Uso de funções vinculadas ao serviço para o Amazon MQ

O Amazon MQ usa funções vinculadas ao serviço do AWS Identity and Access Management IAM. A função vinculada ao serviço é um tipo exclusivo de função do IAM vinculada diretamente ao Amazon MQ. As funções vinculadas a serviços são predefinidas pelo Amazon MQ e incluem todas as permissões que o serviço requer para chamar outros produtos da AWS em seu nome.

Uma função vinculada ao serviço facilita a configuração do Amazon MQ porque você não precisa adicionar as permissões necessárias manualmente. O Amazon MQ define as permissões das funções vinculadas ao serviço e, exceto se definido de outra forma, somente o Amazon MQ pode assumir suas funções. As permissões definidas incluem a política de confiança e a política de permissões, que não pode ser anexada a nenhuma outra entidade do IAM.

Um perfil vinculado ao serviço poderá ser excluído somente após excluir seus atributos relacionados. Isso protege seus recursos do Amazon MQ, pois você não pode remover por engano as permissões para acessar os recursos.

Para obter informações sobre outros serviços que oferecem suporte ás funções vinculadas a serviços, consulte AWSServiços da compatíveis com o IAM e procure serviços que tenham Sim na coluna de função vinculada a serviços. Escolha um Sim com um link para visualizar a documentação do perfil vinculado para esse serviço.

Permissões de função vinculada ao serviço para o Amazon MQ

O Amazon MQ usa a função vinculada ao serviço chamada AWSServiceRoleForAmazonMQ — O Amazon MQ usa essa função vinculada ao serviço para chamar os serviços AWS em seu nome.

A função vinculada ao serviço AWSServiceRoleForAmazonMQ confia nos seguintes serviços para assumir a função:

O Amazon MQ usa a política de permissão AmazonMQServiceRolePolicy, que é anexada à função vinculada ao serviço AWSServiceRoleForAmazonMQ, para concluir as seguintes ações nos recursos especificados:

Quando você cria um Amazon MQ para agente RabbitMQ, a política de permissão AmazonMQServiceRolePolicy do Amazon MQ realize as seguintes tarefas em seu nome.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcEndpoints"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVpcEndpoint"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:vpc/*",
                "arn:aws:ec2:*:*:subnet/*",
                "arn:aws:ec2:*:*:security-group/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVpcEndpoint"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:vpc-endpoint/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/AMQManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateVpcEndpoint"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteVpcEndpoints"
            ],
            "Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AMQManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/amazonmq/*"
            ]
        }
    ]
}

Você deve configurar permissões para que uma entidade do IAM (por exemplo, um usuário, grupo ou função) crie, edite ou exclua um perfil vinculado a serviço. Para mais informações, consulte Permissões de perfil vinculado ao serviço no Guia do usuário do IAM.

Criação de uma função vinculada ao serviço para Amazon MQ

Não é necessário criar manualmente um perfil vinculado ao serviço. Ao criar um agente da pela primeira vez, o Amazon MQ cria uma função vinculada ao serviço para chamar o AWS em seu nome. Todos os agentes subsequentes que você criar usarão a mesma função e nenhuma nova função será criada.

Se excluir essa função vinculada ao serviço e precisar criá-la novamente, você pode usar esse mesmo processo para recriar a função na sua conta.

Você também pode usar o console do IAM para criar uma função vinculada ao serviço com o caso de uso do Amazon MQ. Na AWS CLI ou na API do AWS, crie um perfil vinculado a serviço com o nome de serviço mq.amazonaws.com. Para obter mais informações, consulte Criar uma função vinculada ao serviço no Manual do usuário do IAM. Se você excluir essa função vinculada ao serviço, será possível usar esse mesmo processo para criar a função novamente.

Edição de uma função vinculada ao serviço do Amazon MQ

O Amazon MQ não permite que você edite a função vinculada ao serviço AWSServiceRoleForAmazonMQ. No entanto, você poderá editar a descrição do perfil usando o IAM. Para obter mais informações, consulte Editar um perfil vinculado ao serviço no Guia do usuário do IAM.

Exclusão de uma função vinculada ao serviço do Amazon MQ

Se você não precisar mais usar um recurso ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-lo. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ativamente ou mantida. No entanto, você deve limpar os recursos de seu perfil vinculado ao serviço antes de excluí-lo manualmente.

Como excluir manualmente o perfil vinculado ao serviço usando o IAM

Use o console do IAM, AWS CLI ou a API AWS para excluir a função vinculada a serviço AWSServiceRoleForAmazonMQ. Para obter mais informações, consulte Excluir um perfil vinculado ao serviço no Guia do usuário do IAM.

Regiões compatíveis com as funções vinculadas a serviços do Amazon MQ

O Amazon MQ é compatível com as funções vinculadas a serviços em todas as regiões em que o serviço está disponível. Para mais informações, consulte Regiões e endpoints da AWS.