Usar perfis vinculados ao serviço do AWS Support

AWS Support as ferramentas coletam informações sobre seus AWS recursos por meio de chamadas de API para fornecer atendimento ao cliente e suporte técnico. Para aumentar a transparência e a auditabilidade das atividades de suporte, AWS Support usa uma função vinculada ao serviço AWS Identity and Access Management (IAM).

A função AWSServiceRoleForSupport vinculada ao serviço é uma função exclusiva do IAM vinculada diretamente a. AWS Support Essa função vinculada ao serviço é predefinida e inclui as permissões AWS Support necessárias para chamar outros AWS serviços em seu nome.

A função vinculada ao serviço AWSServiceRoleForSupport confia no serviço support.amazonaws.com para presumir a função.

Para fornecer esses serviços, as permissões predefinidas da função dão AWS Support acesso aos metadados do recurso, não aos dados do cliente. Somente AWS Support ferramentas podem assumir essa função, que existe em sua AWS conta.

Editamos os campos que podem conter dados do cliente. Por exemplo, os Output campos Input e do GetExecutionHistórico da chamada de AWS Step Functions API não estão visíveis para AWS Support. Nós usamos AWS KMS keys para criptografar campos confidenciais. Esses campos são editados na resposta da API e não são visíveis para AWS Support os agentes.

nota

AWS Trusted Advisor usa uma função separada vinculada ao serviço do IAM para acessar AWS recursos da sua conta e fornecer recomendações e verificações de melhores práticas. Para ter mais informações, consulte Usar perfis vinculados ao serviço do Trusted Advisor.

A função AWSServiceRoleForSupport vinculada ao serviço permite que todas as chamadas de AWS Support API sejam visíveis para os clientes por meio de. AWS CloudTrail Isso ajuda nos requisitos de monitoramento e auditoria, pois fornece uma maneira transparente de entender as ações que são AWS Support executadas em seu nome. Para obter informações sobre CloudTrail, consulte o Guia AWS CloudTrail do usuário.

Permissões de função vinculada ao serviço AWS Support

Essa função usa a política AWSSupportServiceRolePolicy AWS gerenciada. Essa política gerenciada é anexada à função e permite à permissão da função realizar ações em seu nome.

Essas ações incluem o seguinte:

• Cobrança, serviços administrativos, de suporte e outros serviços AWS ao cliente — o atendimento ao cliente usa as permissões concedidas pela política gerenciada para realizar vários serviços como parte do seu plano de suporte. Isso inclui investigar e responder a perguntas sobre contas e cobrança, fornecendo apoio administrativo para a sua conta, aumentando as cotas de serviço e oferecendo suporte adicional ao cliente.

• Processamento de atributos de serviço e dados de uso da sua AWS conta — AWS Support pode usar as permissões concedidas pela política gerenciada para acessar os atributos do serviço e os dados de uso AWS da sua conta. Essa política permite AWS Support fornecer suporte técnico, administrativo e de cobrança para sua conta. Atributos de serviço incluem seus identificadores de recurso de conta, tags de metadados, funções e permissões. Os dados de uso incluem o uso de políticas, estatísticas e análises.

• Manter a integridade operacional de sua conta e de seus recursos — AWS Support usa ferramentas automatizadas para realizar ações relacionadas ao suporte operacional e técnico.

Para obter mais informações sobre os serviços e ações permitidos, consulte a AWSSupportServiceRolePolicy no console do IAM.

nota

AWS Support atualiza automaticamente a AWSSupportServiceRolePolicy política uma vez por mês para adicionar permissões para novos AWS serviços e ações.

Para ter mais informações, consulte AWS políticas gerenciadas para AWS Support.

Criação de uma função vinculada ao serviço para AWS Support

Você não precisa criar manualmente a função AWSServiceRoleForSupport. Quando você cria uma AWS conta, essa função é criada e configurada automaticamente para você.

Importante

Se você usou AWS Support antes de começar a oferecer suporte a funções vinculadas a serviços, então AWS criou a AWSServiceRoleForSupport função em sua conta. Para obter mais informações, consulte Uma nova função apareceu na minha conta do IAM.

Editando e excluindo uma função vinculada ao serviço para AWS Support

É possível usar o IAM para editar a descrição da função vinculada ao serviço AWSServiceRoleForSupport. Para ter mais informações, consulte Editar um perfil vinculado ao serviço no Guia do usuário do IAM.

A AWSServiceRoleForSupport função é necessária AWS Support para fornecer suporte administrativo, operacional e técnico para sua conta. Como resultado, essa função não pode ser excluída por meio do console do IAM, da API ou AWS Command Line Interface (AWS CLI). Isso protege sua conta da AWS pois você não consegue remover por engano as permissões necessárias para serviços de suporte de administração.

Para obter mais informações sobre a função AWSServiceRoleForSupport ou seus usuários, entre em contato com o AWS Support.