Verwenden von serviceverknüpften Rollen und Rollenberechtigungen für Amazon Connect - Amazon Connect
Was sind serviceverknüpfte Rollen (Service-Linked Roles, SLR) und warum sind sie wichtig?Berechtigungen von serviceverknüpften RollenErstellen einer serviceverknüpften Rolle für Amazon ConnectFür Instances, die vor Oktober 2018 erstellt wurdenFür Customer-Profiles-Domains, die vor dem 31. Januar 2025 erstellt und mit einem kundenseitig verwalteten KMS-Schlüssel zur Datenverschlüsselung konfiguriert wurdenBearbeiten einer serviceverknüpften Rolle für Amazon ConnectPrüfen einer serviceverknüpften Rolle auf Berechtigungen für Amazon LexLöschen einer serviceverknüpften Rolle für Amazon ConnectUnterstützte Regionen für Amazon Connect serviceverknüpfte Rollen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von serviceverknüpften Rollen und Rollenberechtigungen für Amazon Connect

Was sind serviceverknüpfte Rollen (Service-Linked Roles, SLR) und warum sind sie wichtig?

Amazon Connect verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine serviceverknüpfte Rolle ist ein spezieller Typ einer IAM-Rolle, die direkt mit Amazon Connect verknüpft ist.

Servicebezogene Rollen sind von Amazon Connect vordefiniert und beinhalten alle Berechtigungen, die Amazon Connect benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

Sie müssen serviceverknüpfte Rollen aktivieren, damit Sie neue Funktionen in Amazon Connect nutzen können, wie z. B. die Tagging-Unterstützung, die neue Benutzeroberfläche in Benutzerverwaltungs - und Routing-Profilen sowie Warteschlangen mit Support. CloudTrail

Informationen zu anderen Services, die serviceverknüpfte Rollen unterstützen, finden Sie unter AWS -Services, die mit IAM funktionieren. Suchen Sie nach den Services, für die Yes (Ja) in der Spalte Service-Linked Role (Serviceverknüpfte Rolle) angegeben ist. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Serviceverknüpfte Rollenberechtigungen für Amazon Connect

Amazon Connect verwendet die serviceverknüpfte Rolle mit dem Präfix AWSServiceRoleForAmazonConnect_ unique-id — Erteilt Amazon Connect die Erlaubnis, in Ihrem Namen auf AWS Ressourcen zuzugreifen.

Die Rolle, die mit dem AWSService RoleForAmazonConnect Präfix verknüpft ist, vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

  • connect.amazonaws.com

Die AmazonConnectServiceLinkedRolePolicyRollenberechtigungsrichtlinie ermöglicht es Amazon Connect, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:

  • Aktion: Alle Amazon Connect Aktionen, connect:*, auf allen Amazon-Connect-Ressourcen.

  • Aktion: IAM iam:DeleteRole zum Zulassen des Löschens der serviceverknüpften Rolle.

  • Aktion: Amazon S3 s3:GetObject, s3:DeleteObject, s3:GetBucketLocation und GetBucketAcl für den S3-Bucket, der für aufgezeichnete Konversationen angegeben ist.

    Dies erlaubt außerdem s3:PutObject, s3:PutObjectAcl und s3:GetObjectAcl für den für exportierte Berichte angegebenen Bucket.

  • Aktion: Amazon CloudWatch Logs logs:CreateLogStreamlogs:DescribeLogStreams, und logs:PutLogEvents zu der CloudWatch Logs-Gruppe, die für die Flow-Protokollierung angegeben ist.

  • Aktion: Amazon Lex lex:ListBots, lex:ListBotAliases für alle im Konto erstellten Bots in allen Regionen.

  • Aktion: Amazon Connect Customer Profiles

    • profile:SearchProfiles

    • profile:CreateProfile

    • profile:UpdateProfile

    • profile:AddProfileKey

    • profile:ListProfileObjects

    • profile:ListAccountIntegrations

    • profile:ListProfileObjectTypeTemplates

    • profile:GetProfileObjectTypeTemplate

    • profile:ListProfileObjectTypes

    • profile:GetProfileObjectType

    • profile:ListCalculatedAttributeDefinitions

    • profile:GetCalculatedAttributeForProfile

    • profile:ListCalculatedAttributesForProfile

    • profile:GetDomain

    • profile:ListIntegrations

    • profile:GetIntegration

    • profile:PutIntegration

    • profile:DeleteIntegration

    • profile:CreateEventTrigger

    • profile:GetEventTrigger

    • profile:ListEventTriggers

    • profile:UpdateEventTrigger

    • profile:DeleteEventTrigger

    • profile:CreateCalculatedAttributeDefinition

    • profile:DeleteCalculatedAttributeDefinition

    • profile:GetCalculatedAttributeDefinition

    • profile:UpdateCalculatedAttributeDefinition

    • profile:PutProfileObject

    • profile:ListObjectTypeAttributes

    • profile:ListProfileAttributeValues

    • profile:BatchGetProfile

    • profile:BatchGetCalculatedAttributeForProfile

    • profile:ListSegmentDefinitions

    • profile:CreateSegmentDefinition

    • profile:GetSegmentDefinition

    • profile:DeleteSegmentDefinition

    • profile:CreateSegmentEstimate

    • profile:GetSegmentEstimate

    • profile:CreateSegmentSnapshot

    • profile:GetSegmentSnapshot

    • profile:GetSegmentMembership

    • profile:CreateDomainLayout

    • profile:UpdateDomainLayout

    • profile:DeleteDomainLayout

    • profile:GetDomainLayout

    • profile:ListDomainLayouts

    • profile:GetSimilarProfiles

    • profile:GetUploadJob

    • profile:GetUploadJobPath

    • profile:StartUploadJob

    • profile:StopUploadJob

    • profile:CreateUploadJob

    • profile:ListUploadJobs

    • profile:DetectProfileObjectType

    um Ihre Standard-Domain für Customer Profiles (einschließlich Profile und aller Objekttypen in der Domain) mit den Amazon-Connect-Flows und Umgebungsanwendungen für Kundendienstmitarbeiter zu verwenden.

    Anmerkung

    Jede Amazon-Connect-Instance kann jeweils nur einer Domain zugeordnet werden. Sie können jedoch jede Domain mit einer Amazon-Connect-Instance verknüpfen. Der Domain-übergreifende Zugriff innerhalb desselben AWS-Kontos und derselben Region wird automatisch für alle Domains aktiviert, die mit dem Präfix amazon-connect- beginnen. Zur Einschränkung des Domain-übergreifenden Zugriffs können Sie entweder separate Amazon-Connect-Instances verwenden, um Ihre Daten logisch zu partitionieren, oder innerhalb derselben Instance Customer-Profiles-Domain-Namen verwenden, die nicht mit dem Präfix amazon-connect- beginnen, wodurch der Domain-übergreifende Zugriff verhindert wird.

  • Aktion: Amazon Q in Connect

    • wisdom:CreateContent

    • wisdom:DeleteContent

    • wisdom:CreateKnowledgeBase

    • wisdom:GetAssistant

    • wisdom:GetKnowledgeBase

    • wisdom:GetContent

    • wisdom:GetRecommendations

    • wisdom:GetSession

    • wisdom:NotifyRecommendationsReceived

    • wisdom:QueryAssistant

    • wisdom:StartContentUpload

    • wisdom:UntagResource

    • wisdom:TagResource

    • wisdom:CreateSession

    • wisdom:CreateQuickResponse

    • wisdom:GetQuickResponse

    • wisdom:SearchQuickResponses

    • wisdom:StartImportJob

    • wisdom:GetImportJob

    • wisdom:ListImportJobs

    • wisdom:ListQuickResponses

    • wisdom:UpdateQuickResponse

    • wisdom:DeleteQuickResponse

    • wisdom:PutFeedback

    • wisdom:ListContentAssociations

    • wisdom:CreateMessageTemplate

    • wisdom:UpdateMessageTemplate

    • wisdom:UpdateMessageTemplateMetadata

    • wisdom:GetMessageTemplate

    • wisdom:DeleteMessageTemplate

    • wisdom:ListMessageTemplates

    • wisdom:SearchMessageTemplates

    • wisdom:ActivateMessageTemplate

    • wisdom:DeactivateMessageTemplate

    • wisdom:CreateMessageTemplateVersion

    • wisdom:ListMessageTemplateVersions

    • wisdom:CreateMessageTemplateAttachment

    • wisdom:DeleteMessageTemplateAttachment

    • wisdom:RenderMessageTemplate

    • wisdom:CreateAIAgent

    • wisdom:CreateAIAgentVersion

    • wisdom:DeleteAIAgent

    • wisdom:DeleteAIAgentVersion

    • wisdom:UpdateAIAgent

    • wisdom:UpdateAssistantAIAgent

    • wisdom:RemoveAssistantAIAgent

    • wisdom:GetAIAgent

    • wisdom:ListAIAgents

    • wisdom:ListAIAgentVersions

    • wisdom:CreateAIPrompt

    • wisdom:CreateAIPromptVersion

    • wisdom:DeleteAIPrompt

    • wisdom:DeleteAIPromptVersion

    • wisdom:UpdateAIPrompt

    • wisdom:GetAIPrompt

    • wisdom:ListAIPrompts

    • wisdom:ListAIPromptVersions

    • wisdom:CreateAIGuardrail

    • wisdom:CreateAIGuardrailVersion

    • wisdom:DeleteAIGuardrail

    • wisdom:DeleteAIGuardrailVersion

    • wisdom:UpdateAIGuardrail

    • wisdom:GetAIGuardrail

    • wisdom:ListAIGuardrails

    • wisdom:ListAIGuardrailVersions

    • wisdom:CreateAssistant

    • wisdom:ListTagsForResource

    • wisdom:SendMessage

    • wisdom:GetNextMessage

    • wisdom:ListMessages

    • wisdom:Retrieve

    • wisdom:ListAssistantAssociations

    mit dem Ressourcen-Tag 'AmazonConnectEnabled':'True' für alle Ressourcen in Amazon Connect Amazon Q in Connect, die mit Ihrer Amazon-Connect-Instance verknüpft sind.

    • wisdom:ListAssistants

    • wisdom:KnowledgeBases

    in allen Ressourcen von Amazon Q in Connect.

  • Aktion: Amazon CloudWatch Metricscloudwatch:PutMetricData, um Amazon Connect Connect-Nutzungsmetriken für eine Instance in Ihrem Konto zu veröffentlichen.

  • Aktion: Amazon Pinpoint SMS und Voice sms-voice:DescribePhoneNumbers und sms-voice:SendTextMessage, um Amazon Connect das Senden von SMS zu ermöglichen.

  • Aktion: Amazon Pinpoint mobiletargeting:SendMessages, um Amazon Connect das Senden von Push-Benachrichtigungen zu ermöglichen.

  • Aktion: Amazon-Cognito-Benutzerpools cognito-idp:DescribeUserPool und cognito-idp:ListUserPoolClients, um Amazon Connect Zugriff auf ausgewählte Lesevorgänge für Amazon-Cognito-Benutzerpools zu gewähren, die über das Ressourcen-Tag AmazonConnectEnabled verfügen.

  • Aktion: Amazon Chime SDK Voice Connector chime:GetVoiceConnector, um Amazon Connect Lesezugriff auf alle Ressourcen von Amazon Chime SDK Voice Connector zu ermöglichen, die über das Ressourcen-Tag 'AmazonConnectEnabled':'True' verfügen.

  • Aktion: Amazon Chime SDK Voice Connector chime:ListVoiceConnectors für alle Connectors von Amazon Chime SDK Voice, die im Konto in allen Regionen erstellt wurden.

  • Aktion: Amazon Connect WhatsApp Messaging-Integration. Gewährt Amazon Connect Connect-Berechtigungen für das folgende AWS End User Messaging Social APIs:

    • social-messaging:SendWhatsAppMessage

    • social-messaging:PostWhatsAppMessageMedia

    • social-messaging:GetWhatsAppMessageMedia

    • social-messaging:GetLinkedWhatsAppBusinessAccountPhoneNumber

    Die sozialen Netzwerke APIs sind auf Ihre Telefonnummernressourcen beschränkt, die für Amazon Connect aktiviert sind. Eine Telefonnummer wird beim Import in eine Amazon-Connect-Instance mit dem Tag AmazonConnectEnabled : True versehen.

  • Aktion: Integration der WhatsApp Nachrichtenvorlage für Amazon Connect Messaging-Nachrichten. Erteilt Amazon Connect die Erlaubnis, anzurufen AWS End User Messaging Social APIs. Die WhatsApp Geschäftskonten eines AWS Kontos können aufgeführt werden. Darüber hinaus können die Vorlagen eines WhatsApp Geschäftskontos aufgelistet werden und die Details einer Vorlage können abgerufen werden, sofern das WhatsApp Geschäftskonto markiert istAmazonConnectEnabled: True.

    • social-messaging:ListLinkedWhatsAppBusinessAccounts

    • social-messaging:GetWhatsAppMessageTemplate

    • social-messaging:ListWhatsAppMessageTemplates

  • Aktion: Amazon SES

    • ses:DescribeReceiptRule

    • ses:UpdateReceiptRule

    in allen Amazon-SES-Empfangsregeln. Wird zum Senden und Empfangen von E-Mails verwendet.

    • ses:DeleteEmailIdentityfür die SES-Domänenidentität {instance-alias} .email.connect.aws. Wird für die E-Mail-Domainverwaltung verwendet, die von Amazon Connect bereitgestellt wird.

    • ses:SendRawEmailzum Senden von E-Mails mit einem SES-Konfigurationssatz, der von Amazon Connect bereitgestellt wird (configuration-set-for-connect-DO-NOT-DELETE).

    • iam:PassRole für die von Amazon SES verwendete Servicerolle AmazonConnectEmailSESAccessRole. Für die Verwaltung von Amazon-SES-Empfangsregeln ist das Übergeben und die Annahme einer Rolle in Amazon SES erforderlich.

  • Aktion: Amazon Polly

    • polly:ListLexicons

    • polly:DescribeVoices

    • polly:SynthesizeSpeech

Wenn Sie zusätzliche Features in Amazon Connect aktivieren, werden zusätzliche Berechtigungen für die serviceverknüpfte Rolle hinzugefügt, um auf die mit diesen Features verbundenen Ressourcen über In-line-Richtlinien zuzugreifen:

  • Aktion: Amazon Data Firehose firehose:DescribeDeliveryStream und firehose:PutRecord und firehose:PutRecordBatch für den Bereitstellungsstream, der für Ereignisstreams und Kontaktdatensätze von Kundendienstmitarbeitern angegeben ist.

  • Aktion: Amazon Kinesis Data Streams kinesis:PutRecord, kinesis:PutRecords und kinesis:DescribeStream für den Stream, der für Kundendienstmitarbeiter-Ereignis-Streams und Kontaktdatensätze angegeben ist.

  • Aktion: Amazon Lex lex:PostContent für die Bots, die Ihrer Instance hinzugefügt wurden.

  • Aktion: Amazon Connect Voice-ID voiceid:* für die Voice-ID-Domains, die mit Ihrer Instance verknüpft sind.

  • Aktion: EventBridge events:PutRule und events:PutTargets für die von Amazon Connect verwaltete EventBridge Regel zur Veröffentlichung von CTR-Datensätzen für Ihre verknüpften Voice ID-Domains.

  • Aktion: Ausgehende Kampagnen

    • connect-campaigns:CreateCampaign

    • connect-campaigns:DeleteCampaign

    • connect-campaigns:DescribeCampaign

    • connect-campaigns:UpdateCampaignName

    • connect-campaigns:GetCampaignState

    • connect-campaigns:GetCampaignStateBatch

    • connect-campaigns:ListCampaigns

    • connect-campaigns:UpdateOutboundCallConfig

    • connect-campaigns:UpdateDialerConfig

    • connect-campaigns:PauseCampaign

    • connect-campaigns:ResumeCampaign

    • connect-campaigns:StopCampaign

    für alle Operationen im Zusammenhang mit ausgehenden Kampagnen.

Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Serviceverknüpfte Rollenberechtigung im IAM-Benutzerhandbuch.

Erstellen einer serviceverknüpften Rolle für Amazon Connect

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine neue Instance in Amazon Connect in der erstellen AWS-Managementkonsole, erstellt Amazon Connect die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine neue Instance in Amazon Connect erstellen, wird von Amazon Connect die serviceverknüpfte Rolle für Sie erneut erstellt.

Sie können auch die IAM-Konsole verwenden, um eine serviceverknüpfte Rolle mit dem Anwendungsfall Amazon Connect – vollständiger Zugriff zu erstellen. Erstellen Sie in der IAM-CLI oder der IAM-API eine serviceverknüpfte Rolle mit dem Servicenamen connect.amazonaws.com. Weitere Informationen finden Sie unter Erstellen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch. Wenn Sie diese serviceverknüpfte Rolle löschen, können Sie mit demselben Verfahren die Rolle erneut erstellen.

Für Instances, die vor Oktober 2018 erstellt wurden

Tipp

Haben Sie Probleme, sich anzumelden, um Ihr AWS Konto zu verwalten? Sie wissen nicht, wer Ihr AWS -Konto verwaltet? Hilfe finden Sie unter Fehlerbehebung bei Anmeldeproblemen im AWS -Konto.

Wenn Ihre Amazon-Connect-Instance vor Oktober 2018 erstellt wurde, haben Sie keine serviceverknüpften Rollen eingerichtet. Um eine serviceverknüpfte Rolle zu erstellen, wählen Sie auf der Seite mit der Kontoübersicht die Option Serviceverknüpfte Rolle erstellen aus, wie in der folgenden Abbildung dargestellt.

Die Kontoübersichtsseite, die Schaltfläche „Serviceverknüpfte Rolle erstellen“.

Eine Liste der IAM-Berechtigungen, die zum Erstellen der serviceverknüpften Rolle erforderlich sind, finden Sie unter Seite „Übersicht“ im Thema Erforderliche Berechtigungen für die Verwendung benutzerdefinierter IAM-Richtlinien zur Verwaltung des Zugriffs auf die Amazon-Connect-Konsole.

Für Customer-Profiles-Domains, die vor dem 31. Januar 2025 erstellt und mit einem kundenseitig verwalteten KMS-Schlüssel zur Datenverschlüsselung konfiguriert wurden, müssen Sie Ihrer Amazon-Connect-Instance zusätzliche KMS-Berechtigungen gewähren.

Wenn die verknüpfte Customer-Profiles-Domain vor dem 31. Januar 2025 erstellt wurde und einen kundenseitig verwalteten KMS-Schlüssel (CMK) für die Verschlüsselung verwendet, führen Sie die folgenden Maßnahmen durch, um die CMK-Durchsetzung durch die Connect-Instance zu aktivieren:

  1. Geben Sie einer Amazon Connect Instance die Berechtigung zur Verwendung der AWS KMS Schlüssel Ihrer Kundenprofil-Domain (Service-Linked Role, SLR), indem Sie in Amazon Connect der AWS-Managementkonsole zur Seite Kundenprofile navigieren und KMS-Berechtigung aktualisieren wählen.

    Klicken Sie auf die Schaltfläche „KMS-Berechtigung aktualisieren“, um KMS-Berechtigungen für die serviceverknüpfte Rolle Ihrer Amazon-Connect-Instance zu gewähren.

  2. Erstellen Sie ein Support-Ticket mit dem Team von Amazon Connect Customer Profiles, um die Durchsetzung der CMK-Berechtigungen für Ihr Konto zu beantragen.

Eine Liste der IAM-Berechtigungen zum Aktualisieren Ihrer Amazon Connect Instance finden Sie unter Erforderliche Berechtigungen für benutzerdefinierte IAM-Richtlinien für. Seite „Customer Profiles“

Bearbeiten einer serviceverknüpften Rolle für Amazon Connect

Amazon Connect erlaubt es Ihnen nicht, die mit dem Präfix verknüpfte Rolle mit dem AWSService RoleForAmazonConnect Präfix zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Prüfen einer serviceverknüpften Rolle auf Berechtigungen für Amazon Lex

  1. Wählen Sie im Navigationsbereich der IAM-Konsole Rollen aus.

  2. Wählen Sie den Namen der zu ändernden Rolle.

Löschen einer serviceverknüpften Rolle für Amazon Connect

Sie müssen die Rolle mit dem AWSService RoleForAmazonConnect Präfix nicht manuell löschen. Wenn Sie Ihre Amazon Connect-Instance in löschen AWS-Managementkonsole, bereinigt Amazon Connect die Ressourcen und löscht die serviceverknüpfte Rolle für Sie.

Unterstützte Regionen für Amazon Connect serviceverknüpfte Rollen

Amazon Connect unterstützt die Verwendung von serviceverknüpften Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter AWS -Regionen und Endpunkte.