Funções vinculadas a serviços para AWS Outposts

AWS Outposts usa AWS Identity and Access Management (IAM) funções vinculadas ao serviço. Uma função vinculada ao serviço é um tipo de função de serviço vinculada diretamente a. AWS Outposts AWS Outposts define funções vinculadas ao serviço e inclui todas as permissões necessárias para chamar outros AWS serviços em seu nome.

Uma função vinculada ao serviço torna sua configuração AWS Outposts mais eficiente, pois você não precisa adicionar manualmente as permissões necessárias. AWS Outposts define as permissões de suas funções vinculadas ao serviço e, a menos que seja definido de outra forma, só AWS Outposts pode assumir suas funções. As permissões definidas incluem a política de confiança e a política de permissões, e essa política de permissões não pode ser anexada a nenhuma outra IAM entidade.

Você pode excluir um perfil vinculado ao serviço somente depois de excluir os atributos relacionados. Isso protege seus AWS Outposts recursos porque você não pode remover inadvertidamente a permissão para acessar os recursos.

Permissões de função vinculadas ao serviço para AWS Outposts

AWS Outposts usa a função vinculada ao serviço chamada _ AWSServiceRoleForOutpostsOutpostID— Permite que Outposts acessem AWS recursos para conectividade privada em seu nome. Essa função vinculada ao serviço permite a configuração de conectividade privada, cria interfaces de rede e anexa-as às instâncias de endpoint do link de serviço.

O AWSServiceRoleForOutposts _OutpostID a função vinculada ao serviço confia nos seguintes serviços para assumir a função:

• outposts.amazonaws.com

O AWSServiceRoleForOutposts _OutpostIDa função vinculada ao serviço inclui as seguintes políticas:

• AWSOutpostsServiceRolePolicy

• AWSOutpostsPrivateConnectivityPolicy_OutpostID

A AWSOutpostsServiceRolePolicypolítica é uma política de função vinculada a serviços para permitir o acesso aos AWS recursos gerenciados pelo. AWS Outposts

Essa política permite AWS Outposts concluir as seguintes ações nos recursos especificados:

• Ação: ec2:DescribeNetworkInterfaces em all AWS resources

• Ação: ec2:DescribeSecurityGroups em all AWS resources

• Ação: ec2:CreateSecurityGroup em all AWS resources

• Ação: ec2:CreateNetworkInterface em all AWS resources

O AWSOutpostsPrivateConnectivityPolicy _OutpostIDa política AWS Outposts permite concluir as seguintes ações nos recursos especificados:

• Ação: ec2:AuthorizeSecurityGroupIngress em all AWS resources that match the following Condition:

  { "StringLike" : { "ec2:ResourceTag/outposts:private-connectivity-resourceId" : "OutpostID" }} and { "StringEquals" : { "ec2:Vpc" : "vpcArn" }}

• Ação: ec2:AuthorizeSecurityGroupEgress em all AWS resources that match the following Condition:

  { "StringLike" : { "ec2:ResourceTag/outposts:private-connectivity-resourceId" : "OutpostID" }} and { "StringEquals" : { "ec2:Vpc" : "vpcArn" }}

• Ação: ec2:CreateNetworkInterfacePermission em all AWS resources that match the following Condition:

  { "StringLike" : { "ec2:ResourceTag/outposts:private-connectivity-resourceId" : "OutpostID" }} and { "StringEquals" : { "ec2:Vpc" : "vpcArn" }}

• Ação: ec2:CreateTags em all AWS resources that match the following Condition:

  { "StringLike" : { "aws:RequestTag/outposts:private-connectivity-resourceId" : "{{OutpostId}}*"}}

Você deve configurar permissões para permitir que uma IAM entidade (como usuário, grupo ou função) crie, edite ou exclua uma função vinculada ao serviço. Para obter mais informações, consulte Permissões de funções vinculadas ao serviço no Guia do IAMusuário.

Crie uma função vinculada ao serviço para AWS Outposts

Não é necessário criar manualmente um perfil vinculado ao serviço. Quando você configura a conectividade privada para seu Outpost no AWS Management Console, AWS Outposts cria a função vinculada ao serviço para você.

Para obter mais informações, consulte Conectividade privada do link de serviço usando VPC.

Edite uma função vinculada ao serviço para AWS Outposts

AWS Outposts não permite que você edite o AWSServiceRoleForOutposts _OutpostID função vinculada ao serviço. Depois que você criar um perfil vinculado ao serviço, não poderá alterar o nome do perfil, pois várias entidades podem fazer referência ao perfil. No entanto, você pode editar a descrição da função usandoIAM. Para obter mais informações, consulte Atualizar uma função vinculada ao serviço no Guia do IAMusuário.

Excluir uma função vinculada ao serviço para AWS Outposts

Se você não precisar mais usar um recurso ou um serviço que requer uma função vinculada ao serviço, é recomendável excluí-la. Dessa forma, você evita ter uma entidade não utilizada que não seja monitorada ou mantida ativamente. No entanto, você deve limpar os recursos de sua função vinculada ao serviço antes de excluí-la manualmente.

Se o AWS Outposts serviço estiver usando a função quando você tentar excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.

Você deve excluir seu Outpost antes de excluir o _ AWSServiceRoleForOutpostsOutpostID função vinculada ao serviço.

Antes de começar, certifique-se de que seu Outpost não esteja sendo compartilhado usando AWS Resource Access Manager (AWS RAM). Para obter mais informações, consulte Cancelamento do compartilhamento de um recurso compartilhado do Outpost.

Para excluir AWS Outposts recursos usados pelo AWSServiceRoleForOutposts _OutpostID

Entre em contato com o AWS Enterprise Support para excluir seu Outpost.

Para excluir manualmente a função vinculada ao serviço usando IAM

Para obter mais informações, consulte Excluir uma função vinculada ao serviço no Guia do IAMusuário.

Regiões suportadas para funções vinculadas a AWS Outposts serviços

AWS Outposts suporta o uso de funções vinculadas ao serviço em todas as regiões em que o serviço está disponível. Para obter mais informações, consulte os racks do FAQs Outposts e os servidores do Outposts.