Utilizzo di ruoli collegati ai servizi per AWS Service Catalog

AWS Service Catalog utilizza AWS Identity and Access Management (IAM) ruoli collegati ai servizi. Un ruolo collegato al servizio è un tipo di IAM ruolo unico collegato direttamente a AWS Service Catalog. I ruoli collegati ai servizi sono predefiniti da AWS Service Catalog e includono tutte le autorizzazioni richieste dal servizio per chiamare altri AWS servizi per tuo conto.

Un ruolo collegato al servizio consente la configurazione AWS Service Catalog più semplice perché non è necessario aggiungere manualmente le autorizzazioni necessarie. AWS Service Catalog definisce le autorizzazioni dei relativi ruoli collegati ai servizi e, se non diversamente definito, solo AWS Service Catalog può assumere i propri ruoli. Le autorizzazioni definite includono la politica di fiducia e la politica di autorizzazione e tale politica di autorizzazione non può essere associata a nessun'altra entità. IAM

È possibile eliminare un ruolo collegato ai servizi solo dopo aver eliminato le risorse correlate. Questo protegge il tuo AWS Service Catalog risorse perché non è possibile rimuovere inavvertitamente l'autorizzazione ad accedere alle risorse.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, vedi AWS Servizi compatibili IAM e cerca i servizi con Sì nella colonna Ruoli collegati ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni del ruolo collegato ai servizi per AWSServiceRoleForServiceCatalogSync

AWS Service Catalog può utilizzare il ruolo collegato al servizio denominato AWSServiceRoleForServiceCatalogSync: questo ruolo collegato al servizio è obbligatorio per AWS Service Catalog da usare CodeConnections e creare, aggiornare e descrivere AWS Service Catalog Fornitura di artefatti per un prodotto.

Ai fini dell'assunzione del ruolo, il ruolo collegato ai servizi AWSServiceRoleForServiceCatalogSync considera attendibili i seguenti servizi:

• sync.servicecatalog.amazonaws.com

La politica di autorizzazione dei ruoli denominata consente AWSServiceCatalogSyncServiceRolePolicy AWS Service Catalog per completare le seguenti azioni sulle risorse specificate:

• Operazione: Connection su CodeConnections

• Azione: Create, Update, and Describe attiva ProvisioningArtifact per a AWS Service Catalog prodotto

È necessario configurare le autorizzazioni per consentire a un'IAMentità (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio. Per ulteriori informazioni, consulta Autorizzazioni dei ruoli collegati ai servizi nella Guida per l'utente. IAM

Creazione del ruolo collegato ai servizi AWSServiceRoleForServiceCatalogSync

Non è necessario creare manualmente il ruolo collegato al servizio. AWSServiceRoleForServiceCatalogSync AWS Service Catalog crea automaticamente il ruolo collegato al servizio quando lo stabilisci in CodeConnections AWS Management Console, il AWS CLI, o AWS API.

Importante

Questo ruolo collegato al servizio può apparire nell'account, se è stata completata un'operazione in un altro servizio che utilizza le caratteristiche supportate da questo ruolo. Inoltre, se stavi usando il AWS Service Catalog servizio prima del 18 novembre 2022, quando ha iniziato a supportare ruoli collegati ai servizi, allora AWS Service Catalog ha creato il AWSServiceRoleForServiceCatalogSync ruolo nel tuo account. Per ulteriori informazioni, vedi Un nuovo ruolo è apparso nel mio IAM account.

Se elimini questo ruolo collegato ai servizi, puoi ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando stabilisci CodeConnections, AWS Service Catalog crea nuovamente per te il ruolo collegato al servizio.

Puoi anche utilizzare la IAM console per creare un ruolo collegato al servizio con sincronizzato AWS Service Catalog Caso d'uso dei prodotti. Nel AWS CLI o il AWS API, crea un ruolo collegato al servizio con il nome del sync.servicecatalog.amazonaws.com servizio. Per ulteriori informazioni, vedere Creazione di un ruolo collegato al servizio nella Guida per l'utente. IAM Se elimini il ruolo collegato ai servizi, puoi utilizzare lo stesso processo per crearlo nuovamente.

Autorizzazioni del ruolo collegato ai servizi per AWSServiceRoleForServiceCatalogOrgsDataSync

AWS Service Catalog può utilizzare il ruolo collegato al servizio denominato AWSServiceRoleForServiceCatalogOrgsDataSync— Questo ruolo collegato al servizio è obbligatorio per AWS Service Catalog organizzazioni con cui rimanere sincronizzati AWS Organizations.

Ai fini dell'assunzione del ruolo, il ruolo collegato ai servizi AWSServiceRoleForServiceCatalogOrgsDataSync considera attendibili i seguenti servizi:

• orgsdatasync.servicecatalog.amazonaws.com

Il ruolo AWSServiceRoleForServiceCatalogOrgsDataSync collegato al servizio richiede l'utilizzo della seguente politica di attendibilità oltre alla politica AWSServiceCatalogOrgsDataSyncServiceRolePolicy gestita:

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
        "Service": "orgsdatasync.servicecatalog.amazonaws.com" 
      }, 
      "Action": "sts:AssumeRole" 
    } 
  ] 
}
      

La politica di autorizzazione dei ruoli denominata consente AWSServiceCatalogOrgsDataSyncServiceRolePolicy AWS Service Catalog per completare le seguenti azioni sulle risorse specificate:

• Azione: DescribeAccountDescribeOrganization, e così ListAWSServiceAccessForOrganization via Organizations accounts

• Azione: ListAccountsListChildren, e così ListParent via Organizations accounts

È necessario configurare le autorizzazioni per consentire a un'IAMentità (ad esempio un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio. Per ulteriori informazioni, consulta Autorizzazioni dei ruoli collegati ai servizi nella Guida per l'utente. IAM

Creazione del ruolo collegato ai servizi AWSServiceRoleForServiceCatalogOrgsDataSync

Non è necessario creare manualmente il ruolo collegato al servizio. AWSServiceRoleForServiceCatalogOrgsDataSync AWS Service Catalog considera la tua azione di attivazione Condivisione con AWS Organizations o autorizzazione Condivisione di un portafoglio per AWS Service Catalog per crearne uno SLR in background per tuo conto.

AWS Service Catalog crea automaticamente il ruolo collegato al servizio quando lo richiedi EnableAWSOrganizationsAccess o CreatePortfolioShare nel AWS Management Console, il AWS CLI, o AWS API.

Importante

Questo ruolo collegato al servizio può apparire nell'account, se è stata completata un'operazione in un altro servizio che utilizza le caratteristiche supportate da questo ruolo. Per ulteriori informazioni, vedi Un nuovo ruolo è apparso nel mio IAM account.

Se elimini questo ruolo collegato ai servizi, puoi ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando richiedi EnableAWSOrganizationsAccess oCreatePortfolioShare, AWS Service Catalog crea nuovamente per te il ruolo collegato al servizio.

Modifica di un ruolo collegato ai servizi per AWS Service Catalog

AWS Service Catalog non consente di modificare i ruoli AWSServiceRoleForServiceCatalogSync o i ruoli collegati al AWSServiceRoleForServiceCatalogOrgsDataSync servizio. Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. Tuttavia, è possibile modificare la descrizione del ruolo utilizzando. IAM Per ulteriori informazioni, consulta Modifica di un ruolo collegato al servizio nella Guida per l'IAMutente.

Eliminazione di un ruolo collegato ai servizi per AWS Service Catalog

È possibile utilizzare la IAM console, AWS CLI, oppure AWS APIper eliminare manualmente AWSServiceRoleForServiceCatalogSync o AWSServiceRoleForServiceCatalogOrgsDataSyncSLR. A tale scopo, è innanzitutto necessario rimuovere manualmente tutte le risorse che utilizzano il ruolo collegato al servizio (ad esempio, qualsiasi AWS Service Catalog prodotti sincronizzati con un repository esterno), quindi il ruolo collegato al servizio può essere eliminato manualmente.

Regioni supportate per AWS Service Catalog ruoli collegati al servizio

AWS Service Catalog supporta l'utilizzo di ruoli collegati al servizio in tutte le regioni in cui il servizio è disponibile. Per ulteriori informazioni, consulta AWS regioni ed endpoint.

Nome Regione	Identità della regione	Support in AWS Service Catalog
US East (N. Virginia)	us-east-1	Sì
Stati Uniti orientali (Ohio)	us-east-2	Sì
US West (N. California)	us-west-1	Sì
US West (Oregon)	us-west-2	Sì
Africa (Cape Town)	af-south-1	Sì
Asia Pacifico (Hong Kong)	ap-east-1	Sì
Asia Pacifico (Giacarta)	ap-southeast-3	Sì
Asia Pacific (Mumbai)	ap-south-1	Sì
Asia Pacifico (Osaka-Locale)	ap-northeast-3	Sì
Asia Pacifico (Seul)	ap-northeast-2	Sì
Asia Pacifico (Singapore)	ap-southeast-1	Sì
Asia Pacifico (Sydney)	ap-southeast-2	Sì
Asia Pacifico (Tokyo)	ap-northeast-1	Sì
Canada (Central)	ca-central-1	Sì
Europe (Frankfurt)	eu-central-1	Sì
Europa (Irlanda)	eu-west-1	Sì
Europe (London)	eu-west-2	Sì
Europa (Milano)	eu-south-1	Sì
Europe (Paris)	eu-west-3	Sì
Europa (Stoccolma)	eu-north-1	Sì
Medio Oriente (Bahrein)	me-south-1	Sì
Sud America (São Paulo)	sa-east-1	Sì
AWS GovCloud (Stati Uniti orientali)	us-gov-east-1	No
AWS GovCloud (Stati Uniti occidentali)	us-gov-west-1	No