Uso de roles vinculados a servicio para crear canalizaciones de OpenSearch Ingestion - Amazon OpenSearch Service
PermisosCreación del rol vinculado a servicio para OpenSearch IngestionEdición del rol vinculado a servicio para OpenSearch IngestionEliminación del rol vinculado a un servicio para OpenSearch Ingestion

Uso de roles vinculados a servicio para crear canalizaciones de OpenSearch Ingestion

Amazon OpenSearch Ingestion utiliza roles vinculados al servicio de AWS Identity and Access Management (IAM). Un rol vinculado a servicios es un tipo único de rol de IAM que está vinculado directamente a OpenSearch Ingestion. OpenSearch Ingestion predefine los roles vinculados a servicios y estos incluyen todos los permisos que el servicio requiere para llamar a otros servicios de AWS en su nombre.

OpenSearch Ingestion usa el rol vinculado al servicio AWSServiceRoleForAmazonOpenSearchIngestionService, excepto cuando usa una VPC autogestionada; en este caso, usa el rol vinculado al servicio AWSServiceRoleForOpensearchIngestionSelfManagedVpce. La política adjunta proporciona los permisos necesarios para que el rol cree una nube privada virtual (VPC) entre su cuenta y OpenSearch Ingestion, y para publicar métricas de CloudWatch en su cuenta.

Permisos

El rol vinculado a servicios AWSServiceRoleForAmazonOpenSearchIngestionService confía en los siguientes servicios para asumir el rol:

  • osis.amazon.com

La política de permisos del rol denominada AmazonOpenSearchIngestionServiceRolePolicy permite que OpenSearch Ingestion realice las siguientes acciones en los recursos especificados:

  • Acción: cloudwatch:PutMetricData en cloudwatch:namespace": "AWS/OSIS"

  • Acción: ec2:CreateTags en arn:aws:ec2:*:*:network-interface/*

  • Acción: ec2:CreateVpcEndpoint en *

  • Acción: ec2:DeleteVpcEndpoints en *

  • Acción: ec2:DescribeSecurityGroups en *

  • Acción: ec2:DescribeSubnets en *

  • Acción: ec2:DescribeVpcEndpoints en *

  • Acción: ec2:ModifyVpcEndpoint en *

El rol vinculado a servicios AWSServiceRoleForOpensearchIngestionSelfManagedVpce confía en los siguientes servicios para asumir el rol:

  • self-managed-vpce.osis.amazon.com

La política de permisos del rol denominada OpenSearchIngestionSelfManagedVpcePolicy permite que OpenSearch Ingestion realice las siguientes acciones en los recursos especificados:

  • Acción: ec2:DescribeSubnets en *

  • Acción: ec2:DescribeSecurityGroups en *

  • Acción: ec2:DescribeVpcEndpoints en *

  • Acción: cloudwatch:PutMetricData en cloudwatch:namespace": "AWS/OSIS"

Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM.

Creación del rol vinculado a servicio para OpenSearch Ingestion

No necesita crear manualmente un rol vinculado a servicios. Cuando crea una canalización de OpenSearch Ingestion en la Consola de administración de AWS, la AWS CLI, o la API de AWS, OpenSearch Ingestion crea el rol vinculado al servicio por usted.

Si elimina este rol vinculado a servicios y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Al crear una canalización de OpenSearch Ingestion, OpenSearch Ingestion vuelve a crear el rol vinculado al servicio.

Edición del rol vinculado a servicio para OpenSearch Ingestion

OpenSearch Ingestion no le permite editar el rol vinculado a servicios de AWSServiceRoleForAmazonOpenSearchIngestionService. Después de crear un rol vinculado al servicio, no podrá cambiar el nombre del rol, ya que varias entidades podrían hacer referencia al rol. Sin embargo, sí puede editar la descripción del rol con IAM. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM.

Eliminación del rol vinculado a un servicio para OpenSearch Ingestion

Si ya no necesita usar una característica o servicio que requieran un rol vinculado a un servicio, le recomendamos que elimine dicho rol. De esta forma no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Sin embargo, debe limpiar los recursos de su rol vinculado al servicio antes de eliminarlo manualmente.

Saneamiento de un rol vinculado a servicios

Antes de que pueda utilizar IAM para eliminar un rol vinculado a servicios, primero debe eliminar los recursos que utiliza el rol.

nota

Si OpenSearch Ingestion está utilizando el rol cuando intente eliminar los recursos, entonces la eliminación podría fallar. En tal caso, espere unos minutos e intente de nuevo la operación.

Eliminación de los recursos de OpenSearch Ingestion utilizados por el rol AWSServiceRoleForAmazonOpenSearchIngestionService o AWSServiceRoleForOpensearchIngestionSelfManagedVpce

  1. Vaya a la consola de Amazon OpenSearch Service y elija Ingestion.

  2. Elimine todas las canalizaciones. Para obtener instrucciones, consulte Eliminación de canalizaciones de Amazon OpenSearch Ingestion.

Elimine el rol vinculado a servicio para OpenSearch Ingestion

Puede utilizar la consola de OpenSearch Ingestion para eliminar un rol vinculado a un servicio.

Para eliminar un rol vinculado a un servicio (consola)

  1. Desplácese hasta la consola de IAM.

  2. Elija Roles y busque el rol AWSServiceRoleForAmazonOpenSearchIngestionService o AWSServiceRoleForOpensearchIngestionSelfManagedVpce.

  3. Seleccione el rol y elija Eliminar.