本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
服務連結角色 AWS CloudHSM
您先前建立用來客戶管理的政策 AWS CloudHSM包含iam:CreateServiceLinkedRole
動作的 IAM 政策。 AWS CloudHSM 定義名為AWSServiceRoleForCloudHSM的服務連結角色。角色由預先定義, AWS CloudHSM 並包含代表您呼叫其他 AWS 服務所 AWS CloudHSM 需的權限。此角色可讓您更輕鬆地設定服務,因為您不需要手動新增角色政策和信任政策許可。
角色政策 AWS CloudHSM 允許您建立 Amazon CloudWatch 日誌群組和記錄串流,並代表您寫入日誌事件。您可以在下面和 IAM 主控台中檢視此角色政策。
{
"Version": "2018-06-12",
"Statement": [
{
"Effect": "Allow",
"Action": [
"logs:CreateLogGroup",
"logs:CreateLogStream",
"logs:PutLogEvents",
"logs:DescribeLogStreams"
],
"Resource": [
"arn:aws:logs:*:*:*"
]
}
]
}
AWSServiceRoleForCloudHSM角色的信任原則允 AWS CloudHSM 許擔任該角色。
{
"Version": "2018-06-12",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "cloudhsm.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
建立服務連結角色 (自動)
AWS CloudHSM 如果您在建立 AWS CloudHSM 系統管理員群組時所定義的權限中包含iam:CreateServiceLinkedRole
動作,則會在您建立叢集時建立AWSServiceRoleForCloudHSM角色。請參閱客戶管理的政策 AWS CloudHSM。
如果您已經有一或多個叢集,而只想新增AWSServiceRoleForCloudHSM角色,則可以使用主控台、建立叢集命令或 CreateClusterAPI 作業來建立叢集。然後使用主控台、刪除叢集命令或 DeleteClusterAPI 作業將其刪除。建立新叢集會建立服務連結角色,並將此角色套用到您帳戶中的所有叢集。或者,您可以手動建立角色。如需詳細資訊,請參閱下一節。
注意
如果您只是為了新增AWSServiceRoleForCloudHSM角色而建立叢集,則不需要執行建立叢集中開始使用 AWS CloudHSM所述的所有步驟。
建立服務連結角色 (手動)
您可以使用 IAM 主控 AWS CLI台或 API 建立AWSServiceRoleForCloudHSM角色。如需詳細資訊,請參閱 IAM 使用者指南中的建立服務連結角色。
編輯服務連結角色
AWS CloudHSM 不允許您編輯AWSServiceRoleForCloudHSM角色。例如,建立角色後,您無法變更其名稱,因為可能有各種實體依名稱來參考該角色。您也無法變更角色政策。但是,您可以使用 IAM 來編輯角色描述。如需更多資訊,請參閱《IAM 使用者指南》中的編輯服務連結角色。
刪除 服務連結角色
只要已套用服務連結角色的叢集仍然存在,您就無法刪除此服務連結角色。若要刪除角色,您必須先刪除叢集中的每個 HSM,然後刪除叢集。您的帳戶中的每個叢集都必須刪除。然後,您可以使用 IAM 主控 AWS CLI台或 API 刪除角色。如需刪除叢集的詳細資訊,請參閱刪除 AWS CloudHSM 叢集。如需詳細資訊,請參閱《IAM 使用者指南》中的刪除服務連結角色。