Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Utilizzo di ruoli collegati ai servizi per AWS Responsabile della sicurezza di rete
AWS Network Security Manager utilizza ruoli collegati ai [servizi](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) IAM. Un ruolo collegato ai servizi è un tipo unico di ruolo IAM collegato direttamente a AWS Network Security Manager. Service-linked i ruoli sono predefiniti da AWS Network Security Manager e includono tutte le autorizzazioni richieste dal servizio per chiamare altri AWS servizi per conto dell'utente.
Un ruolo collegato al servizio semplifica la configurazione di AWS Network Security Manager perché non è necessario aggiungere manualmente le autorizzazioni necessarie. AWS Network Security Manager definisce le autorizzazioni dei ruoli collegati ai servizi. Salvo diversa definizione, solo AWS Network Security Manager può assumerne i ruoli. Le autorizzazioni definite includono policy di attendibilità e di autorizzazioni. Non puoi collegare tale politica di autorizzazioni a nessun'altra entità IAM.
Puoi eliminare un ruolo collegato al servizio solo dopo aver eliminato per la prima volta le risorse correlate. Ciò protegge le risorse di AWS Network Security Manager perché non è possibile rimuovere inavvertitamente l'autorizzazione ad accedere alle risorse.
**Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, consulta [AWS i servizi che funzionano con IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) e cerca i servizi che includono **Sì** nella colonna dei ruoli. Service-linked ** Scegli il collegamento **Sì** per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.
## Service-linked autorizzazioni di ruolo per AWS Responsabile della sicurezza di rete
AWS Network Security Manager utilizza il ruolo collegato al servizio denominato. `AWSServiceRoleForNetworkSecurityManager` Questo ruolo collegato al servizio prevede che il responsabile del `network-security-manager.amazonaws.com` servizio assuma il ruolo.
La politica di autorizzazione dei ruoli denominata `NetworkSecurityManagerServiceRolePolicy` è una politica AWS gestita che consente a AWS Network Security Manager di completare azioni sulle risorse specificate.
La seguente politica di attendibilità consente al responsabile del `network-security-manager.amazonaws.com` servizio di assumere il ruolo.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "network-security-manager.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
**Nota**
Per consentire a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio è necessario configurare le relative autorizzazioni. Per ulteriori informazioni, consulta le [autorizzazioni dei Service-linked ruoli](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) nella *Guida per l'utente IAM*.
### Dettagli delle autorizzazioni
AWS Network Security Manager richiede ogni gruppo di autorizzazioni per proteggere e scoprire le risorse dell'account e dell'organizzazione. La policy `NetworkSecurityManagerServiceRolePolicy` gestita concede le seguenti autorizzazioni, raggruppate per servizio:
+ `wafv2`— Creazione, lettura, aggiornamento ed eliminazione degli ACL Web e dei gruppi di regole di Firewall Manager. Associa e dissocia gli ACL Web con risorse protette. Gestisci le configurazioni di registrazione Web ACL e le politiche di autorizzazione dei gruppi di regole. Etichetta e rimuovi i tag dalle risorse. Convalida l'ACL web e le configurazioni delle regole di AWS Network Security Manager.
+ `shield`— Crea, descrivi, elenca ed elimina le protezioni AWS Shield Advanced. Crea e descrivi l'abbonamento AWS Shield Advanced.
+ `elasticloadbalancing`— Descrivi gli Application Load Balancer e i tag. Crea, elimina e imposta associazioni ACL Web su Application Load Balancers.
+ `cloudfront`— Ottieni ed elenca CloudFront le distribuzioni, le configurazioni e i tag di Amazon. Associa e dissocia gli ACL web di distribuzione. Leggi le origini del VPC.
+ `apigateway`— Leggi le API REST, le fasi e i tag di Amazon API Gateway. Imposta l'ACL Web su una fase API.
+ `ec2`— Leggi gli ACL Web e le associazioni delle istanze di Amazon EC2 Verified Access. Descrivi gli indirizzi IP elastici per la protezione AWS Shield Advanced.
+ `cognito-idp`,, `apprunner` `appsync``amplify`, e `bedrock-agentcore` — Leggi le associazioni ACL Web per pool di utenti, servizi, API AWS AppSync GraphQL AWS App Runner , AWS Amplify app e gateway Amazon AgentCore Bedrock di Amazon Cognito in AWS modo che Network Security Manager possa scoprire le risorse protette.
+ `config`— Seleziona le configurazioni delle risorse e gestisci il registratore di AWS Config configurazione collegato ai servizi che Network Security Manager utilizza per individuare le risorse pertinenti. AWS
+ `organizations`— Leggi la tua organizzazione, gli account, le radici, le unità organizzative e gli amministratori delegati in modo che AWS Network Security Manager possa operare in tutta l'organizzazione.
+ `logs`— Crea, leggi, aggiorna, elimina ed elenca le consegne di log per la registrazione ACL web.
+ `s3`— Ottieni e installa policy bucket sui bucket Amazon S3 i cui nomi iniziano `aws-waf-logs-` con in modo da poter distribuire i log ACL Web.
+ `iam`— Creare i ruoli collegati ai servizi richiesti da AWS Shield Advanced e AWS WAF, nell'ambito della chiave di condizione. AWS Config`iam:AWSServiceName`
Il seguente codice JSON mostra la politica completa delle autorizzazioni. `NetworkSecurityManagerServiceRolePolicy`
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "LogsGeneral",
"Effect": "Allow",
"Action": [
"logs:ListLogDeliveries",
"logs:CreateLogDelivery",
"logs:GetLogDelivery",
"logs:UpdateLogDelivery",
"logs:DeleteLogDelivery"
],
"Resource": "*"
},
{
"Sid": "S3LogBucketGeneral",
"Effect": "Allow",
"Action": [
"s3:GetBucketPolicy",
"s3:PutBucketPolicy"
],
"Resource": "arn:aws:s3:::aws-waf-logs-*"
},
{
"Sid": "CloudfrontVpcOriginAccess",
"Effect": "Allow",
"Action": [
"cloudfront:GetVpcOrigin"
],
"Resource": "arn:aws:cloudfront::*:vpcorigin/*"
},
{
"Sid": "ConfigUnscoped",
"Effect": "Allow",
"Action": [
"config:SelectResourceConfig"
],
"Resource": "*"
},
{
"Sid": "DescribeOrganizationUnScoped",
"Effect": "Allow",
"Action": [
"organizations:DescribeOrganization",
"organizations:ListAccounts",
"organizations:ListChildren",
"organizations:ListRoots",
"organizations:ListParents",
"organizations:ListOrganizationalUnitsForParent",
"organizations:ListAWSServiceAccessForOrganization"
],
"Resource": "*"
},
{
"Sid": "DescribeAccountScoped",
"Effect": "Allow",
"Action": "organizations:DescribeAccount",
"Resource": "arn:aws:organizations::*:account/o-*/*"
},
{
"Sid": "DescribeOrganizationUnitScoped",
"Effect": "Allow",
"Action": "organizations:DescribeOrganizationalUnit",
"Resource": "arn:aws:organizations::*:ou/o-*/ou-*"
},
{
"Sid": "ListDelegatedAdministratorsScoped",
"Effect": "Allow",
"Action": "organizations:ListDelegatedAdministrators",
"Resource": "*",
"Condition": {
"StringEquals": {
"organizations:ServicePrincipal": [
"network-security-manager.amazonaws.com"
]
}
}
},
{
"Sid": "LoadBalancerNonMutationApiAccess",
"Effect": "Allow",
"Action": [
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeTags",
"elasticloadbalancing:DescribeWebACLAssociation"
],
"Resource": "*"
},
{
"Sid": "LoadBalancerGetWebACLScoped",
"Effect": "Allow",
"Action": "elasticloadbalancing:GetLoadBalancerWebACL",
"Resource": "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*"
},
{
"Sid": "CloudFrontDistributionNonMutationApiAccess",
"Effect": "Allow",
"Action": [
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListTagsForResource"
],
"Resource": "arn:aws:cloudfront::*:distribution/*"
},
{
"Sid": "ApiGatewayStageNonMutationApiAccess",
"Effect": "Allow",
"Action": "apigateway:GET",
"Resource": [
"arn:aws:apigateway:*::/restapis",
"arn:aws:apigateway:*::/restapis/*/stages",
"arn:aws:apigateway:*::/restapis/*/stages/*",
"arn:aws:apigateway:*::/tags/*"
]
},
{
"Sid": "Wafv2General",
"Effect": "Allow",
"Action": [
"wafv2:TagResource",
"wafv2:ListResourcesForWebACL",
"wafv2:AssociateWebACL",
"wafv2:ListTagsForResource",
"wafv2:UntagResource",
"wafv2:GetWebACL",
"wafv2:DisassociateFirewallManager",
"wafv2:DeleteWebACL",
"wafv2:DisassociateWebACL",
"wafv2:ValidateNetworkSecurityManagerWebACLConfiguration",
"wafv2:ValidateNetworkSecurityManagerRuleConfiguration"
],
"Resource": "arn:aws:wafv2:*:*:*/webacl/*"
},
{
"Sid": "Wafv2WebAclAndRuleGroupMutation",
"Effect": "Allow",
"Action": [
"wafv2:UpdateWebACL",
"wafv2:CreateWebACL",
"wafv2:DeleteFirewallManagerRuleGroups",
"wafv2:PutFirewallManagerRuleGroups"
],
"Resource": [
"arn:aws:wafv2:*:*:*/webacl/*",
"arn:aws:wafv2:*:*:global/rulegroup/*",
"arn:aws:wafv2:*:*:regional/rulegroup/*",
"arn:aws:wafv2:*:*:global/managedruleset/*",
"arn:aws:wafv2:*:*:regional/managedruleset/*",
"arn:aws:wafv2:*:*:global/ipset/*",
"arn:aws:wafv2:*:*:regional/ipset/*",
"arn:aws:wafv2:*:*:global/regexpatternset/*",
"arn:aws:wafv2:*:*:regional/regexpatternset/*"
]
},
{
"Sid": "Wafv2Logging",
"Effect": "Allow",
"Action": [
"wafv2:PutLoggingConfiguration",
"wafv2:GetLoggingConfiguration",
"wafv2:DeleteLoggingConfiguration"
],
"Resource": "arn:aws:wafv2:*:*:*/webacl/*"
},
{
"Sid": "Wafv2ListLogging",
"Effect": "Allow",
"Action": "wafv2:ListLoggingConfigurations",
"Resource": "*"
},
{
"Sid": "Wafv2ListWebACLs",
"Effect": "Allow",
"Action": "wafv2:ListWebACLs",
"Resource": "*"
},
{
"Sid": "Wafv2PermissionPolicy",
"Effect": "Allow",
"Action": [
"wafv2:PutPermissionPolicy",
"wafv2:GetPermissionPolicy",
"wafv2:DeletePermissionPolicy"
],
"Resource": [
"arn:aws:wafv2:*:*:global/rulegroup/*",
"arn:aws:wafv2:*:*:regional/rulegroup/*"
]
},
{
"Sid": "Wafv2WebaclDescribe",
"Effect": "Allow",
"Action": "wafv2:GetWebACLForResource",
"Resource": "arn:aws:wafv2:*:*:*/webacl/*"
},
{
"Sid": "CloudFrontListDistributions",
"Effect": "Allow",
"Action": [
"cloudfront:ListDistributionsByWebACLId",
"cloudfront:ListDistributions"
],
"Resource": "*"
},
{
"Sid": "CloudFrontDistributionMutation",
"Effect": "Allow",
"Action": [
"cloudfront:AssociateDistributionWebACL",
"cloudfront:DisassociateDistributionWebACL"
],
"Resource": "arn:aws:cloudfront::*:distribution/*"
},
{
"Sid": "ElbWebAclRemediationScoped",
"Effect": "Allow",
"Action": [
"elasticloadbalancing:CreateWebACLAssociation",
"elasticloadbalancing:DeleteWebACLAssociation"
],
"Resource": "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*"
},
{
"Sid": "ElbSetWebAcl",
"Effect": "Allow",
"Action": "elasticloadbalancing:SetWebACL",
"Resource": "*"
},
{
"Sid": "ApiGatewayWebAclRemediation",
"Effect": "Allow",
"Action": "apigateway:SetWebACL",
"Resource": "arn:aws:apigateway:*::/restapis/*/stages/*"
},
{
"Sid": "CognitoWebAclIntegration",
"Effect": "Allow",
"Action": [
"cognito-idp:GetWebACLForResource",
"cognito-idp:ListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "AppRunnerWebAclIntegration",
"Effect": "Allow",
"Action": [
"apprunner:DescribeWebAclForService",
"apprunner:ListAssociatedServicesForWebAcl"
],
"Resource": "*"
},
{
"Sid": "VerifiedAccessWebAclIntegration",
"Effect": "Allow",
"Action": [
"ec2:GetVerifiedAccessInstanceWebAcl",
"ec2:DescribeVerifiedAccessInstanceWebAclAssociations"
],
"Resource": "*"
},
{
"Sid": "AppSyncWebAclIntegration",
"Effect": "Allow",
"Action": [
"appsync:GetWebACLForResource",
"appsync:ListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "AmplifyWebAclIntegration",
"Effect": "Allow",
"Action": [
"amplify:GetWebACLForResource",
"amplify:ListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "ShieldGeneral",
"Effect": "Allow",
"Action": [
"shield:CreateProtection",
"shield:DeleteProtection",
"shield:DescribeProtection",
"shield:ListProtections",
"shield:CreateSubscription",
"shield:DescribeSubscription",
"shield:GetSubscriptionState",
"ec2:DescribeAddresses",
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeTags"
],
"Resource": "*"
},
{
"Sid": "ShieldSlrCreation",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/shield.amazonaws.com/*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "shield.amazonaws.com"
}
}
},
{
"Sid": "AllowConfigRecorderList",
"Effect": "Allow",
"Action": "config:ListConfigurationRecorders",
"Resource": "*"
},
{
"Sid": "AllowPutServiceLinkedConfigRecorder",
"Effect": "Allow",
"Action": "config:PutServiceLinkedConfigurationRecorder",
"Resource": "*"
},
{
"Sid": "AllowConfigRecorderScopedAccess",
"Effect": "Allow",
"Action": [
"config:DescribeConfigurationRecorders",
"config:DescribeConfigurationRecorderStatus",
"config:DeleteServiceLinkedConfigurationRecorder",
"config:AssociateResourceTypes",
"config:DisassociateResourceTypes"
],
"Resource": "arn:aws:config:*:*:configuration-recorder/*"
},
{
"Sid": "AllowCreateConfigServiceLinkedRole",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "config.amazonaws.com"
}
}
},
{
"Sid": "AllowListActionsForAgentCoreGateway",
"Effect": "Allow",
"Action": [
"bedrock-agentcore:GatewayListResourcesForWebACL"
],
"Resource": "*"
},
{
"Sid": "AllowGetActionForAgentCoreGateway",
"Effect": "Allow",
"Action": [
"bedrock-agentcore:GatewayGetWebACLForResource"
],
"Resource": "arn:aws:bedrock-agentcore:*:*:gateway/*"
},
{
"Sid": "WafV2LoggingSlrCreation",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/wafv2.amazonaws.com/*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "wafv2.amazonaws.com"
}
}
}
]
}
```
## Creazione di un ruolo collegato ai servizi per AWS Responsabile della sicurezza di rete
Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando abiliti AWS Network Security Manager, AWS Network Security Manager crea automaticamente il ruolo collegato al servizio. Non è necessario eseguire alcuna operazione manuale.
Se si elimina questo ruolo collegato al servizio e quindi è necessario crearlo nuovamente, AWS Network Security Manager ricrea il ruolo al successivo utilizzo del servizio. Non è necessario intraprendere alcuna azione.
Per ulteriori informazioni, consulta [Creazione di un ruolo collegato ai servizi](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) nella *Guida per l'utente IAM*.
## Modifica di un ruolo collegato ai servizi per AWS Responsabile della sicurezza di rete
Non è possibile modificare le autorizzazioni del ruolo collegato al `AWSServiceRoleForNetworkSecurityManager` servizio. Dopo aver creato un ruolo collegato al servizio, non è possibile modificarne il nome, perché potrebbero farvi riferimento diverse entità. È possibile tuttavia modificarne la descrizione utilizzando IAM.
Per ulteriori informazioni, consulta [Modifica di un ruolo collegato al servizio](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) nella *Guida per l’utente di IAM*.
## Eliminazione di un ruolo collegato ai servizi per AWS Responsabile della sicurezza di rete
Se non è più necessario utilizzare AWS Network Security Manager, si consiglia di eliminare il ruolo `AWSServiceRoleForNetworkSecurityManager` collegato al servizio.
Prima di eliminare il ruolo collegato al servizio, pulisci le risorse gestite da AWS Network Security Manager. Disattiva AWS Network Security Manager e rimuovi le politiche e gli ambiti in modo che nessuna risorsa gestita da AWS Network Security Manager rimanga nel tuo account. È quindi possibile eliminare il ruolo manualmente.
**Nota**
Se AWS Network Security Manager utilizza il ruolo quando si tenta di eliminare le risorse, l'eliminazione potrebbe non riuscire. In questo caso, attendi alcuni minuti e quindi ripeti l’operazione.
**Per eliminare manualmente il ruolo collegato ai servizi mediante IAM**
1. Aprire la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel riquadro di navigazione, seleziona **Ruoli**.
1. Nella casella di ricerca`AWSServiceRoleForNetworkSecurityManager`, immettere e quindi selezionare il ruolo.
1. Scegliere **Elimina**.
1. Per confermare l'eliminazione, inserite il nome del ruolo, quindi scegliete **Elimina**.
Per ulteriori informazioni, consulta [Eliminazione del ruolo collegato ai servizi](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) nella *Guida per l'utente IAM*.
## Regioni supportate per AWS Ruoli collegati ai servizi di Network Security Manager
AWS Network Security Manager supporta l'utilizzo di ruoli collegati ai servizi in tutte le AWS regioni in cui è disponibile AWS Network Security Manager.