View a markdown version of this page

Ruolo Invoker - AWS Resilience Hub
Creazione di un ruolo invoker nella console IAMGestione dei ruoli con l'API IAMDefinizione della politica di fiducia utilizzando il file JSON

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Ruolo Invoker

Il ruolo AWS Resilience Hub invoker è un ruolo AWS Identity and Access Management (IAM) che AWS Resilience Hub presuppone l'accesso a servizi e risorse. AWS Ad esempio, potresti creare un ruolo invoker con l'autorizzazione ad accedere al tuo modello CFN e alla risorsa che crea. Questa pagina fornisce informazioni su come creare, visualizzare e gestire un ruolo di richiamo dell'applicazione.

Quando si crea un'applicazione, si fornisce un ruolo di richiamo. AWS Resilience Hub assume questo ruolo per accedere alle risorse quando si importano risorse o si avvia una valutazione. AWS Resilience Hub Per assumere correttamente il ruolo di richiamante, la politica di fiducia del ruolo deve specificare il principale del AWS Resilience Hub servizio (resiliencehub.amazonaws.com) come servizio affidabile.

Per visualizzare il ruolo di richiamo dell'applicazione, scegli Applicazioni dal pannello di navigazione, quindi scegli Aggiorna autorizzazioni dal menu Azioni nella pagina Applicazione.

È possibile aggiungere o rimuovere le autorizzazioni da un ruolo di richiamo dell'applicazione in qualsiasi momento o configurare l'applicazione per utilizzare un ruolo diverso per l'accesso alle risorse dell'applicazione.

Argomenti

Creazione di un ruolo invoker nella console IAM

Per consentire l'accesso AWS Resilience Hub a AWS servizi e risorse, è necessario creare un ruolo invoker nell'account primario utilizzando la console IAM. Per ulteriori informazioni sulla creazione di ruoli utilizzando la console IAM, vedi Creazione di un ruolo per un AWS servizio (console).

Per creare un ruolo invoker nell'account primario utilizzando la console IAM

  1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Dal pannello di navigazione, scegli Ruoli, quindi scegli Crea ruolo.

  3. Seleziona Politica di fiducia personalizzata, copia la seguente politica nella finestra Politica di fiducia personalizzata, quindi scegli Avanti.

    Nota

    Se le risorse si trovano in account diversi, è necessario creare un ruolo in ciascuno di questi account e utilizzare la politica di attendibilità dell'account secondario per gli altri account.

    JSON
    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "resiliencehub.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

  4. Nella sezione Criteri di autorizzazione della pagina Aggiungi autorizzazioni, inserisci AWSResilienceHubAsssessmentExecutionPolicy la casella Filtra i criteri per proprietà o nome del criterio e premi la casella Invio.

  5. Seleziona la policy e scegli Avanti.

  6. Nella sezione Dettagli del ruolo, inserisci un nome di ruolo univoco (ad esempioAWSResilienceHubAssessmentRole) nella casella Nome ruolo.

    Questo campo accetta solo caratteri alfanumerici e '+=,.@-_/'.

  7. (Facoltativo) Inserisci una descrizione del ruolo nella casella Descrizione.

  8. Selezionare Crea ruolo.

    Per modificare i casi d'uso e le autorizzazioni, nel passaggio 6, scegli il pulsante Modifica che si trova a destra del Passaggio 1: Seleziona le entità attendibili o del Passaggio 2: Aggiungi le sezioni delle autorizzazioni.

Dopo aver creato il ruolo invoker e il ruolo di risorsa (se applicabile), puoi configurare l'applicazione per utilizzare questi ruoli.

Nota

È necessario disporre di un'iam:passRoleautorizzazione nel proprio IAM corrente user/role per il ruolo invoker durante la creazione o l'aggiornamento dell'applicazione. Tuttavia, non è necessaria questa autorizzazione per eseguire una valutazione.

Gestione dei ruoli con l'API IAM

La politica di fiducia di un ruolo fornisce al principale specificato il permesso di assumere il ruolo. Per creare i ruoli usando AWS Command Line Interface (AWS CLI), usa il create-role comando. Durante l'utilizzo di questo comando, è possibile specificare la politica di fiducia in linea. L'esempio seguente mostra come concedere al AWS Resilience Hub servizio l'autorizzazione principale per assumere il proprio ruolo.

Nota

Il requisito per l'escape delle virgolette (' ') nella stringa JSON può variare in base alla versione della shell.

Esempio create-role 

aws iam create-role --role-name AWSResilienceHubAssessmentRole --assume-role-policy-document '{
  "Version": "2012-10-17","Statement": 
  [
    { 
      "Effect": "Allow",
      "Principal": {"Service": "resiliencehub.amazonaws.com"},
      "Action": "sts:AssumeRole"
    }
  ]
}'

Definizione della politica di fiducia utilizzando il file JSON

È possibile definire la politica di fiducia per il ruolo utilizzando un file JSON separato e quindi eseguire il create-role comando. Nell'esempio seguente, trust-policy.json è un file che contiene la politica di fiducia nella directory corrente. Questa politica è associata a un ruolo eseguendo create-role il comando. L'output del create-role comando è mostrato nell'output di esempio. Per aggiungere autorizzazioni al ruolo, usa il comando attach-policy-to-role e puoi iniziare aggiungendo la policy gestita. AWSResilienceHubAsssessmentExecutionPolicy Per ulteriori informazioni su questa politica gestita, vedere. AWSResilienceHubAsssessmentExecutionPolicy

Esempio trust-policy.json

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "Service": "resiliencehub.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
    }]
}

Esempio create-role

aws iam create-role --role-name AWSResilienceHubAssessmentRole --assume-role-policy-document file://trust-policy.json

Esempio di output

Esempio attach-policy-to-role

aws iam attach-role-policy --role-name AWSResilienceHubAssessmentRole --policy-arn arn:aws:iam::aws:policy/AWSResilienceHubAsssessmentExecutionPolicy