di attendibilità e la policy delle autorizzazioni che non può essere allegata a nessun'altra entità IAM.

È possibile eliminare un ruolo collegato ai servizi solo dopo aver eliminato le risorse correlate. Questa procedura protegge le risorse di Elastic Beanstalk perché impedisce la rimozione involontaria delle autorizzazioni di accesso alle risorse.

Per informazioni sugli altri servizi che supportano i ruoli collegati ai servizi, consultare Servizi AWS che funzionano con IAM e cercare i servizi che riportano Yes (Sì) nella colonna Service-Linked Role (Ruolo collegato ai servizi). Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni dei ruoli collegati ai servizi per Elastic Beanstalk

Elastic Beanstalk utilizza il ruolo collegato al servizio AWSServiceRoleForElasticBeanstalkMaintenancedenominato: consente a Elastic Beanstalk di eseguire attività di manutenzione regolari per gli ambienti in esecuzione.

Il ruolo AWSServiceRoleForElasticBeanstalkMaintenance collegato al servizio prevede che i seguenti servizi assumano il ruolo:

• maintenance.elasticbeanstalk.amazonaws.com

La politica delle autorizzazioni del ruolo AWSServiceRoleForElasticBeanstalkMaintenance collegato al servizio contiene tutte le autorizzazioni di cui Elastic Beanstalk ha bisogno per completare le azioni per tuo conto:

{
    "Version": "2012-10-17",
    "Statement":
        {
            "Sid": "AllowCloudformationChangeSetOperationsOnElasticBeanstalkStacks",
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateChangeSet",
                "cloudformation:DescribeChangeSet",
                "cloudformation:ExecuteChangeSet",
                "cloudformation:DeleteChangeSet",
                "cloudformation:ListChangeSets",
                "cloudformation:DescribeStacks"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stack/awseb-*",
                "arn:aws:cloudformation:*:*:stack/eb-*"
            ]
        }
}

Per consentire a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato ai servizi devi configurare le relative autorizzazioni. Per ulteriori informazioni, consulta Autorizzazioni del ruolo collegato ai servizi nella Guida per l'utente di IAM.

In alternativa, puoi utilizzare una policy AWS gestita per fornire l'accesso completo a Elastic Beanstalk.

Creazione di un ruolo collegato ai servizi per Elastic Beanstalk

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando crei un ambiente Elastic Beanstalk utilizzando l'API Elastic Beanstalk e non specifichi un profilo dell'istanza, Elastic Beanstalk crea automaticamente il ruolo collegato ai servizi.

Importante

Questo ruolo collegato al servizio può apparire nell'account, se è stata completata un'operazione in un altro servizio che utilizza le caratteristiche supportate da questo ruolo. Se stavi utilizzando il servizio Elastic Beanstalk prima del 18 aprile 2019, quando ha iniziato a AWSServiceRoleForElasticBeanstalkMaintenance supportare il ruolo collegato al servizio, e il tuo account ne aveva bisogno, Elastic Beanstalk ha creato il ruolo nel tuo account. AWSServiceRoleForElasticBeanstalkMaintenance Per ulteriori informazioni, consulta Un nuovo ruolo è apparso nel mio account IAM.

Se elimini questo ruolo collegato ai servizi, puoi ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando crei un ambiente Elastic Beanstalk utilizzando l'API Elastic Beanstalk e non specifichi un profilo dell'istanza, Elastic Beanstalk crea di nuovo automaticamente il ruolo collegato ai servizi.

Modifica di un ruolo collegato ai servizi per Elastic Beanstalk

Elastic Beanstalk non consente di modificare il ruolo collegato al servizio. AWSServiceRoleForElasticBeanstalkMaintenance Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, consulta la sezione Modifica di un ruolo collegato ai servizi nella Guida per l'utente di IAM.

Eliminazione di un ruolo collegato ai servizi per Elastic Beanstalk

Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario effettuare la pulizia delle risorse associate al ruolo collegato al servizio prima di poterlo eliminare manualmente.

Pulizia di un ruolo collegato ai servizi

Per poter utilizzare IAM per eliminare un ruolo collegato ai servizi, è necessario prima terminare qualsiasi ambiente Elastic Beanstalk che usa il ruolo.

Nota

Se il servizio Elastic Beanstalk utilizza il ruolo collegato ai servizi quando tenti di terminare gli ambienti, è possibile che la terminazione non riesca. In questo caso, attendi alcuni minuti e quindi ripeti l'operazione.

Per terminare un ambiente Elastic Beanstalk che utilizza (console) AWSServiceRoleForElasticBeanstalkMaintenance

1. Apri la console Elastic Beanstalk e, nell'elenco Regioni, seleziona la tua. Regione AWS

2. Nel pannello di navigazione selezionare Environments (Ambienti), quindi selezionare il nome dell'ambiente dall'elenco.

   Nota

   Se si dispone di molti ambienti, utilizzare la barra di ricerca per filtrare l'elenco degli ambienti.

3. Seleziona Actions (Operazioni), quindi Terminate environment (Termina ambiente).

4. Utilizza la finestra di dialogo su schermo per confermare la terminazione dell'ambiente.

Per informazioni dettagliate sulla terminazione di un ambiente Elastic Beanstalk utilizzando CLI EB, consultare eb terminate.

TerminateEnvironmentPer ulteriori informazioni sulla chiusura di un ambiente Elastic Beanstalk tramite l'API, consulta.

Eliminazione manuale del ruolo collegato ai servizi

Utilizza la console IAM, la CLI IAM o l'API IAM per eliminare il ruolo collegato al AWSServiceRoleForElasticBeanstalkMaintenance servizio. Per ulteriori informazioni, consulta Eliminazione del ruolo collegato ai servizi nella Guida per l'utente di IAM.

Regioni supportate per i ruoli collegati ai servizi Elastic Beanstalk

Elastic Beanstalk supporta l'utilizzo di ruoli collegati ai servizi in tutte le regioni in cui il servizio è disponibile. Per ulteriori informazioni, consulta Endpoint e quote per AWS Elastic Beanstalk.