Funções e políticas

A tabela a seguir descreve as funções e políticas do IAM que o modelo CloudFormation cria:

Tabela 1. Funções do IAM

Role	Ações
CopyRole This role is used to copy objects between S3 buckets. It is a copy of the https://github.com/aws-quickstart/lambda-copyzips AWS repository initially used for the AWS QuickStart. Arquivo: copy-zips.template.yaml	s3:GetObject s3:PutObject s3:DeleteObject
ACMCertificateRole The purpose of this role is to create and verify an ACM certificate using DNS validation and Route 53. It is a copy of the https://github.com/aws-quickstart/quickstart-aws-acm-certificate AWS repository used for the AWS QuickStart. Arquivo: quickstart-aws-acm-certificate.template.yml	acm:RequestCertificate acm:DescribeCertificate acm:DeleteCertificate route53:ChangeResourceRecordSets
VPCFlowLogsRole This role serves as the value of the DeliverLogsPermissionArn parameter in the AWS::EC2::FlowLog resource type. Is it a copy of the https://github.com/aws-quickstart/quickstart-aws-vpc QuickStart repository. Arquivo: aws-vpc.template.yaml	logs:CreateLogStream logs:PutLogEvents logs:DescribeLogGroups logs:DescribeLogStreams
AutomationAssumeRole Essa função é usada para vários documentos SSM (AWS::SSM::Document), com os seguintes propósitos: AgentRemoveInstanceDocument: remover a instância do agente do cluster; ServerRemoveInstanceDocument: remover a instância do servidor do cluster; RegisterAiCenter: registrar o serviço do AI Center no Orchestrator; OnDemandBackup: criar um instantâneo do cluster do Automation Suite; OnDemandRestoreDocument: restaurar o cluster do Automation Suite a partir de um determinado instantâneo; GetBackupList: obter a lista de instantâneos disponíveis do cluster do Automation Suite; UpdateAMIDocument: atualizar o AMI para os grupos de escalonamento. AutomationAssumeRole allows full access to Amazon SSN. For more information, see AmazonSSMFullAccess. Arquivo: ec2-management.template.yaml	autoscaling:CompleteLifecycleAction autoscaling:RecordLifecycleActionHeartbeat autoscaling:UpdateAutoScalingGroup ssm:SendCommand autoscaling:DescribeAutoScalingGroups ssm:PutParameter ssm:GetParameter logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup ec2:DescribeImages ec2:DescribeLaunchTemplates ec2:DescribeLaunchTemplateVersions iam:PassRole ec2:CreateLaunchTemplateVersion ec2:RunInstances states:StartExecution states:DescribeExecution
StateMachinesAssumeRole Essa função é usada para o recurso OnDemandRestoreStateMachine (AWS::StepFunctions::StateMachine). Esse recurso é usado para a operação de restauração. StateMachinesAssumeRole allows full access to Amazon SSN. For more information, see AmazonSSMFullAccess. Arquivo: ec2-management.template.yaml	Usa a política gerenciada AmazonSSMFullAccess.
EventsBridgeAssumeRole Essa função é usada para as seguintes regras de evento (AWS::Events::Rule): AsRobotsTerminateEventRule AgentTerminateEventRule ServerTerminateEventRule As regras são para a ação de ciclo de vida de encerramento. Arquivo: ec2-management.template.yaml	ssm:StartautomationExecution iam:PassRole
ObjectStorageBucketsCleanupLambdaRole Essa função é utilizada para a função lambda ObjectStorageBucketsCleanupFunction e fornece utilidade para o armazenamento de objetos. Arquivo: external-storage.template.yaml	s3:GetAccelerateConfiguration s3:GetBucketLocation s3:GetBucketVersioning s3:ListBucket s3:ListBucketVersions s3:ListBucketMultipartUploads s3:DeleteObject s3:DeleteObjectVersion logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
ServiceFabricIamRole Essa função é referenciada nos seguintes recursos: ServiceFabricInstanceProfile (AWS::IAM::InstanceProfile) As seguintes políticas (AWS::IAM::Policy): LogsAccessPolicy, LifecycleHookActionsPolicy, Ec2QueryPolicy, QuickstartS3IAMPolicy, InputJsonSecretPolicy, KubeconfigSecretPolicy, InstallerDownloadUrlParameterPolicy, ExternalStorageAccessPolicy. Arquivo: uipath-sf.template.yaml	Usa a política gerenciada AmazonSSMManagedInstanceCore.
AsgProcessModificationRole Essa função é usada para modificar os processos ASG durante a criação da pilha de CF. Arquivo: uipath-sf.template.yaml	autoscaling:ResumeProcesses autoscaling:SuspendProcesses logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents
FindAmiLambdaRole Essa função é usada pela função lambda FindAMIFunction. Arquivo: uipath-sf.template.yaml	ec2:DescribeImages logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
CreateInputJsonLambdaRole Essa função é usada pela função lambda CreateInputJsonFunction. A função cria o arquivo de configuração para a instalação do Automation Suite. Arquivo: uipath-sf.template.yaml	secretsmanager:GetSecretValue secretsmanager:PutSecretValue autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
ComputeResourceSizeLambdaRole Essa função é usada pela função lambda ComputeResourceSizeFunction. A função valida que a entrada para recursos está de acordo com os requisitos de hardware. Arquivo: uipath-sf.template.yaml	autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances ec2:DescribeInstances ec2:DescribeInstanceTypeOfferings ec2:DescribeInstanceTypes ec2:DescribeImages ec2:RunInstances ec2:CreateTags cloudformation:DescribeStacks logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments

Tabela 2. Políticas do IAM

Policy	Ações
LogsAccessPolicy Política para acesso ao log.	logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup cloudwatch:PutMetricData xray:PutTraceSegments
LifecycleHookActionsPolicy Política para acesso ao hook do ciclo de vida.	autoscaling:CompleteLifecycleAction
Ec2QueryPolicy Política para acesso ao EC2 e ASG.	ec2:DescribeVolumes ec2:DescribeTags ec2:DescribeInstances autoscaling:DescribeAutoScalingInstances autoscaling:DescribeAutoScalingGroups ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
QuickstartS3IAMPolicy Política para obter acesso ao bucket do QS S3.	s3:GetObject
InputJsonSecretPolicy Política para permitir acesso ao gerenciador de segredos.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
KubeconfigSecretPolicy Política para permitir acesso ao gerenciador de segredos.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
InstallerDownloadUrlParameterPolicy Política para permitir acesso aos parâmetros SSM.	ssm:GetParameter
ExternalStorageAccessPolicy Política para permitir acesso ao armazenamento externo.	s3:GetBucketAcl s3:GetBucketCORS s3:GetBucketLocation s3:GetBucketNotification s3:GetBucketPolicy s3:PutBucketPolicy s3:DeleteBucketPolicy s3:GetBucketVersioning s3:ListBucket s3:ListBucketMultipartUploads s3:PutBucketAcl s3:PutBucketCORS s3:*Object s3:*ObjectAcl s3:*ObjectAttributes s3:*ObjectVersion s3:*ObjectVersionTagging s3:AbortMultipartUpload s3:ListMultipartUploadParts s3:ListAllMyBuckets