Utilisation des rôles liés à un service pour Amazon Aurora

Amazon Aurora utilise des rôles liés à un service pour AWS Identity and Access Management (IAM) Un rôle lié à un service est un type unique de rôle IAM lié directement à Amazon Aurora. Les rôles liés à un service sont prédéfinis par Amazon Aurora et comprennent toutes les autorisations dont le service a besoin pour appeler d’autres services AWS en votre nom.

Un rôle lié à un service simplifie l’utilisation d’Amazon Aurora, car vous n’avez pas besoin d’ajouter manuellement les autorisations requises. Amazon Aurora définit les autorisations de ses rôles liés à un service et, sauf définition contraire, seul Amazon Aurora peut endosser ses rôles. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.

Vous pouvez supprimer les rôles uniquement après la suppression préalable de leurs ressources connexes. Vos ressources Amazon Aurora sont ainsi protégées, car vous ne pouvez pas involontairement supprimer l’autorisation d’accéder aux ressources.

Pour plus d’informations sur les autres services qui prennent en charge les rôles liés à un service, consultez AWS services that work with IAM (Services AWS qui fonctionnent avec IAM) et recherchez les services avec un Yes (Oui) dans la colonne Service-Linked Role (Rôle lié à un service). Choisissez un Yes (oui) ayant un lien permettant de consulter les détails du rôle pour ce service.

Autorisations des rôles liés à un service pour Amazon Aurora

Amazon Aurora utilise le rôle lié à un service nommé AWSServiceRoleForRDS for permettre à Amazon RDS d’appeler des services AWS pour le compte de vos clusters de bases de données.

Le rôle lié à un service AWSServiceRoleForRDS approuve les services suivants pour endosser le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte.

Pour plus d’informations sur cette politique, y compris le document de politique JSON, consultez AmazonRDSServiceRolePolicy dans le Guide de référence des politiques gérées par AWS.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}
    

Création d’un rôle lié à un service pour Amazon Aurora

Vous n’avez pas besoin de créer manuellement un rôle lié à un service. Lorsque vous créez un cluster de bases de données, Amazon Aurora crée le rôle lié à un service pour vous.

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous créez une un cluster de bases de données, Amazon Aurora crée de nouveau le rôle lié à un service pour vous.

Modification d’un rôle lié à un service pour Amazon Aurora

Amazon Aurora ne vous permet pas de modifier le rôle lié à un service AWSServiceRoleForRDS. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas modifier le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d’informations, consultez Modification d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Suppression d’un rôle lié à un service pour Amazon Aurora

Si vous n’avez plus besoin d’utiliser une fonction ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez supprimer toutes vos et clusters de bases de données avant de pouvoir supprimer le rôle lié à un service.

Nettoyage d’un rôle lié à un service

Avant de pouvoir utiliser IAM pour supprimer un rôle lié à un service, vous devez d’abord vérifier qu’aucune session n’est active pour le rôle et supprimer toutes les ressources utilisées par le rôle.

Si vous souhaitez supprimer le rôle AWSServiceRoleForRDS, vous devez commencer par supprimer toutes vos clusters de bases de données.

Suppression de tous vos clusters

Utilisez l’une des procédures suivantes pour supprimer un seul cluster. Répétez la procédure pour chacun de vos clusters.

Pour supprimer un cluster (CLI)

Consultez delete-db-cluster dans la Référence de commande AWS CLI.

Pour supprimer un cluster (API)

Consultez DeleteDBCluster dans le Amazon RDS API Reference.

Vous pouvez utiliser la console IAM, la CLI IAM ou l’API IAM pour supprimer le rôle lié à un service AWSServiceRoleForRDS. Pour plus d’informations, consultez Suppression d’un rôle lié à un service dans le Guide de l’utilisateur IAM.

Autorisations du rôle lié à un service pour Amazon RDS bêta

Amazon Aurora utilise le rôle lié à un service nommé AWSServiceRoleForRDSBeta pour permettre à Amazon Aurora d’appeler des services AWS au nom de vos ressources de bases de données RDS.

Le rôle lié à un service AWSServiceRoleForRDSBeta approuve les services suivants pour endosser le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSBetaServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte. Pour plus d’informations, consultez Politique gérée par AWS : AmazonRDSBetaServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSBetaServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}
    

Rôles liés à un service pour Amazon RDS Preview

Amazon Aurora utilise le rôle lié à un service nommé AWSServiceRoleForRDSPreview pour permettre à Amazon Aurora d’appeler des services AWS au nom de vos ressources de bases de données RDS.

Le rôle lié à un service AWSServiceRoleForRDSPreview approuve les services suivants pour assumer le rôle :

Ce rôle lié à un service est associé à une politique appelée AmazonRDSPreviewServiceRolePolicy qui lui accorde l’autorisation d’opérer dans votre compte. Pour plus d’informations, consultez Politique gérée par AWS : AmazonRDSPreviewServiceRolePolicy.

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/custom.rds.amazonaws.com/AmazonRDSPreviewServiceRolePolicy",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"custom.rds.amazonaws.com"
        }
    }
}