View a markdown version of this page

Uso de roles para AWS Batch - AWS Batch
Service-linked permisos de rol para AWS BatchCreación de un rol vinculado a un servicio de AWS BatchModificación de un rol vinculado a un servicio de AWS BatchEliminación de un rol vinculado a un servicio de AWS BatchRegiones compatibles para AWS Batch roles vinculados a servicios

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de roles para AWS Batch

AWS Batch usos AWS Identity and Access Management (OBJETIVO) roles vinculados a servicios. Un rol vinculado a un servicio es un tipo único de rol de IAM que está vinculado directamente a AWS Batch. Service-linked los roles están predefinidos por AWS Batch e incluyen todos los permisos que el servicio requiere para llamar a otros AWS servicios en su nombre.

Una función vinculada al servicio hace que la configuración AWS Batch es más fácil porque no es necesario añadir manualmente los permisos necesarios. AWS Batch define los permisos de sus funciones vinculadas al servicio y, a menos que se defina lo contrario, solo AWS Batch puede asumir sus funciones. Los permisos definidos incluyen las políticas de confianza y de permisos, y que la política de permisos no se pueda asociar a ninguna otra entidad de IAM.

nota

Realice una de las siguientes acciones para especificar un rol de servicio para un AWS Batch entorno informático.

  • Utilice una cadena vacía para el rol de servicio. Esto permite AWS Batch crear el rol de servicio.

  • Especifique el rol de servicio en el siguiente formato: arn:aws:iam::account_number:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch.

Para obtener más información, consulte Nombre de rol o ARN incorrectos en el AWS Batch Guía del usuario.

importante

Service-linked la creación automática de funciones solo se aplica a MANAGED entornos informáticos. Para UNMANAGED para entornos de procesamiento, debe especificar explícitamente un serviceRole. Omitir el papel de un UNMANAGED el entorno informático da como resultado un ServiceRole is required error.

Solo es posible eliminar un rol vinculado a un servicio después de eliminar sus recursos relacionados. Esto protege su AWS Batch recursos porque no puedes eliminar inadvertidamente el permiso de acceso a los recursos.

Para obtener información sobre otros servicios que admiten funciones vinculadas a servicios, consulte AWS servicios que funcionan con IAM y busque los servicios que tienen Sí en el Service-linked papeles columna. Elija una opción Sí con un enlace para ver la documentación acerca del rol vinculado al servicio en cuestión.

Service-linked permisos de rol para AWS Batch

AWS Batch usa el rol vinculado a un servicio denominado AWSServiceRoleForBatch — Permite AWS Batch crear y administrar AWS recursos en su nombre.

El AWSServiceRoleForBatch el rol vinculado al servicio confía en los siguientes servicios para asumir el rol:

  • batch.amazonaws.com

La política de permisos del rol denominada BatchServiceRolePolicy permite AWS Batch para completar las siguientes acciones en los recursos especificados:

  • autoscaling — Permite AWS Batch crear y administrar los recursos de Amazon EC2 Auto Scaling. AWS Batch crea y administra grupos de Amazon EC2 Auto Scaling para la mayoría de los entornos informáticos.

  • ec2 — Permite AWS Batch controlar el ciclo de vida de las instancias de Amazon EC2, así como crear y gestionar plantillas y etiquetas de lanzamiento. AWS Batch crea y administra las solicitudes de EC2 Spot Fleet para algunos entornos informáticos puntuales de EC2.

  • ecs — Permite AWS Batch crear y administrar clústeres de Amazon ECS (incluida la actualización de la configuración de los clústeres, como Container Insights), definiciones de tareas y tareas para la ejecución de trabajos.

  • eks - Permite AWS Batch describir el recurso de clúster de Amazon EKS para las validaciones.

  • iam - Permite AWS Batch validar y transferir los roles proporcionados por el propietario a Amazon EC2, Amazon EC2 Auto Scaling y Amazon ECS.

  • logs — Permite AWS Batch crear y administrar grupos de registros y flujos de registros para AWS Batch trabajos.

Debe configurar los permisos para permitir a sus usuarios, grupos o funciones, crear, editar o eliminar la descripción de un rol vinculado al servicio. Para obtener más información, consulte Service-linked permisos de rol en el Guía del usuario de IAM.

Creación de un rol vinculado a un servicio de AWS Batch

No necesita crear manualmente un rol vinculado a servicios. Al crear un entorno de procesamiento en el Consola de administración de AWS, el AWS CLI, o el AWS API, AWS Batch crea la función vinculada al servicio para usted.

nota

Esta creación automática de funciones vinculadas a un servicio solo se aplica a MANAGED entornos informáticos. Para UNMANAGED para entornos informáticos, debe proporcionar explícitamente un serviceRole al llamar CreateComputeEnvironment.

importante

Este rol vinculado a servicios puede aparecer en su cuenta si se ha completado una acción en otro servicio que utilice las características compatibles con este rol. Si estuvieras usando el AWS Batch servicio antes del 10 de marzo de 2021, cuando comenzó a admitir funciones vinculadas al servicio, entonces AWS Batch creó el AWSServiceRoleForBatch rol en tu cuenta. Para obtener más información, consulte Apareció un nuevo rol en mi Cuenta de AWS.

Si elimina este rol vinculado a servicios y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Al crear un entorno de procesamiento, AWS Batch vuelve a crear el rol vinculado al servicio para usted.

Modificación de un rol vinculado a un servicio de AWS Batch

AWS Batch no le permite editar el AWSServiceRoleForBatch rol vinculado al servicio. Después de crear un rol vinculado al servicio, no podrá cambiar el nombre del rol, ya que varias entidades podrían hacer referencia al rol. Sin embargo, sí puede editar la descripción del rol con IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM.

Para permitir que una entidad de IAM edite la descripción del AWSServiceRoleForBatch rol vinculado a un servicio

Añada la siguiente instrucción a la política de permisos. Esto permite a una entidad de IAM editar la descripción del rol vinculado a servicio.

{
    "Effect": "Allow",
    "Action": [
        "iam:UpdateRoleDescription"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch",
    "Condition": {"StringLike": {"iam:AWSServiceName": "batch.amazonaws.com"}}
}

Eliminación de un rol vinculado a un servicio de AWS Batch

Si ya no necesita utilizar una característica o servicio que requiere un rol vinculado a un servicio, le recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Sin embargo, debe limpiar el rol vinculado a servicios antes de eliminarlo manualmente.

Para permitir que una entidad de IAM elimine el AWSServiceRoleForBatch rol vinculado a un servicio

Añada la siguiente instrucción a la política de permisos. Esto permite a una entidad de IAM eliminar un rol vinculado a un servicio.

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch",
    "Condition": {"StringLike": {"iam:AWSServiceName": "batch.amazonaws.com"}}
}

Saneamiento de un rol vinculado a servicios

Antes de poder usar IAM para eliminar un rol vinculado a un servicio, primero debe confirmar que el rol no tiene ninguna sesión activa y eliminar todas las AWS Batch entornos informáticos que utilizan el rol en todos AWS Regiones en una sola partición.

Para comprobar si el rol vinculado a servicio tiene una sesión activa

  1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación, elija Funciones y luego el AWSServiceRoleForBatch nombre (no la casilla de verificación).

  3. En la página Summary, elija Access Advisor y revise la actividad reciente del rol vinculado a servicio.

    nota

    Si no sabe si AWS Batch está usando el AWSServiceRoleForBatch rol, puede intentar eliminar el rol. Si el servicio está utilizando el rol, este no podrá eliminarse. Puede ver las regiones en las que se está utilizando el rol. Si el rol se está utilizando, debe esperar que la sesión finalice para poder eliminarlo. No se puede revocar la sesión de un rol vinculado a un servicio.

Para eliminar AWS Batch recursos utilizados por el AWSServiceRoleForBatch rol vinculado al servicio

Debe eliminar todo AWS Batch entornos informáticos que utilizan el AWSServiceRoleForBatch rol en todos AWS Regiones antes de poder eliminar el AWSServiceRoleForBatch rol.

  1. Abre el AWS Batch consola en https://console.aws.amazon.com/batch/.

  2. En la barra de navegación, seleccione la región a utilizar.

  3. En el panel de navegación, elija Entornos de computación.

  4. Seleccione el entorno de computación.

  5. Elija Deshabilitar. Espere a que Estado cambie a DESHABILITADO.

  6. Seleccione el entorno de computación.

  7. Elija Eliminar. Confirme que desea eliminar el entorno de computación mediante la elección de Eliminar entorno de computación.

  8. Repita los pasos 1 a 7 para todos los entornos de computación que utilizan la función vinculada al servicio en todas las regiones.

Eliminación de un rol vinculado a un servicio en IAM (Consola)

Puede utilizar la consola de IAM para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (consola)

  1. Inicia sesión en el Consola de administración de AWS y abre la consola de IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación de la consola de IAM, elija Roles. A continuación, seleccione la casilla de verificación situada junto a AWSServiceRoleForBatch, no el nombre o la fila en sí.

  3. Elija Eliminar rol.

  4. En el cuadro de diálogo de confirmación, revise los datos del último acceso al servicio, que muestra cuándo cada uno de los roles seleccionados tuvo acceso a un Servicio de AWS por última vez. Esto lo ayuda a confirmar si el rol está actualmente activo. Si desea continuar, seleccione Yes, Delete para enviar la solicitud de eliminación del rol vinculado al servicio.

  5. Consulte las notificaciones de la consola de IAM para monitorear el progreso de la eliminación del rol vinculado al servicio. Como el proceso de eliminación del rol vinculado al servicio de IAM es asíncrono, dicha tarea puede realizarse correctamente o fallar después de que envía la solicitud de eliminación.

    • Si la tarea se realiza correctamente, el rol se elimina de la lista y aparece una notificación informando de ello en la parte superior de la página.

    • Si la tarea no se realiza correctamente, puede seleccionar View details (Ver detalles) o View Resources (Ver recursos) desde las notificaciones para obtener información sobre el motivo por el que no se pudo eliminar el rol. Si la eliminación no pudo producirse porque el rol está utilizando los recursos del servicio, la notificación incluye una lista de dichos recursos si el servicio proporciona dicha información. Tras conocer esa información, podrá limpiar los recursos y volver a enviar la solicitud de eliminación.

      nota

      Es posible que tenga que repetir este proceso varias veces, en función de la información que devuelva el servicio. Por ejemplo, el rol vinculado al servicio podría estar utilizando seis recursos y el servicio podría estar devolviendo información solo acerca de cinco de ellos. Si limpia los cinco recursos y envía la solicitud de eliminación del rol de nuevo, se producirá un error y el servicio informará del recurso restante. Un servicio podría informar de todos los recursos, algunos o ninguno.

    • Si se produce un error en la tarea y la notificación no incluye una lista de los recursos, el servicio no podría no devolver dicha información. Para obtener información acerca de cómo limpiar los recursos de ese servicio, consulte Servicios de AWS que funcionan con IAM. Identifique su servicio en la tabla y haga clic en el enlace Yes (Sí) para consultar la documentación relacionada con los roles vinculados a dicho servicio.

Eliminar un rol vinculado a un servicio en IAM (AWS CLI)

Puede usar los comandos de IAM desde AWS Command Line Interface para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (CLI)

  1. Como los roles vinculados a servicios no se pueden eliminar si están en uso o tienen recursos asociados, debe enviar una solicitud de eliminación. Esta solicitud puede denegarse si no se cumplen estas condiciones. Debe apuntar el valor deletion-task-id de la respuesta para comprobar el estado de la tarea de eliminación. Ingrese el siguiente comando para enviar una solicitud de eliminación de un rol vinculado a un servicio:

    $ aws iam delete-service-linked-role --role-name AWSServiceRoleForBatch

  2. Utilice el siguiente comando para comprobar el estado de la tarea de eliminación:

    $ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id

    El estado de la tarea de eliminación puede ser NOT_STARTED, IN_PROGRESS, SUCCEEDED o FAILED. Si ocurre un error durante la eliminación, la llamada devuelve el motivo del error para que pueda resolver el problema. Si la eliminación no pudo producirse porque el rol está utilizando los recursos del servicio, la notificación incluye una lista de dichos recursos si el servicio proporciona dicha información. Tras conocer esa información, podrá limpiar los recursos y volver a enviar la solicitud de eliminación.

    nota

    Es posible que tenga que repetir este proceso varias veces, en función de la información que devuelva el servicio. Por ejemplo, el rol vinculado al servicio podría estar utilizando seis recursos y el servicio podría estar devolviendo información solo acerca de cinco de ellos. Si limpia los cinco recursos y envía la solicitud de eliminación del rol de nuevo, se producirá un error y el servicio informará del recurso restante. Un servicio podría devolver todos los recursos, algunos de ellos. O bien, podría no reportar ningún recurso. Para obtener información acerca de cómo limpiar los recursos de un servicio que no está informando de ningún recurso, consulte los Servicios de AWS que funcionan con IAM. Identifique su servicio en la tabla y haga clic en el enlace Yes (Sí) para consultar la documentación relacionada con los roles vinculados a dicho servicio.

Eliminar un rol vinculado a un servicio en IAM (AWS API)

Puede utilizar la API de IAM para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (API)

  1. Para enviar una solicitud de eliminación de un rol vinculado a un servicio, llame a DeleteServiceLinkedRole. En la solicitud, especifique el AWSServiceRoleForBatch nombre del rol.

    Como los roles vinculados a servicios no se puede eliminar si están en uso o tienen recursos asociados, debe enviar una solicitud de eliminación. Esta solicitud puede denegarse si no se cumplen estas condiciones. Debe apuntar el valor DeletionTaskId de la respuesta para comprobar el estado de la tarea de eliminación.

  2. Para comprobar el estado de la tarea de eliminación, realice una llamada a GetServiceLinkedRoleDeletionStatus. En la solicitud, especifique el valor de DeletionTaskId.

    El estado de la tarea de eliminación puede ser NOT_STARTED, IN_PROGRESS, SUCCEEDED o FAILED. Si ocurre un error durante la eliminación, la llamada devuelve el motivo del error para que pueda resolver el problema. Si la eliminación no pudo producirse porque el rol está utilizando los recursos del servicio, la notificación incluye una lista de dichos recursos si el servicio proporciona dicha información. Tras conocer esa información, podrá limpiar los recursos y volver a enviar la solicitud de eliminación.

    nota

    Es posible que tenga que repetir este proceso varias veces, en función de la información que devuelva el servicio. Por ejemplo, el rol vinculado al servicio podría estar utilizando seis recursos y el servicio podría estar devolviendo información solo acerca de cinco de ellos. Si limpia los cinco recursos y envía la solicitud de eliminación del rol de nuevo, se producirá un error y el servicio informará del recurso restante. Un servicio podría informar de todos los recursos, algunos o ninguno. Para obtener información acerca de cómo limpiar los recursos de un servicio que no está informando de ningún recurso, consulte Servicios de AWS que funcionan con IAM. Identifique su servicio en la tabla y haga clic en el enlace Yes (Sí) para consultar la documentación relacionada con los roles vinculados a dicho servicio.

Regiones compatibles para AWS Batch roles vinculados a servicios

AWS Batch admite el uso de funciones vinculadas a servicios en todas las regiones en las que el servicio está disponible. Para obtener más información, consulte Puntos de enlace de AWS Batch.