Utilisation des rôles liés à un service pour Amazon RDS

Amazon RDS utilise des rôles liés à un service Gestion des identités et des accès AWS (IAM). Service-linked les rôles sont prédéfinis par Amazon RDS () et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom.

Un rôle lié à un service simplifie l’utilisation d’Amazon RDS, car vous n’avez pas besoin d’ajouter manuellement les autorisations requises. Amazon RDS définit les autorisations de ses rôles liés à un service et, sauf définition contraire, seul Amazon RDS peut endosser ses rôles. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.

Vous pouvez supprimer les rôles uniquement après la suppression préalable de leurs ressources connexes. Vos ressources Amazon RDS sont ainsi protégées, car vous ne pouvez pas involontairement supprimer l’autorisation d’accéder aux ressources.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés à un service, consultez la section AWS Services qui fonctionnent avec IAM et recherchez les services dont la valeur est Oui dans la Service-Linked colonne Rôle. Choisissez un Oui ayant un lien permettant de consulter les détails du rôle pour ce service.

Service-linked autorisations de rôle pour Amazon RDS ( Aurora)

Amazon RDS

Le rôle AWSServiceRoleForRDS lié à un service fait confiance aux services suivants pour assumer le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte.

Pour plus d'informations sur cette politique, y compris le document de politique JSON, consultez AmazonRDSServiceRolePolicyle Guide de référence des politiques AWS gérées.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}
    

Création d’un rôle lié à un service pour Amazon RDS

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous créez une instance, Amazon RDS crée le rôle lié à un service pour vous.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous créez une instance, Amazon RDS crée de nouveau le rôle lié à un service pour vous.

Modification d’un rôle lié à un service pour Amazon RDS

Amazon RDS ne vous permet pas de modifier le rôle lié au AWSServiceRoleForRDS service. Après avoir créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Suppression d’un rôle lié à un service pour Amazon RDS

Si vous n’avez plus besoin d’utiliser une fonction ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez supprimer toutes vos instances et de bases de données avant de pouvoir supprimer le rôle lié à un service.

Nettoyage d’un rôle lié à un service

Avant de pouvoir utiliser IAM pour supprimer un rôle lié à un service, vous devez d’abord vérifier qu’aucune session n’est active pour le rôle et supprimer toutes les ressources utilisées par le rôle.

Si vous souhaitez supprimer le AWSServiceRoleForRDS rôle, vous devez d'abord supprimer tous vos d'instances de base de données.

Suppression de toutes vos instances

Utilisez l’une des procédures suivantes pour supprimer chacune de vos instances.

Pour supprimer une instance (CLI)

Consultez delete-db-instance dans la Référence de commande AWS CLI .

Pour supprimer une instance (API)

Consultez DeleteDBInstance dans le Amazon RDS API Reference.

Vous pouvez utiliser la console IAM, l'interface de ligne de commande IAM ou l'API IAM pour supprimer le rôle lié à un service AWSServiceRoleForRDS . Pour plus d’informations, consultez la section Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Service-linked autorisations de rôle pour Amazon RDS Custom

Amazon RDS Custom utilise le rôle lié au service nommé AWSServiceRoleForRDSCustom pour permettre à RDS Custom d'appeler des AWS services au nom de vos ressources de base de données RDS.

Le rôle AWSServiceRoleForRDSCustom lié à un service fait confiance aux services suivants pour assumer le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSCustomServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte.

La création, la modification ou la suppression du rôle lié au service pour RDS Custom fonctionne de la même manière que pour Amazon RDS. Pour plus d’informations, consultez AWS politique gérée : AmazonRDSCustomServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSCustomServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Service-linked autorisations de rôle pour Amazon RDS Beta

Amazon RDS utilise le rôle lié au service nommé pour AWSServiceRoleForRDSBeta permettre à Amazon RDS Amazon d' AWS appeler des services au nom de vos ressources de base de données RDS.

Le rôle AWSServiceRoleForRDSBeta lié à un service fait confiance aux services suivants pour assumer le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSBetaServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte. Pour plus d’informations, consultez AWS politique gérée : AmazonRDSBetaServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSBetaServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Service-linked rôle pour Amazon RDS Preview

Amazon RDS utilise le rôle lié au service nommé pour AWSServiceRoleForRDSPreview permettre à Amazon RDS Amazon d' AWS appeler des services au nom de vos ressources de base de données RDS.

Le rôle AWSServiceRoleForRDSPreview lié à un service fait confiance aux services suivants pour assumer le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSPreviewServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte. Pour plus d’informations, consultez AWS politique gérée : AmazonRDSPreviewServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSPreviewServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}