Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

# Configura i ruoli IAM per le app web Transfer Family
<a name="webapp-roles"></a>

Avrai bisogno di due ruoli: uno da utilizzare come portatore di identità per la tua app web e un secondo da utilizzare per configurare una concessione di accesso. Un ruolo di portatore di identità è un ruolo che include l'identità di un utente autenticato nelle sue sessioni. Viene utilizzato per effettuare richieste a S3 Access Grants per l'accesso ai dati per conto dell'utente.

**Nota**  
Puoi saltare la procedura per la creazione di un ruolo di portatore di identità. Per informazioni su come fare in modo che il servizio Transfer Family crei il ruolo di portatore di identità, consulta [Crea un'app web Transfer Family](webapp-configure.md#web-app-create).  
È possibile saltare la procedura per la creazione di un ruolo per le concessioni di accesso. Nella procedura per la creazione di una concessione di accesso, nella fase in cui registri una sede S3, scegli **Crea un nuovo ruolo**. 

**Crea un ruolo di portatore di identità**

1. Accedi al Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).

1. Scegli **Ruoli**, e poi **Crea ruolo**.

1. Scegli **Politica di fiducia personalizzata** e quindi incolla il codice seguente.

   ```
   {
       "Version": "2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service":"transfer.amazonaws.com"
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:SetContext"
               ]
           }
       ]
   }
   ```

1. Scegli **Prossimo** e poi salta **Aggiungi autorizzazioni** e seleziona **Avanti** di nuovo.

1. Inserisci un nome, ad esempio `web-app-identity-bearer`.

1. Scegli **Crea ruolo** per creare il ruolo di portatore dell'identità.

1. Scegli il ruolo che hai appena creato dall'elenco, poi nel **Politiche di autorizzazione** pannello, scegli **Aggiungi autorizzazioni** > **Crea una politica in linea**.

1. Nel **Editor delle politiche**, seleziona **JSON** e quindi incolla il seguente blocco di codice.

   ```
   {
       "Version": "2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetDataAccess",
                   "s3:ListCallerAccessGrants",
                   "s3:ListAccessGrantsInstances"
               ],
               "Resource": "*"
           }
       ]
   }
   ```

1. Per il nome della politica, inserisci `AllowS3AccessGrants`, quindi seleziona **Crea politica**.

Successivamente, si crea il ruolo che S3 Access Grants assume per inviare credenziali temporanee al beneficiario.

**Nota**  
Se consenti al servizio di creare per te il ruolo di portatore dell'identità, quel ruolo crea una protezione sostitutiva confusa. Pertanto, il suo codice è diverso da quello visualizzato qui.

**Crea un ruolo per le concessioni di accesso**

1. Accedi al Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).

1. Scegli **Ruoli**, e poi **Crea ruolo**. Questo ruolo dovrebbe avere il permesso di accedere ai tuoi dati S3 in Regione AWS.

1. Scegli **Politica di fiducia personalizzata**, quindi incolla il codice seguente.

   ```
   {
       "Version": "2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "access-grants.s3.amazonaws.com"
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:SetContext"
               ]
           }
       ]
   }
   ```

1. Scegli **Prossimo** aggiungere una politica minima come descritto in [Registra una sede](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-grants-location-register.html). Sebbene non sia consigliato, puoi aggiungere **AmazonS3FullAccess** policy gestita, che potrebbe essere troppo permissiva per le tue esigenze.

1. Scegli **Prossimo**e inserisci un nome (ad esempio `access-grants-location`).

1. Scegli **Crea ruolo** per creare il ruolo.

**Nota**  
Se consenti al servizio di creare per te il ruolo relativo alle autorizzazioni di accesso, tale ruolo crea una protezione sostitutiva confusa. Pertanto, il suo codice è diverso da quello visualizzato qui.