Rôles et politiques

Le tableau suivant décrit les rôles et stratégies IAM créés par le modèle CloudFormation :

Tableau 1. Rôles IAM

Rôle	Actions
CopyRole Ce rôle est utilisé pour copier des objets entre les compartiments S3. Il s’agit d’une copie du référentiel AWS https://github.com/aws-quickstart/lambda-copiezips initialement utilisé pour AWS QuickStart. Fichier : copy-zips.template.yaml	s3:GetObject s3:PutObject s3:DeleteObject
ACMCertificateRole Ce rôle a pour objectif de créer et de vérifier un certificat ACM à l’aide de la validation DNS et de Route 53. Il s’agit d’une copie du référentiel AWS https://github.com/aws-quickstart/quickstart-aws-acm-certificate utilisé pour AWS QuickStart. Fichier : quickstart-aws-acm-certificate.template.yml	acm:RequestCertificate acm:DescribeCertificate acm:DeleteCertificate route53:ChangeResourceRecordSets
VPCFlowLogsRole Ce rôle sert de valeur pour le paramètre DeliverLogsPermissionArn dans le type de ressource AWS::EC2::FlowLog. Il s’agit d’une copie du référentiel QuickStart https://github.com/aws-quickstart/quickstart-aws-vPC . Fichier : aws-vpc.template.yaml	logs:CreateLogStream logs:PutLogEvents logs:DescribeLogGroups logs:DescribeLogStreams
AutomationAssumeRole Ce rôle est utilisé pour divers documents SSM (AWS::SSM::Document) et se caractérise par les objectifs suivants : AgentRemoveInstanceDocument : supprimer l’instance d’agent du cluster ; ServerRemoveInstanceDocument : supprimer l’instance de serveur du cluster ; RegisterAiCenter : enregistrer le service AI Center sur Orchestrator ; OnDemandBackup : créer un instantané du cluster Automation Suite ; OnDemandRestoreDocument : restaurer le cluster Automation Suite à partir d’un instantané spécifique ; GetBackupList : obtenir la liste des instantanés disponibles pour le cluster Automation Suite ; UpdateAMIDocument : mettre à jour l’AMI pour les groupes de mise à l’échelle. Remarque : AutomationAssumeRole donne l’accès complet à Amazon SSN. Pour plus d’informations, consultez AccèsCompletAmazonSSM (AmazonSSMFullAccess). Fichier : ec2-management.template.yaml	autoscaling:CompleteLifecycleAction autoscaling:RecordLifecycleActionHeartbeat autoscaling:UpdateAutoScalingGroup ssm:SendCommand autoscaling:DescribeAutoScalingGroups ssm:PutParameter ssm:GetParameter logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup ec2:DescribeImages ec2:DescribeLaunchTemplates ec2:DescribeLaunchTemplateVersions iam:PassRole ec2:CreateLaunchTemplateVersion ec2:RunInstances states:StartExecution states:DescribeExecution
StateMachinesAssumeRole Ce rôle est utilisé pour la ressource OnDemandRestoreStateMachine (AWS::StepFunctions::StateMachine). Cette ressource est utilisée pour l’opération de restauration. Remarque : StateMachinesAssumeRole donne l’accès complet à Amazon SSN. Pour plus d’informations, consultez AccèsCompletAmazonSSM (AmazonSSMFullAccess). Fichier : ec2-management.template.yaml	Utilise la stratégie gérée AmazonSSMFullAccess.
EventsBridgeAssumeRole Ce rôle est utilisé pour les règles d’événement suivantes (AWS::Events::Rule) : AsRobotsTerminateEventRule AgentTerminateEventRule ServerTerminateEventRule Les règles sont relatives à l’action de terminaison du cycle de vie. Fichier : ec2-management.template.yaml	ssm:StartautomationExecution iam:PassRole
ObjectStorageBucketsCleanupLambdaRole Ce rôle est utilisé pour la fonction lambda ObjectStorageBucketsCleanupFunction et fournit un utilitaire pour le stockage d’objets. Fichier : external-storage.template.yaml	s3:GetAccelerateConfiguration s3:GetBucketLocation s3:GetBucketVersioning s3:ListBucket s3:ListBucketVersions s3:ListBucketMultipartUploads s3:DeleteObject s3:DeleteObjectVersion logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
ServiceFabricIamRole Ce rôle est référencé dans les ressources suivantes : ServiceFabricInstanceProfile (AWS::IAM::InstanceProfile) Les politiques suivantes (AWS::IAM::Policy) : LogsAccessPolicy, LifecycleHookActionsPolicy, Ec2QueryPolicy, QuickstartS3IAMPolicy, InputJsonSecretPolicy, KubeconfigSecretPolicy, InstallerDownloadUrlParameterPolicy, ExternalStorageAccessPolicy. Fichier : uipath-sf.template.yaml	Utilise la stratégie gérée AmazonSSMManagedInstanceCore.
AsgProcessModificationRole Ce rôle est utilisé pour modifier les processus ASG lors de la création de la pile CF. Fichier : uipath-sf.template.yaml	autoscaling:ResumeProcesses autoscaling:SuspendProcesses logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents
FindAmiLambdaRole Ce rôle est utilisé par la fonction lambda FindAMIFunction. Fichier : uipath-sf.template.yaml	ec2:DescribeImages logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
CreateInputJsonLambdaRole Ce rôle est utilisé par la fonction lambda CreateInputJsonFunction. Cette fonction crée le fichier de configuration pour l’installation Automation Suite. Fichier : uipath-sf.template.yaml	secretsmanager:GetSecretValue secretsmanager:PutSecretValue autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
ComputeResourceSizeLambdaRole Ce rôle est utilisé par la fonction lambda ComputeResourceSizeFunction. La fonction vérifie si l’entrée pour les ressources respecte les exigences matérielles. Fichier : uipath-sf.template.yaml	autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances ec2:DescribeInstances ec2:DescribeInstanceTypeOfferings ec2:DescribeInstanceTypes ec2:DescribeImages ec2:RunInstances ec2:CreateTags cloudformation:DescribeStacks logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments

Tableau 2. Politiques IAM

Policy	Actions
LogsAccessPolicy Politique d’accès aux journaux.	logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup cloudwatch:PutMetricData xray:PutTraceSegments
LifecycleHookActionsPolicy Politique d’accès au hook du cycle de vie.	autoscaling:CompleteLifecycleAction
Ec2QueryPolicy Politique d’accès à EC2 et ASG.	ec2:DescribeVolumes ec2:DescribeTags ec2:DescribeInstances autoscaling:DescribeAutoScalingInstances autoscaling:DescribeAutoScalingGroups ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
QuickstartS3IAMPolicy Politique d’accès au compartiment QS S3.	s3:GetObject
InputJsonSecretPolicy Politique d’autorisation d’accès au gestionnaire des clés secrètes.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
KubeconfigSecretPolicy Politique d’autorisation d’accès au gestionnaire des clés secrètes.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
InstallerDownloadUrlParameterPolicy Politique d’autorisation d’accès aux paramètres SSM.	ssm:GetParameter
ExternalStorageAccessPolicy Politique d’autorisation d’accès au stockage externe.	s3:GetBucketAcl s3:GetBucketCORS s3:GetBucketLocation s3:GetBucketNotification s3:GetBucketPolicy s3:PutBucketPolicy s3:DeleteBucketPolicy s3:GetBucketVersioning s3:ListBucket s3:ListBucketMultipartUploads s3:PutBucketAcl s3:PutBucketCORS s3:*Object s3:*ObjectAcl s3:*ObjectAttributes s3:*ObjectVersion s3:*ObjectVersionTagging s3:AbortMultipartUpload s3:ListMultipartUploadParts s3:ListAllMyBuckets