Passaggio delle autorizzazioni di un ruolo

Parte di una definizione di regola è costituita da un ruolo IAM che concede l'autorizzazione di accesso alle risorse specificate nell'operazione della regola. Il motore di regole presuppone l'uso del ruolo quando l'operazione della regola viene richiamata. Il ruolo deve essere definito nello stesso modo della Account AWS regola.

Quando crei o sostituisci una regola, in realtà passi un ruolo al motore di regole. È necessaria l’autorizzazione iam:PassRole per eseguire questa operazione. Per verificare che disponi di questa autorizzazione, crea una policy che conceda l'autorizzazione iam:PassRole e collegala al tuo utente IAM. La policy seguente mostra come concedere l'autorizzazione iam:PassRole per un ruolo.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "Stmt1",
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::123456789012:role/myRole"
			]
		}
	]
}

In questa policy di esempio viene concessa l'autorizzazione iam:PassRole al ruolo myRole. Il ruolo viene specificato usando l'ARN del ruolo. Collega questa policy all'utente IAM o al ruolo a cui l'utente appartiene. Per ulteriori informazioni, consulta la sezione relativa all'utilizzo di policy gestite.

Nota

Le funzioni Lambda usano una policy basata sulle risorse collegata direttamente alla funzione Lambda stessa. Quando crei una regola che richiama una funzione Lambda, non trasferisci un ruolo; pertanto, l'utente che crea la regola non ha bisogno dell'autorizzazione iam:PassRole. Per ulteriori informazioni sull'autorizzazione per la funzione Lambda, consulta la pagina relativa alla Concessione di autorizzazioni usando una policy per le risorse.