Utilizzo dei ruoli collegati ai servizi e alle autorizzazioni dei ruoli di Amazon Connect - Amazon Connect
Cosa sono i ruoli orientati ai servizi (SLR) e perché sono importanti?Autorizzazioni del ruolo collegato ai serviziCreazione di un ruolo orientato ai servizi per Amazon ConnectPer le istanze create prima di ottobre 2018Per i domini dei profili dei clienti creati prima del 31 gennaio 2025 e configurati con una chiave KMS del cliente per crittografare i datiModifica di un ruolo orientato ai servizi per Amazon ConnectVerifica delle autorizzazioni per un ruolo orientato ai servizi per Amazon LexEliminazione di un ruolo orientato ai servizi per Amazon ConnectRegioni supportate per i ruoli orientati ai servizi di Amazon Connect

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo dei ruoli collegati ai servizi e alle autorizzazioni dei ruoli di Amazon Connect

Cosa sono i ruoli orientati ai servizi (SLR) e perché sono importanti?

Amazon Connect utilizza ruoli collegati ai servizi AWS Identity and Access Management (IAM). Un ruolo orientato ai servizi è un tipo di ruolo IAM univoco collegato direttamente a un'istanza Amazon Connect.

I ruoli collegati ai servizi sono predefiniti da Amazon Connect e includono tutte le autorizzazioni richieste da Amazon Connect per chiamare altri AWS servizi per tuo conto.

È necessario abilitare i ruoli collegati ai servizi in modo da poter utilizzare le nuove funzionalità di Amazon Connect, come il supporto per i tag, la nuova interfaccia utente nei profili di gestione degli utenti e di routing e le code con supporto. CloudTrail

Per informazioni sugli altri servizi che supportano i ruoli collegati ai servizi, consulta Servizi AWS che funzionano con IAM e cerca i servizi che riportano Sì nella colonna Ruolo associato ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni dei ruoli orientati ai servizi per Amazon Connect

Amazon Connect utilizza il ruolo collegato al servizio con il prefisso AWSServiceRoleForAmazonConnect_ unique-id — concede ad Amazon Connect l'autorizzazione ad AWS accedere alle risorse per tuo conto.

Il ruolo collegato al servizio AWSService RoleForAmazonConnect con prefisso prevede che i seguenti servizi assumano il ruolo:

  • connect.amazonaws.com

La politica di autorizzazione dei AmazonConnectServiceLinkedRolePolicyruoli consente ad Amazon Connect di completare le seguenti azioni sulle risorse specificate:

  • Azione: tutte le azioni Amazon Connect, connect:*, su tutte le risorse Amazon Connect.

  • Azione: iam:DeleteRole IAM per consentire l'eliminazione del ruolo collegato ai servizi.

  • Azione: s3:GetObject, s3:DeleteObject, s3:GetBucketLocation, e GetBucketAcl Amazon S3 per il bucket S3 specificato per le conversazioni registrate.

    Inoltre, concede s3:PutObject, s3:PutObjectAcl e s3:GetObjectAcl al bucket specificato per i report esportati.

  • Azione: Amazon CloudWatch Logs logs:CreateLogStream e logs:PutLogEvents al gruppo CloudWatch Logs specificato per la registrazione del flusso. logs:DescribeLogStreams

  • Azione: lex:ListBots, lex:ListBotAliases Amazon Lex per tutti i bot creati nell'account tra tutte le regioni.

  • Azione: Profili cliente Amazon Connect

    • profile:SearchProfiles

    • profile:CreateProfile

    • profile:UpdateProfile

    • profile:AddProfileKey

    • profile:ListProfileObjects

    • profile:ListAccountIntegrations

    • profile:ListProfileObjectTypeTemplates

    • profile:GetProfileObjectTypeTemplate

    • profile:ListProfileObjectTypes

    • profile:GetProfileObjectType

    • profile:ListCalculatedAttributeDefinitions

    • profile:GetCalculatedAttributeForProfile

    • profile:ListCalculatedAttributesForProfile

    • profile:GetDomain

    • profile:ListIntegrations

    • profile:GetIntegration

    • profile:PutIntegration

    • profile:DeleteIntegration

    • profile:CreateEventTrigger

    • profile:GetEventTrigger

    • profile:ListEventTriggers

    • profile:UpdateEventTrigger

    • profile:DeleteEventTrigger

    • profile:CreateCalculatedAttributeDefinition

    • profile:DeleteCalculatedAttributeDefinition

    • profile:GetCalculatedAttributeDefinition

    • profile:UpdateCalculatedAttributeDefinition

    • profile:PutProfileObject

    • profile:ListObjectTypeAttributes

    • profile:ListProfileAttributeValues

    • profile:BatchGetProfile

    • profile:BatchGetCalculatedAttributeForProfile

    • profile:ListSegmentDefinitions

    • profile:CreateSegmentDefinition

    • profile:GetSegmentDefinition

    • profile:DeleteSegmentDefinition

    • profile:CreateSegmentEstimate

    • profile:GetSegmentEstimate

    • profile:CreateSegmentSnapshot

    • profile:GetSegmentSnapshot

    • profile:GetSegmentMembership

    • profile:CreateDomainLayout

    • profile:UpdateDomainLayout

    • profile:DeleteDomainLayout

    • profile:GetDomainLayout

    • profile:ListDomainLayouts

    • profile:GetSimilarProfiles

    • profile:GetUploadJob

    • profile:GetUploadJobPath

    • profile:StartUploadJob

    • profile:StopUploadJob

    • profile:CreateUploadJob

    • profile:ListUploadJobs

    • profile:DetectProfileObjectType

    per utilizzare il tuo dominio Profilo cliente predefinito (inclusi i profili e tutti i tipi di oggetto nel dominio) con i flussi di Amazon Connect e le applicazioni di esperienza dell'agente.

    Nota

    Ogni istanza Amazon Connect può essere associata a un solo dominio alla volta. Tuttavia, puoi collegare qualsiasi dominio a un’istanza Amazon Connect. L’accesso tra domini all’interno dello stesso account AWS e della stessa Regione viene abilitato automaticamente per tutti i domini che iniziano con il prefisso amazon-connect-. Per limitare l’accesso tra domini, puoi utilizzare istanze Amazon Connect separate per partizionare logicamente i dati o utilizzare nomi di dominio Profili dei clienti all’interno della stessa istanza che non iniziano con il prefisso amazon-connect-, impedendo così l’accesso tra domini.

  • Azione: Amazon Q in Connect

    • wisdom:CreateContent

    • wisdom:DeleteContent

    • wisdom:CreateKnowledgeBase

    • wisdom:GetAssistant

    • wisdom:GetKnowledgeBase

    • wisdom:GetContent

    • wisdom:GetRecommendations

    • wisdom:GetSession

    • wisdom:NotifyRecommendationsReceived

    • wisdom:QueryAssistant

    • wisdom:StartContentUpload

    • wisdom:UntagResource

    • wisdom:TagResource

    • wisdom:CreateSession

    • wisdom:CreateQuickResponse

    • wisdom:GetQuickResponse

    • wisdom:SearchQuickResponses

    • wisdom:StartImportJob

    • wisdom:GetImportJob

    • wisdom:ListImportJobs

    • wisdom:ListQuickResponses

    • wisdom:UpdateQuickResponse

    • wisdom:DeleteQuickResponse

    • wisdom:PutFeedback

    • wisdom:ListContentAssociations

    • wisdom:CreateMessageTemplate

    • wisdom:UpdateMessageTemplate

    • wisdom:UpdateMessageTemplateMetadata

    • wisdom:GetMessageTemplate

    • wisdom:DeleteMessageTemplate

    • wisdom:ListMessageTemplates

    • wisdom:SearchMessageTemplates

    • wisdom:ActivateMessageTemplate

    • wisdom:DeactivateMessageTemplate

    • wisdom:CreateMessageTemplateVersion

    • wisdom:ListMessageTemplateVersions

    • wisdom:CreateMessageTemplateAttachment

    • wisdom:DeleteMessageTemplateAttachment

    • wisdom:RenderMessageTemplate

    • wisdom:CreateAIAgent

    • wisdom:CreateAIAgentVersion

    • wisdom:DeleteAIAgent

    • wisdom:DeleteAIAgentVersion

    • wisdom:UpdateAIAgent

    • wisdom:UpdateAssistantAIAgent

    • wisdom:RemoveAssistantAIAgent

    • wisdom:GetAIAgent

    • wisdom:ListAIAgents

    • wisdom:ListAIAgentVersions

    • wisdom:CreateAIPrompt

    • wisdom:CreateAIPromptVersion

    • wisdom:DeleteAIPrompt

    • wisdom:DeleteAIPromptVersion

    • wisdom:UpdateAIPrompt

    • wisdom:GetAIPrompt

    • wisdom:ListAIPrompts

    • wisdom:ListAIPromptVersions

    • wisdom:CreateAIGuardrail

    • wisdom:CreateAIGuardrailVersion

    • wisdom:DeleteAIGuardrail

    • wisdom:DeleteAIGuardrailVersion

    • wisdom:UpdateAIGuardrail

    • wisdom:GetAIGuardrail

    • wisdom:ListAIGuardrails

    • wisdom:ListAIGuardrailVersions

    • wisdom:CreateAssistant

    • wisdom:ListTagsForResource

    • wisdom:SendMessage

    • wisdom:GetNextMessage

    • wisdom:ListMessages

    • wisdom:Retrieve

    • wisdom:ListAssistantAssociations

    con tag di risorsa 'AmazonConnectEnabled':'True' su tutte le risorse Amazon Connect Amazon Q in Connect associate all'istanza Amazon Connect.

    • wisdom:ListAssistants

    • wisdom:KnowledgeBases

    su tutte le risorse Amazon Q in Connect.

  • Azione: Amazon CloudWatch Metrics cloudwatch:PutMetricData per pubblicare i parametri di utilizzo di Amazon Connect per un'istanza sul tuo account.

  • Azione: sms-voice:DescribePhoneNumbers e sms-voice:SendTextMessage del Servizio di SMS e messaggi vocali Amazon Pinpoint per consentire ad Amazon Connect di inviare SMS.

  • Azione: mobiletargeting:SendMessages di Amazon Pinpoint per consentire ad Amazon Connect di inviare notifiche push.

  • Azione: cognito-idp:DescribeUserPool e cognito-idp:ListUserPoolClients del pool di utenti Amazon Cognito per consentire ad Amazon Connect l’accesso a determinate operazioni di lettura sui pool di utenti Amazon Cognito, risorse che dispongono di un tag di risorsa AmazonConnectEnabled.

  • Azione: chime:GetVoiceConnector del connettore vocale dell’SDK di Amazon Chime per consentire l’accesso in lettura per Amazon Connect su tutte le risorse del connettore vocale dell’SDK di Amazon Chine che dispongono di un tag di risorsa 'AmazonConnectEnabled':'True'.

  • Azione: chime:ListVoiceConnectors del connettore vocale dell’SDK di Amazon Chime per tutti i connettori vocali dell’SDK di Amazon Chime creati nell’account in tutte le Regioni.

  • Azione: WhatsApp integrazione con Amazon Connect Messaging. Concede le autorizzazioni Amazon Connect ai seguenti social di messaggistica per utenti AWS finali: APIs

    • social-messaging:SendWhatsAppMessage

    • social-messaging:PostWhatsAppMessageMedia

    • social-messaging:GetWhatsAppMessageMedia

    • social-messaging:GetLinkedWhatsAppBusinessAccountPhoneNumber

    I Social APIs sono limitati alle risorse del tuo numero di telefono abilitate per Amazon Connect. Un numero di telefono viene taggato con AmazonConnectEnabled : True quando viene importato in un’istanza Amazon Connect.

  • Azione: integrazione del modello di WhatsApp messaggio di Amazon Connect Messaging. Concede ad Amazon Connect l'autorizzazione a effettuare chiamate AWS End User Messaging Social APIs. È possibile che vengano elencati gli account WhatsApp aziendali di un account. AWS Inoltre, possono essere elencati i modelli di un account WhatsApp aziendale e i dettagli di un modello possono essere recuperati purché l'account WhatsApp aziendale sia taggatoAmazonConnectEnabled: True.

    • social-messaging:ListLinkedWhatsAppBusinessAccounts

    • social-messaging:GetWhatsAppMessageTemplate

    • social-messaging:ListWhatsAppMessageTemplates

  • Azione: Amazon SES

    • ses:DescribeReceiptRule

    • ses:UpdateReceiptRule

    su tutte le regole di ricezione di Amazon SES. Utilizzato per inviare e ricevere e-mail.

    • ses:DeleteEmailIdentityper l'identità del dominio SES {instance-alias} .email.connect.aws. Utilizzato per la gestione dei domini e-mail fornita da Amazon Connect.

    • ses:SendRawEmailper inviare e-mail con un set di configurazione SES fornito da Amazon Connect (configuration-set-for-connect-DO-NOT-DELETE).

    • iam:PassRole per il ruolo di servizio di AmazonConnectEmailSESAccessRole utilizzato da Amazon SES. Per la gestione delle regole di ricezione Amazon SES, Amazon SES richiede l’assegnazione di un ruolo, che viene presupposto.

  • Azione: Amazon Polly

    • polly:ListLexicons

    • polly:DescribeVoices

    • polly:SynthesizeSpeech

Quando si abilitano funzionalità aggiuntive in Amazon Connect, vengono aggiunte le seguenti autorizzazioni al ruolo collegato ai servizi per accedere alle risorse associate a tali funzionalità utilizzando policy in linea:

  • Azione: firehose:DescribeDeliveryStream e firehose:PutRecord di Amazon Data Firehose e firehose:PutRecordBatch per il flusso di distribuzione definito per i flussi di eventi degli agenti e i record dei contatti.

  • Azione: kinesis:PutRecord, kinesis:PutRecords e kinesis:DescribeStream del flusso di dati Amazon Kinesis per il flusso specificato per i flussi di eventi degli agenti e i record dei contatti.

  • Azione: lex:PostContent Amazon Lex per i bot aggiunti all'istanza.

  • Azione: voiceid:* Amazon Connect Voice-ID per i domini Voice ID associati alla tua istanza.

  • Azione: EventBridge events:PutRule e events:PutTargets per la EventBridge regola gestita di Amazon Connect per la pubblicazione dei record CTR per i domini Voice ID associati.

  • Azione: campagne in uscita

    • connect-campaigns:CreateCampaign

    • connect-campaigns:DeleteCampaign

    • connect-campaigns:DescribeCampaign

    • connect-campaigns:UpdateCampaignName

    • connect-campaigns:GetCampaignState

    • connect-campaigns:GetCampaignStateBatch

    • connect-campaigns:ListCampaigns

    • connect-campaigns:UpdateOutboundCallConfig

    • connect-campaigns:UpdateDialerConfig

    • connect-campaigns:PauseCampaign

    • connect-campaigns:ResumeCampaign

    • connect-campaigns:StopCampaign

    per tutte le operazioni relative alle campagne in uscita.

Per consentire a un’entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio è necessario configurare le relative autorizzazioni. Per ulteriori informazioni, consulta Autorizzazioni del ruolo collegato ai servizi nella Guida per l'utente IAM.

Creazione di un ruolo orientato ai servizi per Amazon Connect

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando crei una nuova istanza in Amazon Connect nel Console di gestione AWS, Amazon Connect crea automaticamente il ruolo collegato al servizio.

Se elimini questo ruolo collegato al servizio, è possibile ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell’account. Quando si crea una nuova istanza in Amazon Connect, Amazon Connect crea ancora una volta il ruolo orientato ai servizi per tuo conto.

È possibile utilizzare la console IAM anche per creare un ruolo orientato ai servizi con il caso di utilizzo Amazon Connect – Accesso completo. Nella CLI IAM o nell’API IAM, crea un ruolo collegato al servizio con il nome servizio connect.amazonaws.com. Per ulteriori informazioni, consulta Creazione di un ruolo collegato ai servizi nella Guida per l’utente IAM. Se elimini il ruolo collegato ai servizi, è possibile utilizzare lo stesso processo per crearlo nuovamente.

Per le istanze create prima di ottobre 2018

Suggerimento

Hai problemi di accesso per gestire il tuo AWS account? Non sai chi gestisce il tuo account AWS ? Per ricevere aiuto, consulta Risoluzione dei problemi relativi all’accesso all’account AWS.

Se la tua istanza Amazon Connect è stata creata prima di ottobre 2018, i ruoli orientati ai servizi non saranno stati creati. Per creare un ruolo orientato ai servizi, nella pagina Panoramica dell'account, scegli Crea ruolo orientato ai servizi, come mostrato nell'immagine seguente.

Pagina Panoramica dell'account, pulsante Crea ruolo orientato ai servizi.

Per un elenco delle autorizzazioni IAM richieste per creare il ruolo orientato ai servizi, consulta Pagina di panoramica nell'argomento Autorizzazioni richieste per l'utilizzo di policy IAM personalizzate per gestire l'accesso alla console Amazon Connect.

Per i domini dei Profili dei clienti creati prima del 31 gennaio 2025 e configurati con una chiave KMS del cliente per crittografare i dati, devi concedere le autorizzazioni KMS aggiuntive alla tua istanza Amazon Connect.

Se il dominio dei Profili dei clienti associato è stato creato prima del 31 gennaio 2025 e il dominio utilizza una chiave KMS gestita dal cliente (CMK) per la crittografia, per abilitare l’applicazione CMK da parte dell’istanza Connect, intraprendi le seguenti azioni:

  1. Fornisci l'autorizzazione Service-Linked Role (SLR) a un' Amazon Connect istanza per utilizzare le AWS KMS chiavi del dominio Customer Profiles accedendo alla pagina dei profili dei clienti nella Console di gestione Amazon Connect AWS e scegliendo l'autorizzazione Update KMS.

    Scegli il pulsante Aggiorna autorizzazione KMS per concedere le autorizzazioni KMS per il ruolo collegato al servizio dell’istanza Amazon Connect.

  2. Crea un ticket di assistenza con il team di Amazon Connect Customer Profiles per richiedere l’applicazione delle autorizzazioni CMK per il tuo account.

Per un elenco delle autorizzazioni IAM ad aggiornare l' Amazon Connect istanza, consulta l'autorizzazione richiesta per le politiche IAM personalizzate per. Pagina di Profili cliente

Modifica di un ruolo orientato ai servizi per Amazon Connect

Amazon Connect non consente di modificare il ruolo collegato al servizio con AWSService RoleForAmazonConnect prefisso. Dopo avere creato un ruolo collegato al servizio, non sarà possibile modificarne il nome perché varie entità potrebbero farvi riferimento. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, consulta Modifica di un ruolo collegato al servizio nella Guida per l’utente di IAM.

Verifica delle autorizzazioni per un ruolo orientato ai servizi per Amazon Lex

  1. Nel pannello di navigazione della console IAM, seleziona Ruoli.

  2. Scegliere il nome del ruolo da modificare.

Eliminazione di un ruolo orientato ai servizi per Amazon Connect

Non è necessario eliminare manualmente il ruolo con prefisso. AWSService RoleForAmazonConnect Quando elimini la tua istanza Amazon Connect in Console di gestione AWS, Amazon Connect pulisce le risorse ed elimina il ruolo collegato al servizio per te.

Regioni supportate per i ruoli orientati ai servizi di Amazon Connect

Amazon Connect supporta l'utilizzo di ruoli orientati ai servizi in tutte le regioni in cui il servizio è disponibile. Per ulteriori informazioni, consulta AWS Regioni ed endpoint.