Utilisation de rôles liés à un service pour AMS Accelerate

AMS Accelerate utilise des AWS Identity and Access Management rôles liés à un service (IAM). Un rôle lié à un service (SLR) est un type unique de rôle IAM directement lié à AMS Accelerate. Les rôles liés à un service sont prédéfinis par AMS Accelerate et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom.

Un rôle lié à un service facilite la configuration d'AMS Accelerate, car vous n'avez pas à ajouter manuellement les autorisations nécessaires. AMS Accelerate définit les autorisations associées à ses rôles liés aux services et, sauf indication contraire, seul AMS Accelerate peut assumer ses rôles. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés à un service, consultez la section AWS Services qui fonctionnent avec IAM et recherchez les services dont la valeur est Oui dans la colonne Rôles liés à un service. Choisissez un Oui ayant un lien permettant de consulter les détails du rôle pour ce service.

Rôle lié au service du kit de déploiement pour AMS Accelerate

AMS Accelerate utilise le rôle lié au service (SLR) nommé AWSServiceRoleForAWSManagedServicesDeploymentToolkit: ce rôle déploie l'infrastructure AMS Accelerate dans les comptes clients.

Boîte à outils de déploiement AMS Accelerate SLR

Le rôle AWSService RoleFor AWSManaged ServicesDeploymentToolkit lié à un service fait confiance aux services suivants pour assumer le rôle :

La politique nommée AWSManagedServicesDeploymentToolkitPolicypermet à AMS Accelerate d'effectuer des actions sur les ressources suivantes :

Ce SLR accorde à Amazon S3 l'autorisation de créer et de gérer le compartiment de déploiement utilisé par AMS pour télécharger des ressources, telles que des CloudFormation modèles ou des ensembles d'actifs Lambda, dans le compte pour les déploiements de composants. Ce SLR accorde des CloudFormation autorisations pour déployer la CloudFormation pile qui définit les compartiments de déploiement. Pour plus de détails ou pour télécharger la politique, consultez AWSManagedServices_DeploymentToolkitPolicy.

Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, un groupe ou un rôle) de créer, modifier ou supprimer un rôle lié à un service. Pour plus d'informations, consultez la section Autorisations relatives aux rôles liés à un service dans le Guide de l'utilisateur IAM.

Création d'une boîte à outils de déploiement SLR pour AMS Accelerate

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous intégrez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate crée le rôle lié au service pour vous.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous vous inscrivez à AMS, AMS Accelerate crée à nouveau le rôle lié au service pour vous.

Modification d'un kit de déploiement SLR pour AMS Accelerate

AMS Accelerate ne vous permet pas de modifier le rôle AWSService RoleFor AWSManaged ServicesDeploymentToolkit lié au service. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le IAM Guide de l’utilisateur.

Suppression d'un kit de déploiement SLR pour AMS Accelerate

Il n'est pas nécessaire de supprimer le AWSService RoleFor AWSManaged ServicesDeploymentToolkit rôle manuellement. Lorsque vous quittez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate nettoie les ressources et supprime le rôle lié au service pour vous.

Vous pouvez également utiliser la console IAM AWS CLI ou l' AWS API pour supprimer manuellement le rôle lié à un service. Pour cela, vous devez commencer par nettoyer les ressources de votre rôle lié à un service. Vous pouvez ensuite supprimer ce rôle manuellement.

Pour supprimer les ressources AMS Accelerate utilisées par le rôle lié à AWSService RoleFor AWSManaged ServicesDeploymentToolkit un service

Supprimez la ams-cdk-toolkit pile de toutes les régions dans lesquelles votre compte a été intégré dans AMS (vous devrez peut-être d'abord vider manuellement les compartiments S3).

Pour supprimer manuellement le rôle lié à un service à l’aide d’IAM

Utilisez la console IAM, le AWS CLI, ou l' AWS API pour supprimer le rôle lié au AWSService RoleFor AWSManaged ServicesDeploymentToolkit service. Pour plus d'informations, consultez la section Suppression d'un rôle lié à un service dans le guide de l'utilisateur IAM.

Detective contrôle le rôle lié au service pour AMS Accelerate

AMS Accelerate utilise le rôle lié au service (SLR) nommé AWSServiceRoleForManagedServices_DetectiveControlsConfig— AWS Managed Services utilise ce rôle lié au service pour déployer l'enregistreur de configuration, les règles de configuration et les contrôles de détection des compartiments S3.

La politique gérée suivante est attachée AWSServiceRoleForManagedServices_DetectiveControlsConfigau rôle lié au service : AWSManagedServices_DetectiveControlsConfig _. ServiceRolePolicy Pour connaître les mises à jour de cette politique, consultez Accélérez les mises à jour des politiques AWS gérées.

Autorisations pour les contrôles de détection SLR pour AMS Accelerate

Le rôle AWSServiceRoleForManagedServices_DetectiveControlsConfig lié à un service fait confiance aux services suivants pour assumer le rôle :

La politique AWSManagedServices_DetectiveControlsConfig_ServiceRolePolicy AWS gérée est associée à ce rôle (voir Le service utilise AWS politique gérée : AWSManagedServices_DetectiveControlsConfig _ ServiceRolePolicy le rôle pour créer et configurer AMS Detective Controls dans votre compte), ce qui nécessite le déploiement de ressources telles que des compartiments s3, des règles de configuration et un agrégateur. Vous devez configurer les autorisations pour autoriser une entité IAM (telle qu'un utilisateur, un groupe ou un rôle) à créer, modifier ou supprimer un rôle lié à un service. Pour plus d'informations, consultez la section Autorisations relatives aux rôles liés au service dans le guide de l'utilisateur AWS d'Identity and Access Management.

Création d'un reflex de contrôle de détective pour AMS Accelerate

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous intégrez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate crée le rôle lié au service pour vous.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous vous inscrivez à AMS, AMS Accelerate crée à nouveau le rôle lié au service pour vous.

Modifier un détective contrôle un reflex pour AMS Accelerate

AMS Accelerate ne vous permet pas de modifier le rôle AWSServiceRoleForManagedServices_DetectiveControlsConfig lié au service. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d'informations, consultez la section Modification d'un rôle lié à un service dans le Guide de l'utilisateur IAM.

Supprimer un détective contrôle SLR pour AMS Accelerate

Il n'est pas nécessaire de supprimer le AWSServiceRoleForManagedServices_DetectiveControlsConfig rôle manuellement. Lorsque vous quittez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate nettoie les ressources et supprime le rôle lié au service pour vous.

Vous pouvez également utiliser la console IAM AWS CLI ou l' AWS API pour supprimer manuellement le rôle lié à un service. Pour cela, vous devez commencer par nettoyer les ressources de votre rôle lié à un service. Vous pouvez ensuite supprimer ce rôle manuellement.

Pour supprimer les ressources AMS Accelerate utilisées par le rôle lié à AWSServiceRoleForManagedServices_DetectiveControlsConfig un service

Supprimez ams-detective-controls-config-recorder ams-detective-controls-config-rules-cdk et ams-detective-controls-infrastructure-cdk empilez toutes les régions dans lesquelles votre compte a été intégré dans AMS (vous devrez peut-être d'abord vider manuellement les compartiments S3).

Pour supprimer manuellement le rôle lié à un service à l’aide d’IAM

Utilisez la console IAM, le AWS CLI, ou l' AWS API pour supprimer le rôle lié au AWSServiceRoleForManagedServices_DetectiveControlsConfig service. Pour plus d’informations, consultez Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Rôle lié au service Amazon EventBridge Rule pour AMS Accelerate

AMS Accelerate utilise le rôle lié au service (SLR) nommé. AWSServiceRoleForManagedServices_Events Ce rôle fait confiance à l'un des responsables du service AWS Managed Services (events.managedservices.amazonaws.com) pour assumer le rôle à votre place. Le service utilise le rôle pour créer une règle EventBridge gérée par Amazon. Cette règle est l'infrastructure requise dans votre compte AWS pour transmettre les informations de changement d'état d'alarme de votre compte à AWS Managed Services.

Autorisations pour EventBridge SLR pour AMS Accelerate

Le rôle AWSServiceRoleForManagedServices_Events lié à un service fait confiance aux services suivants pour assumer le rôle :

La politique AWSManagedServices_EventsServiceRolePolicy AWS gérée est associée à ce rôle (voirAWS politique gérée : AWSManagedServices_EventsServiceRolePolicy). Le service utilise ce rôle pour transmettre à AMS les informations de modification de l'état de l'alarme depuis votre compte. Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, un groupe ou un rôle) de créer, modifier ou supprimer un rôle lié à un service. Pour plus d'informations, consultez Autorisations de rôles liés à un service dans le Guide de l'utilisateur AWS Identity and Access Management

Vous pouvez télécharger le JSON AWSManagedServices_EventsServiceRolePolicy dans ce fichier ZIP : EventsServiceRolePolicy.zip.

Création d'un EventBridge reflex pour AMS Accelerate

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous intégrez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate crée le rôle lié au service pour vous.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous vous inscrivez à AMS, AMS Accelerate crée à nouveau le rôle lié au service pour vous.

Modification d'un EventBridge reflex pour AMS Accelerate

AMS Accelerate ne vous permet pas de modifier le rôle AWSServiceRoleForManagedServices_Events lié au service. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le IAM Guide de l’utilisateur.

Supprimer un appareil photo EventBridge reflex pour AMS Accelerate

Il n'est pas nécessaire de supprimer le AWSServiceRoleForManagedServices_Events rôle manuellement. Lorsque vous quittez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate nettoie les ressources et supprime le rôle lié au service pour vous.

Vous pouvez également utiliser la console IAM AWS CLI ou l' AWS API pour supprimer manuellement le rôle lié à un service. Pour cela, vous devez commencer par nettoyer les ressources de votre rôle lié à un service. Vous pouvez ensuite supprimer ce rôle manuellement.

Pour supprimer les ressources AMS Accelerate utilisées par le rôle lié à AWSServiceRoleForManagedServices_Events un service

Pour supprimer manuellement le rôle lié à un service à l’aide d’IAM

Utilisez la console IAM, le AWS CLI, ou l' AWS API pour supprimer le rôle lié au AWSServiceRoleForManagedServices_Events service. Pour plus d’informations, consultez Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Rôle lié au service des contacts pour AMS Accelerate

AMS Accelerate utilise le rôle lié au service (SLR) nommé AWSServiceRoleForManagedServices_Contacts— Ce rôle facilite les notifications automatiques en cas d'incident en permettant au service de lire les balises existantes de la ressource affectée et de récupérer l'e-mail configuré du point de contact approprié.

Il s'agit du seul service qui utilise ce rôle lié au service.

La politique gérée suivante est attachée AWSServiceRoleForManagedServices_Contactsau rôle lié au service :. AWSManagedServices_ContactsServiceRolePolicy Pour connaître les mises à jour de cette politique, consultez Accélérez les mises à jour des politiques AWS gérées.

Autorisations pour les contacts SLR pour AMS Accelerate

Le rôle AWSServiceRoleForManagedServices_Contacts lié à un service fait confiance aux services suivants pour assumer le rôle :

La politique gérée par AWSManagedServices_ContactsServiceRolePolicy AWS est associée à ce rôle (voirAWS politique gérée : AWSManagedServices_ContactsServiceRolePolicy). Le service utilise ce rôle pour lire les balises de n'importe quelle AWS ressource et trouver l'e-mail contenu dans le tag, du point de contact approprié en cas d'incident. Ce rôle facilite les notifications automatisées en cas d'incident en permettant à AMS de lire cette balise sur une ressource affectée et de récupérer l'e-mail. Pour plus d'informations, consultez la section Autorisations relatives aux rôles liés au service dans le guide de l'utilisateur AWS d'Identity and Access Management.

La politique d'autorisations de rôle nommée AWSManagedServices_ContactsServiceRolePolicy permet à AMS Accelerate d'effectuer les actions suivantes sur les ressources spécifiées :

Vous pouvez télécharger le JSON AWSManagedServices_ContactsServiceRolePolicy dans ce fichier ZIP : ContactsServicePolicy.zip.

Création d'un reflex à contacts pour AMS Accelerate

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous intégrez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate crée le rôle lié au service pour vous.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous vous inscrivez à AMS, AMS Accelerate crée à nouveau le rôle lié au service pour vous.

Modification d'un reflex à contacts pour AMS Accelerate

AMS Accelerate ne vous permet pas de modifier le rôle AWSServiceRoleForManagedServices_Contacts lié au service. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le IAM Guide de l’utilisateur.

Supprimer un reflex Contacts pour AMS Accelerate

Il n'est pas nécessaire de supprimer le AWSServiceRoleForManagedServices_Contacts rôle manuellement. Lorsque vous quittez AMS dans le AWS Management Console, le ou l' AWS API AWS CLI, AMS Accelerate nettoie les ressources et supprime le rôle lié au service pour vous.

Vous pouvez également utiliser la console IAM AWS CLI ou l' AWS API pour supprimer manuellement le rôle lié à un service. Pour cela, vous devez commencer par nettoyer les ressources de votre rôle lié à un service. Vous pouvez ensuite supprimer ce rôle manuellement.

Pour supprimer les ressources AMS Accelerate utilisées par le rôle lié à AWSServiceRoleForManagedServices_Contacts un service

Pour supprimer manuellement le rôle lié à un service à l’aide d’IAM

Utilisez la console IAM, le AWS CLI, ou l' AWS API pour supprimer le rôle lié au AWSServiceRoleForManagedServices_Contacts service. Pour plus d’informations, consultez Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Régions prises en charge pour les rôles liés au service AMS Accelerate

AMS Accelerate prend en charge l'utilisation de rôles liés au service dans toutes les régions où le service est disponible. Pour plus d'informations, consultez Régions et points de terminaison AWS.

Accélérez les mises à jour des rôles liés aux services

Consultez les détails des mises à jour apportées aux rôles liés au service Accelerate depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS sur la Historique du document pour le guide de l'utilisateur d'AMS Accelerate page Accelerate.

"s3:GetLifecycleConfiguration",
"s3:GetBucketLogging",
"s3:ListBucket",
"s3:GetBucketVersioning",
"s3:PutLifecycleConfiguration",
"s3:GetBucketLocation",
"s3:GetObject*"