Usando funções vinculadas a serviços para AWS Service Catalog

AWS Service Catalog uses AWS Identity and Access Management (IAM) funções vinculadas ao serviço. Uma função vinculada a serviços é um tipo exclusivo de IAM função vinculada diretamente a AWS Service Catalog. As funções vinculadas ao serviço são predefinidas por AWS Service Catalog e inclua todas as permissões que o serviço exige para ligar para outros AWS serviços em seu nome.

Uma função vinculada ao serviço faz a configuração AWS Service Catalog mais fácil porque você não precisa adicionar manualmente as permissões necessárias. AWS Service Catalog define as permissões de suas funções vinculadas ao serviço e, a menos que seja definido de outra forma, somente AWS Service Catalog pode assumir suas funções. As permissões definidas incluem a política de confiança e a política de permissões, e essa política de permissões não pode ser anexada a nenhuma outra IAM entidade.

Uma função vinculada ao serviço poderá ser excluída somente após excluir seus recursos relacionados. Isso protege seu AWS Service Catalog recursos porque você não pode remover inadvertidamente a permissão para acessar os recursos.

Para obter informações sobre outros serviços que oferecem suporte a funções vinculadas a serviços, consulte AWS Serviços que funcionam com IAM e procure os serviços que têm Sim na coluna Funções vinculadas ao serviço. Escolha um Sim com um link para visualizar a documentação da função vinculada a esse serviço.

Permissões de função vinculada ao serviço AWSServiceRoleForServiceCatalogSync

AWS Service Catalog pode usar a função vinculada ao serviço chamada AWSServiceRoleForServiceCatalogSync— Essa função vinculada ao serviço é necessária para AWS Service Catalog para usar CodeConnections e criar, atualizar e descrever AWS Service Catalog Provisionamento de artefatos para um produto.

A função vinculada ao serviço AWSServiceRoleForServiceCatalogSync confia nos seguintes serviços para aceitar a função:

• sync.servicecatalog.amazonaws.com

A política de permissões de função chamada AWSServiceCatalogSyncServiceRolePolicypermite AWS Service Catalog para concluir as seguintes ações nos recursos especificados:

• Ação: Connection em CodeConnections

• Ação: Create, Update, and Describe ligado ProvisioningArtifact por um AWS Service Catalog product

Você deve configurar permissões para permitir que uma IAM entidade (como usuário, grupo ou função) crie, edite ou exclua uma função vinculada ao serviço. Para obter mais informações, consulte Permissões de funções vinculadas ao serviço no Guia do IAMusuário.

Criando uma função vinculada ao serviço AWSServiceRoleForServiceCatalogSync

Você não precisa criar manualmente a função AWSServiceRoleForServiceCatalogSync vinculada ao serviço. AWS Service Catalog cria a função vinculada ao serviço para você automaticamente quando você estabelece CodeConnections no AWS Management Console, o AWS CLI, ou o AWS API.

Importante

Essa função vinculada ao serviço pode aparecer em sua conta se você concluiu uma ação em outro serviço que usa os atributos compatíveis com essa função. Além disso, se você estivesse usando o AWS Service Catalog serviço antes de 18 de novembro de 2022, quando começou a oferecer suporte a funções vinculadas a serviços, então AWS Service Catalog criou a AWSServiceRoleForServiceCatalogSync função em sua conta. Para saber mais, consulte Uma nova função apareceu em minha IAM conta.

Se excluir essa função vinculada ao serviço e precisar criá-la novamente, você poderá usar esse mesmo processo para recriar a função em sua conta. Quando você estabelece CodeConnections, AWS Service Catalog cria a função vinculada ao serviço para você novamente.

Você também pode usar o IAM console para criar uma função vinculada ao serviço com o sincronizado AWS Service Catalog Caso de uso de produtos. No painel, AWS CLI ou o AWS API, crie uma função vinculada ao serviço com o nome do sync.servicecatalog.amazonaws.com serviço. Para obter mais informações, consulte Criação de uma função vinculada ao serviço no Guia do IAMusuário. Se você excluir essa função vinculada ao serviço, será possível usar esse mesmo processo para criar a função novamente.

Permissões de função vinculada ao serviço AWSServiceRoleForServiceCatalogOrgsDataSync

AWS Service Catalog pode usar a função vinculada ao serviço chamada AWSServiceRoleForServiceCatalogOrgsDataSync— Essa função vinculada ao serviço é necessária para AWS Service Catalog organizações com as quais se manter em sincronia AWS Organizations.

A função vinculada ao serviço AWSServiceRoleForServiceCatalogOrgsDataSync confia nos seguintes serviços para aceitar a função:

• orgsdatasync.servicecatalog.amazonaws.com

O perfil AWSServiceRoleForServiceCatalogOrgsDataSync vinculado ao serviço exige que você use a seguinte política de confiança, além da política AWSServiceCatalogOrgsDataSyncServiceRolePolicy gerenciada:

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
        "Service": "orgsdatasync.servicecatalog.amazonaws.com" 
      }, 
      "Action": "sts:AssumeRole" 
    } 
  ] 
}
      

A política de permissões de função chamada AWSServiceCatalogOrgsDataSyncServiceRolePolicypermite AWS Service Catalog para concluir as seguintes ações nos recursos especificados:

• Ação: DescribeAccount, DescribeOrganization, e ListAWSServiceAccessForOrganization em Organizations accounts

• Ação: ListAccounts, ListChildren, e ListParent em Organizations accounts

Você deve configurar permissões para permitir que uma IAM entidade (como usuário, grupo ou função) crie, edite ou exclua uma função vinculada ao serviço. Para obter mais informações, consulte Permissões de funções vinculadas ao serviço no Guia do IAMusuário.

Criando uma função vinculada ao serviço AWSServiceRoleForServiceCatalogOrgsDataSync

Você não precisa criar manualmente a função AWSServiceRoleForServiceCatalogOrgsDataSync vinculada ao serviço. AWS Service Catalog considera sua ação de habilitar Compartilhamento com o AWS Organizations ou Compartilhar um portfólio como permissão para AWS Service Catalog para criar um SLR em segundo plano em seu nome.

AWS Service Catalog cria a função vinculada ao serviço para você automaticamente quando você solicita EnableAWSOrganizationsAccess ou CreatePortfolioShare no AWS Management Console, o AWS CLI, ou o AWS API.

Importante

Essa função vinculada ao serviço pode aparecer em sua conta se você concluiu uma ação em outro serviço que usa os atributos compatíveis com essa função. Para saber mais, consulte Uma nova função apareceu em minha IAM conta.

Se excluir essa função vinculada ao serviço e precisar criá-la novamente, você poderá usar esse mesmo processo para recriar a função em sua conta. Quando você solicita EnableAWSOrganizationsAccess ouCreatePortfolioShare, AWS Service Catalog cria a função vinculada ao serviço para você novamente.

Editar uma função vinculada ao serviço para AWS Service Catalog

AWS Service Catalog não permite que você edite as funções AWSServiceRoleForServiceCatalogSync ou funções AWSServiceRoleForServiceCatalogOrgsDataSync vinculadas ao serviço. Depois que criar um perfil vinculado ao serviço, você não poderá alterar o nome do perfil, pois várias entidades podem fazer referência a ele. No entanto, você pode editar a descrição da função usandoIAM. Para obter mais informações, consulte Edição de uma função vinculada ao serviço no Guia do IAMusuário.

Excluir uma função vinculada ao serviço para o AWS Service Catalog

Você pode usar o IAM console, o AWS CLI, ou o AWS APIpara excluir manualmente o AWSServiceRoleForServiceCatalogSync ou AWSServiceRoleForServiceCatalogOrgsDataSyncSLR. Para fazer isso, primeiro você deve remover manualmente todos os recursos que estão usando a função vinculada ao serviço (por exemplo, qualquer AWS Service Catalog produtos que são sincronizados com um repositório externo) e, em seguida, a função vinculada ao serviço pode ser excluída manualmente.

Regiões suportadas para AWS Service Catalog funções vinculadas ao serviço

AWS Service Catalog suporta o uso de funções vinculadas ao serviço em todas as regiões em que o serviço está disponível. Para ter mais informações, consulte AWS regiões e endpoints.

Nome da região	Identidade da região	Support em AWS Service Catalog
Leste dos EUA (Norte da Virgínia)	us-east-1	Sim
Leste dos EUA (Ohio)	us-east-2	Sim
Oeste dos EUA (N. da Califórnia)	us-west-1	Sim
Oeste dos EUA (Oregon)	us-west-2	Sim
África (Cidade do Cabo)	af-south-1	Sim
Ásia-Pacífico (Hong Kong)	ap-east-1	Sim
Ásia-Pacífico (Jacarta)	ap-southeast-3	Sim
Ásia-Pacífico (Mumbai)	ap-south-1	Sim
Ásia-Pacífico (Osaka)	ap-northeast-3	Sim
Ásia-Pacífico (Seul)	ap-northeast-2	Sim
Ásia-Pacífico (Singapura)	ap-southeast-1	Sim
Ásia-Pacífico (Sydney)	ap-southeast-2	Sim
Ásia-Pacífico (Tóquio)	ap-northeast-1	Sim
Canadá (Central)	ca-central-1	Sim
Europa (Frankfurt)	eu-central-1	Sim
Europa (Irlanda)	eu-west-1	Sim
Europa (Londres)	eu-west-2	Sim
Europa (Milão)	eu-south-1	Sim
Europa (Paris)	eu-west-3	Sim
Europa (Estocolmo)	eu-north-1	Sim
Oriente Médio (Barém)	me-south-1	Sim
América do Sul (São Paulo)	sa-east-1	Sim
AWS GovCloud (Leste dos EUA)	us-gov-east-1	Não
AWS GovCloud (Oeste dos EUA)	us-gov-west-1	Não