Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Verwenden Sie serviceverknüpfte Rollen und Rollenberechtigungen für Connect Customer
## Was sind serviceverknüpfte Rollen (Service-Linked Roles, SLR) und warum sind sie wichtig?
Connect Customer verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte Rollen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role). Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, die direkt mit einer Connect Customer-Instanz verknüpft ist.
Service-linked Rollen sind von Connect Customer vordefiniert und beinhalten [alle Berechtigungen, die](#slr-permissions) Connect Customer benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
Sie müssen dienstverknüpfte Rollen aktivieren, damit Sie neue Funktionen in Connect Customer nutzen können, z. B. die Tagging-Unterstützung, die neue Benutzeroberfläche in **Benutzerverwaltungs** - und **Routing-Profilen** sowie Warteschlangen mit Support. CloudTrail
**Informationen zu anderen Diensten, die dienstbezogene Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte Rolle nach den Diensten, für die **Ja** steht. Service-Linked ** Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
## Service-linked Rollenberechtigungen für Connect Customer
Connect Customer verwendet die serviceverknüpfte Rolle mit dem Präfix **AWSServiceRoleForAmazonConnect**\_ {{unique-id}} — Erteilt Amazon Connect die Erlaubnis, in Ihrem Namen auf AWS Ressourcen zuzugreifen.
Die mit dem AWSServiceRoleForAmazonConnect Präfix verknüpfte Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:
+ `connect.amazonaws.com`
Die [AmazonConnectServiceLinkedRolePolicy](https://docs.aws.amazon.com/connect/latest/adminguide/security_iam_awsmanpol.html#amazonconnectservicelinkedrolepolicy)Rollenberechtigungsrichtlinie ermöglicht es Connect Customer, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:
+ Aktion: alle Connect-Kundenaktionen,`connect:*`, auf allen Connect-Kundenressourcen.
+ Aktion: IAM `iam:DeleteRole` zum Zulassen des Löschens der serviceverknüpften Rolle.
+ Aktion: Amazon S3 `s3:GetObject`, `s3:DeleteObject`, `s3:GetBucketLocation` und `GetBucketAcl` für den S3-Bucket, der für aufgezeichnete Konversationen angegeben ist.
Dies erlaubt außerdem `s3:PutObject`, `s3:PutObjectAcl` und `s3:GetObjectAcl` für den für exportierte Berichte angegebenen Bucket.
+ Aktion: Amazon CloudWatch Logs `logs:CreateLogStream``logs:DescribeLogStreams`, und `logs:PutLogEvents` zu der CloudWatch Logs-Gruppe, die für die Flow-Protokollierung angegeben ist.
+ Aktion: Amazon Lex `lex:ListBots`, `lex:ListBotAliases` für alle im Konto erstellten Bots in allen Regionen.
+ Aktion: Connect Kundenprofile `profile:*` auf allen Connect-Kundenprofile-Ressourcen mit dem `amazon-connect-` Domainpräfix und den Vorlagenressourcen, die Ihrer Connect-Kundeninstanz zugeordnet sind, mit Ausnahme der folgenden Aktionen, die ausdrücklich verweigert wurden:
+ `profile:CreateDomain`
+ `profile:UpdateDomain`
+ `profile:DeleteDomain`
+ `profile:CreateEventStream`
+ `profile:DeleteEventStream`
+ `profile:DeleteWorkflow`
+ `profile:DeleteProfileKey`
+ `profile:UntagResource`
+ `profile:TagResource`
+ `profile:CreateIntegrationWorkflow`
Darüber hinaus sind die folgenden Aktionen für alle Ressourcen zulässig: `profile:ListRecommenderRecipes``profile:ListAccountIntegrations`, und`profile:ListDomains`.
**Anmerkung**
Jede Connect Customer-Instanz kann jeweils nur einer Domain zugeordnet werden. Sie können jedoch jede Domain mit einer Connect Customer-Instanz verknüpfen. Cross-domain Der Zugriff innerhalb desselben AWS-Kontos und derselben Region wird automatisch für alle Domains aktiviert, die mit dem Präfix beginnen`amazon-connect-`. Um den domänenübergreifenden Zugriff einzuschränken, können Sie entweder separate Connect Customer-Instanzen verwenden, um Ihre Daten logisch zu partitionieren, oder Kundenprofile-Domainnamen innerhalb derselben Instanz verwenden, die nicht mit dem `amazon-connect-` Präfix beginnen, wodurch domänenübergreifender Zugriff verhindert wird.
+ Aktion: Verbinden Sie KI-Agenten `wisdom:*` auf allen Ressourcen von Connect Customer Connect AI-Agenten, deren Ressourcen-Tag mit Ihrer Connect Customer-Instanz `'AmazonConnectEnabled':'True'` verknüpft ist, mit Ausnahme der folgenden Aktionen, die ausdrücklich verweigert wurden:
+ `wisdom:DeleteAssistant`
+ `wisdom:DeleteKnowledgeBase`
+ Aktion: Amazon CloudWatch Metrics`cloudwatch:PutMetricData`, um die Nutzungsstatistiken von Connect Customer für eine Instance in Ihrem Konto zu veröffentlichen.
+ Aktion: Amazon Pinpoint SMS and Voice `sms-voice:DescribePhoneNumbers` und `sms-voice:SendTextMessage` um Connect Customer das Senden von SMS zu ermöglichen.
+ Aktion: Amazon Pinpoint`mobiletargeting:SendMessages`, um Connect Customer das Senden von Push-Benachrichtigungen zu ermöglichen.
+ Aktion: Amazon Cognito Cognito-Benutzerpools `cognito-idp:DescribeUserPool` und `cognito-idp:ListUserPoolClients` um Connect-Kunden Zugriff auf ausgewählte Lesevorgänge auf Amazon Cognito Cognito-Benutzerpools zu gewähren, die über ein `AmazonConnectEnabled` Ressourcen-Tag verfügen.
+ Aktion: Amazon Chime SDK Voice Connector`chime:GetVoiceConnector`, um Connect-Kunden Lesezugriff auf alle Amazon Chime SDK Voice Connector-Ressourcen zu gewähren, die über ein `'AmazonConnectEnabled':'True'` Ressourcen-Tag verfügen.
+ Aktion: Amazon Chime SDK Voice Connector `chime:ListVoiceConnectors` für alle Connectors von Amazon Chime SDK Voice, die im Konto in allen Regionen erstellt wurden.
+ Aktion: Connect Customer WhatsApp Messaging-Integration. Gewährt Connect-Kundenberechtigungen für die folgenden Social APIs von AWS End User Messaging:
+ `social-messaging:SendWhatsAppMessage`
+ `social-messaging:PostWhatsAppMessageMedia`
+ `social-messaging:GetWhatsAppMessageMedia`
+ `social-messaging:GetLinkedWhatsAppBusinessAccountPhoneNumber`
Die Social APIs sind auf Ihre Telefonnummernressourcen beschränkt, die für Connect Customer aktiviert sind. Eine Telefonnummer wird mit markiert, `AmazonConnectEnabled : True` wenn sie in eine Connect Customer-Instanz importiert wird.
+ Aktion: Integration von Connect Customer WhatsApp Messaging-Nachrichtenvorlagen. Erteilt Connect Connect-Kunden die Erlaubnis, AWS End User Messaging Social APIs aufzurufen. Die WhatsApp Geschäftskonten eines AWS Kontos können aufgeführt werden. Darüber hinaus können die Vorlagen eines WhatsApp Geschäftskontos aufgelistet werden und die Details einer Vorlage können abgerufen werden, sofern das WhatsApp Geschäftskonto markiert ist`AmazonConnectEnabled: True`.
+ `social-messaging:ListLinkedWhatsAppBusinessAccounts`
+ `social-messaging:GetWhatsAppMessageTemplate`
+ `social-messaging:ListWhatsAppMessageTemplates`
+ Aktion: Amazon SES
+ `ses:DescribeReceiptRule`
+ `ses:UpdateReceiptRule`
in allen Amazon-SES-Empfangsregeln. Wird zum Senden und Empfangen von E-Mails verwendet.
+ `ses:DeleteEmailIdentity`für die SES-Domänenidentität {{{instance-alias}}} .email.connect.aws. Wird für die E-Mail-Domainverwaltung verwendet, die von Connect Customer bereitgestellt wird.
+ `ses:SendRawEmail`für den Versand von E-Mails mit einem SES-Konfigurationssatz, der von Connect Customer bereitgestellt wird (configuration-set-for-connect-). DO-NOT-DELETE
+ `iam:PassRole` für die von Amazon SES verwendete Servicerolle `AmazonConnectEmailSESAccessRole`. Für die Verwaltung von Amazon-SES-Empfangsregeln ist das Übergeben und die Annahme einer Rolle in Amazon SES erforderlich.
+ Aktion: Amazon Polly
+ `polly:ListLexicons`
+ `polly:DescribeVoices`
+ `polly:SynthesizeSpeech`
Wenn Sie zusätzliche Funktionen in Connect Customer aktivieren, werden die folgenden Berechtigungen für die serviceverknüpfte Rolle hinzugefügt, um mithilfe von Inline-Richtlinien auf die mit diesen Funktionen verknüpften Ressourcen zuzugreifen:
+ Aktion: Amazon Data Firehose `firehose:DescribeDeliveryStream` und `firehose:PutRecord` und `firehose:PutRecordBatch` für den Bereitstellungsstream, der für Ereignisstreams und Kontaktdatensätze von Kundendienstmitarbeitern angegeben ist.
+ Aktion: Amazon Kinesis Data Streams `kinesis:PutRecord`, `kinesis:PutRecords` und `kinesis:DescribeStream` für den Stream, der für Kundendienstmitarbeiter-Ereignis-Streams und Kontaktdatensätze angegeben ist.
+ Aktion: Amazon Lex `lex:PostContent` für die Bots, die Ihrer Instance hinzugefügt wurden.
+ Aktion: Connect den Kunden Voice-ID `voiceid:*` für die mit Ihrer Instance verknüpften Voice ID-Domains.
+ Aktion: EventBridge `events:PutRule` und `events:PutTargets` für die von Connect Customer verwaltete EventBridge Regel zur Veröffentlichung von CTR-Datensätzen für Ihre verknüpften Voice ID-Domains.
+ Aktion: Ausgehende Kampagnen
+ `connect-campaigns:CreateCampaign`
+ `connect-campaigns:DeleteCampaign`
+ `connect-campaigns:DescribeCampaign`
+ `connect-campaigns:UpdateCampaignName`
+ `connect-campaigns:GetCampaignState`
+ `connect-campaigns:GetCampaignStateBatch`
+ `connect-campaigns:ListCampaigns`
+ `connect-campaigns:UpdateOutboundCallConfig`
+ `connect-campaigns:UpdateDialerConfig`
+ `connect-campaigns:PauseCampaign`
+ `connect-campaigns:ResumeCampaign`
+ `connect-campaigns:StopCampaign`
für alle Operationen im Zusammenhang mit ausgehenden Kampagnen.
Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter [Service-linked Rollenberechtigungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
## Eine serviceverknüpfte Rolle für Connect Customer erstellen
Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine neue Instance in Amazon Connect im erstellen AWS-Managementkonsole, erstellt Connect Customer die serviceverknüpfte Rolle für Sie.
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine neue Instance in Amazon Connect erstellen, erstellt Connect Customer die serviceverknüpfte Rolle erneut für Sie.
Sie können auch die IAM-Konsole verwenden, um eine serviceverknüpfte Rolle mit dem Anwendungsfall **Amazon Connect – vollständiger Zugriff** zu erstellen. Erstellen Sie in der IAM-CLI oder der IAM-API eine serviceverknüpfte Rolle mit dem Servicenamen `connect.amazonaws.com`. Weitere Informationen finden Sie unter [Erstellen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) im *IAM-Benutzerhandbuch*. Wenn Sie diese serviceverknüpfte Rolle löschen, können Sie mit demselben Verfahren die Rolle erneut erstellen.
## Für Instances, die vor Oktober 2018 erstellt wurden
**Tipp**
Haben Sie Probleme, sich anzumelden, um Ihr AWS Konto zu verwalten? Sie wissen nicht, wer Ihr AWS -Konto verwaltet? Hilfe finden Sie unter [Fehlerbehebung bei Anmeldeproblemen im AWS -Konto](https://docs.aws.amazon.com/signin/latest/userguide/troubleshooting-sign-in-issues.html).
Wenn Ihre Connect Customer-Instanz vor Oktober 2018 erstellt wurde, haben Sie keine serviceverknüpften Rollen eingerichtet. Um eine serviceverknüpfte Rolle zu erstellen, wählen Sie auf der Seite mit der **Kontoübersicht** die Option **Serviceverknüpfte Rolle erstellen** aus, wie in der folgenden Abbildung dargestellt.
Eine Liste der IAM-Berechtigungen, die zum Erstellen der serviceverknüpften Rolle erforderlich sind, finden Sie unter [Seite „Übersicht“](security-iam-amazon-connect-permissions.md#overview-page) im Thema [Erforderliche Berechtigungen für die Verwendung benutzerdefinierter IAM-Richtlinien zur Verwaltung des Zugriffs auf die Connect Customer-Konsole](security-iam-amazon-connect-permissions.md).
## Für Customer-Profiles-Domains, die vor dem 31. Januar 2025 erstellt und mit einem kundenseitig verwalteten KMS-Schlüssel zur Datenverschlüsselung konfiguriert wurden, müssen Sie Ihrer Amazon-Connect-Instance zusätzliche KMS-Berechtigungen gewähren.
Wenn Ihre zugehörige Kundenprofil-Domain vor dem 31. Januar 2025 erstellt wurde und die Domain einen Customer-Managed KMS-Schlüssel (CMK) für die Verschlüsselung verwendet, führen Sie die folgenden Maßnahmen durch, um die CMK-Durchsetzung durch die Connect-Instance zu aktivieren:
1. Geben Sie einer Connect Customer Instance die Service-Linked Role (SLR) -Berechtigung zur Verwendung der AWS KMS Schlüssel Ihrer Kundenprofile-Domain, indem Sie in Connect Customer der AWS-Managementkonsole zur Seite Kundenprofile navigieren und **KMS-Berechtigung aktualisieren** wählen.
1. Erstellen Sie ein [Supportticket beim](https://support.console.aws.amazon.com/support) Connect Customer Customer Profiles Team, um die Durchsetzung der CMK-Berechtigungen für Ihr Konto zu beantragen.
Eine Liste der IAM-Berechtigungen zum Aktualisieren Ihrer Connect Customer Instance finden Sie unter Erforderliche Berechtigungen für benutzerdefinierte IAM-Richtlinien für. [Seite „Customer Profiles“](security-iam-amazon-connect-permissions.md#customer-profiles-page)
## Eine serviceverknüpfte Rolle für Connect Customer bearbeiten
Connect Customer erlaubt es Ihnen nicht, die mit dem Präfix verknüpfte Rolle mit dem AWSServiceRoleForAmazonConnect Präfix zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Prüfen einer serviceverknüpften Rolle auf Berechtigungen für Amazon Lex
1. Wählen Sie im Navigationsbereich der IAM-Konsole **Rollen** aus.
1. Wählen Sie den Namen der zu ändernden Rolle.
## Eine serviceverknüpfte Rolle für Connect Customer löschen
Sie müssen die Rolle mit dem AWSServiceRoleForAmazonConnect Präfix nicht manuell löschen. Wenn Sie Ihre Amazon Connect Connect-Instance im löschen AWS-Managementkonsole, bereinigt Connect Customer die Ressourcen und löscht die serviceverknüpfte Rolle für Sie.
## Unterstützte Regionen für Rollen im Zusammenhang mit dem Connect Customer Service
Connect Customer unterstützt die Verwendung von dienstbezogenen Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter [AWS -Regionen und Endpunkte](https://docs.aws.amazon.com/general/latest/gr/rande.html#connect_region).