Rôles et politiques

Référence pour les rôles et stratégies IAM créés par le modèle CloudFormation pour Automation Suite sur AWS Marketplace.

Le tableau suivant décrit les rôles et stratégies IAM créés par le modèle CloudFormation :

Tableau 1. Rôles IAM

Rôle	Actions
CopyRole Ce rôle est utilisé pour copier des objets entre les compartiments S3. Il s’agit d’une copie du référentiel AWS https://github.com/aws-quickstart/lambda-copiezips initialement utilisé pour AWS QuickStart. .csv : copy-zips.template.yaml	s3:GetObject s3:PutObject s3:DeleteObject
ACMCertificateRole Ce rôle a pour objectif de créer et de vérifier un certificat ACM à l’aide de la validation DNS et de Route 53. Il s’agit d’une copie du référentiel AWS https://github.com/aws-quickstart/quickstart-aws-acm-certificate utilisé pour AWS QuickStart. .csv : quickstart-aws-acm-certificate.template.yml	acm:RequestCertificate acm:DescribeCertificate acm:DeleteCertificate route53:ChangeResourceRecordSets
VPCFlowLogsRole Ce rôle sert de valeur pour le paramètre DeliverLogsPermissionArn dans le type de ressource AWS::EC2::FlowLog . Il s’agit d’une copie du référentiel QuickStart https://github.com/aws-quickstart/quickstart-aws-vPC référentiel QuickStart. Fichier : aws-vpc.template.yaml	logs:CreateLogStream logs:PutLogEvents logs:DescribeLogGroups logs:DescribeLogStreams
AutomationAssumeRole Ce rôle est utilisé pour divers documents SSM (AWS::SSM::Document) et se caractérise par les objectifs suivants : AgentRemoveInstanceDocument : supprimer l’instance d’agent du cluster ; ServerRemoveInstanceDocument : supprimer l’instance de serveur du cluster ; RegisterAiCenter : enregistrer le service AI Center sur Orchestrator ; OnDemandBackup : créer un instantané du cluster Automation Suite ; OnDemandRestoreDocument : restaurer le cluster Automation Suite à partir d’un instantané spécifique ; GetBackupList : obtenir la liste des instantanés disponibles pour le cluster Automation Suite ; UpdateAMIDocument : mettre à jour l’AMI pour les groupes de mise à l’échelle. AutomationAssumeRole donne l’accès complet à Amazon SSN. Pour plus de détails, consultez la section AmazonSFullSMAccess . Fichier : ec2-management.template.yaml	autoscaling:CompleteLifecycleAction autoscaling:RecordLifecycleActionHeartbeat autoscaling:UpdateAutoScalingGroup ssm:SendCommand autoscaling:DescribeAutoScalingGroups ssm:PutParameter ssm:GetParameter logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup ec2:DescribeImages ec2:DescribeLaunchTemplates ec2:DescribeLaunchTemplateVersions iam:PassRole ec2:CreateLaunchTemplateVersion ec2:RunInstances states:StartExecution states:DescribeExecution
StateMachinesAssumeRole Ce rôle est utilisé pour la ressource OnDemandRestoreStateMachine ( AWS::StepFunctions::StateMachine ). Cette ressource est utilisée pour l’opération de restauration. StateMachinesAssumeRole donne l’accès complet à Amazon SSN. Pour plus de détails, consultez la section AmazonSFullSMAccess . Fichier : ec2-management.template.yaml	Utilise la stratégie gérée AmazonSSMFullAccess.
EventsBridgeAssumeRole Ce rôle est utilisé pour les règles d’événement suivantes (AWS::Events::Rule) : AsRobotsTerminateEventRule AgentTerminateEventRule ServerTerminateEventRule Les règles sont relatives à l’action de terminaison du cycle de vie. Fichier : ec2-management.template.yaml	ssm:StartautomationExecution iam:PassRole
ObjectStorageBucketsCleanupLambdaRole Ce rôle est utilisé pour la fonction lambda ObjectStorageBucketsCleanupFunction et fournit un utilitaire pour le stockage d’objets. Fichier : external-storage.template.yaml	s3:GetAccelerateConfiguration s3:GetBucketLocation s3:GetBucketVersioning s3:ListBucket s3:ListBucketVersions s3:ListBucketMultipartUploads s3:DeleteObject s3:DeleteObjectVersion logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
ServiceFabricIamRole Ce rôle est référencé dans les ressources suivantes : ServiceFabricInstanceProfile (AWS::IAM::InstanceProfile) Les politiques suivantes (AWS::IAM::Policy) : LogsAccessPolicy, LifecycleHookActionsPolicy, Ec2QueryPolicy, QuickstartS3IAMPolicy, InputJsonSecretPolicy, KubeconfigSecretPolicy, InstallerDownloadUrlParameterPolicy, ExternalStorageAccessPolicy. Fichier : uipath-sf.template.yaml	Utilise la stratégie gérée AmazonSSMManagedInstanceCore.
AsgProcessModificationRole Ce rôle est utilisé pour modifier les processus ASG lors de la création de la pile CF. Fichier : uipath-sf.template.yaml	autoscaling:ResumeProcesses autoscaling:SuspendProcesses logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents
FindAmiLambdaRole Ce rôle est utilisé par la fonction lambda FindAMIFunction. Fichier : uipath-sf.template.yaml	ec2:DescribeImages logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
CreateInputJsonLambdaRole Ce rôle est utilisé par la fonction lambda CreateInputJsonFunction. Cette fonction crée le fichier de configuration pour l’installation Automation Suite. Fichier : uipath-sf.template.yaml	secretsmanager:GetSecretValue secretsmanager:PutSecretValue autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
ComputeResourceSizeLambdaRole Ce rôle est utilisé par la fonction lambda ComputeResourceSizeFunction. La fonction vérifie si l’entrée pour les ressources respecte les exigences matérielles. Fichier : uipath-sf.template.yaml	autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances ec2:DescribeInstances ec2:DescribeInstanceTypeOfferings ec2:DescribeInstanceTypes ec2:DescribeImages ec2:RunInstances ec2:CreateTags cloudformation:DescribeStacks logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments

Tableau 2. Politiques IAM

Policy	Actions
LogsAccessPolicy Politique d’accès aux journaux.	logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup cloudwatch:PutMetricData xray:PutTraceSegments
LifecycleHookActionsPolicy Politique d’accès au hook du cycle de vie.	autoscaling:CompleteLifecycleAction
Ec2QueryPolicy Politique d’accès à EC2 et ASG.	ec2:DescribeVolumes ec2:DescribeTags ec2:DescribeInstances autoscaling:DescribeAutoScalingInstances autoscaling:DescribeAutoScalingGroups ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
QuickstartS3IAMPolicy Politique d’accès au compartiment QS S3.	s3:GetObject
InputJsonSecretPolicy Politique d’autorisation d’accès au gestionnaire des clés secrètes.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
KubeconfigSecretPolicy Politique d’autorisation d’accès au gestionnaire des clés secrètes.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
InstallerDownloadUrlParameterPolicy Politique d’autorisation d’accès aux paramètres SSM.	ssm:GetParameter
ExternalStorageAccessPolicy Politique d’autorisation d’accès au stockage externe.	s3:GetBucketAcl s3:GetBucketCORS s3:GetBucketLocation s3:GetBucketNotification s3:GetBucketPolicy s3:PutBucketPolicy s3:DeleteBucketPolicy s3:GetBucketVersioning s3:ListBucket s3:ListBucketMultipartUploads s3:PutBucketAcl s3:PutBucketCORS s3:*Object s3:*ObjectAcl s3:*ObjectAttributes s3:*ObjectVersion s3:*ObjectVersionTagging s3:AbortMultipartUpload s3:ListMultipartUploadParts s3:ListAllMyBuckets