Funções e políticas

A tabela a seguir descreve as funções e políticas do IAM que o modelo CloudFormation cria:

Tabela 1. Funções do IAM

Role	Ações
CopyRole Essa função é usada para copiar objetos entre buckets do S3. É uma cópia do https://github.com/aws-quickstart/lambda-copyzips Repositório da AWS usado inicialmente para o AWS QuickStart. Arquivo: copy-zips.template.yaml	s3:GetObject s3:PutObject s3:DeleteObject
ACMCertificateRole O objetivo dessa função é criar e verificar um certificado ACM usando a validação de DNS e o Route 53. É uma cópia do https://github.com/aws-quickstart/quickstart-aws-acm-certificate Repositório da AWS usado para o AWS QuickStart. Arquivo: quickstart-aws-acm-certificate.template.yml	acm:RequestCertificate acm:DescribeCertificate acm:DeleteCertificate route53:ChangeResourceRecordSets
VPCFlowLogsRole Essa função serve como o valor do parâmetro DeliverLogsPermissionArn no tipo de recurso AWS::EC2::FlowLog. É uma cópia do https://github.com/aws-quickstart/quickstart-aws-vpc Repositório do QuickStart. Arquivo: aws-vpc.template.yaml	logs:CreateLogStream logs:PutLogEvents logs:DescribeLogGroups logs:DescribeLogStreams
AutomationAssumeRole Essa função é usada para vários documentos SSM (AWS::SSM::Document), com os seguintes propósitos: AgentRemoveInstanceDocument: remover a instância do agente do cluster; ServerRemoveInstanceDocument: remover a instância do servidor do cluster; RegisterAiCenter: registrar o serviço do AI Center no Orchestrator; OnDemandBackup: criar um instantâneo do cluster do Automation Suite; OnDemandRestoreDocument: restaurar o cluster do Automation Suite a partir de um determinado instantâneo; GetBackupList: obter a lista de instantâneos disponíveis do cluster do Automation Suite; UpdateAMIDocument: atualizar o AMI para os grupos de escalonamento. Observação: AutomationAssumeRole permite acesso completo ao Amazon SSN. Para obter mais informações, consulte AmazonSSMFullAccess. Arquivo: ec2-management.template.yaml	autoscaling:CompleteLifecycleAction autoscaling:RecordLifecycleActionHeartbeat autoscaling:UpdateAutoScalingGroup ssm:SendCommand autoscaling:DescribeAutoScalingGroups ssm:PutParameter ssm:GetParameter logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup ec2:DescribeImages ec2:DescribeLaunchTemplates ec2:DescribeLaunchTemplateVersions iam:PassRole ec2:CreateLaunchTemplateVersion ec2:RunInstances states:StartExecution states:DescribeExecution
StateMachinesAssumeRole Essa função é usada para o recurso OnDemandRestoreStateMachine (AWS::StepFunctions::StateMachine). Esse recurso é usado para a operação de restauração. Observação: StateMachinesAssumeRole permite acesso completo ao Amazon SSN. Para obter mais informações, consulte AmazonSSMFullAccess. Arquivo: ec2-management.template.yaml	Usa a política gerenciada AmazonSSMFullAccess.
EventsBridgeAssumeRole Essa função é usada para as seguintes regras de evento (AWS::Events::Rule): AsRobotsTerminateEventRule AgentTerminateEventRule ServerTerminateEventRule As regras são para a ação de ciclo de vida de encerramento. Arquivo: ec2-management.template.yaml	ssm:StartautomationExecution iam:PassRole
ObjectStorageBucketsCleanupLambdaRole Essa função é utilizada para a função lambda ObjectStorageBucketsCleanupFunction e fornece utilidade para o armazenamento de objetos. Arquivo: external-storage.template.yaml	s3:GetAccelerateConfiguration s3:GetBucketLocation s3:GetBucketVersioning s3:ListBucket s3:ListBucketVersions s3:ListBucketMultipartUploads s3:DeleteObject s3:DeleteObjectVersion logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
ServiceFabricIamRole Essa função é referenciada nos seguintes recursos: ServiceFabricInstanceProfile (AWS::IAM::InstanceProfile) As seguintes políticas (AWS::IAM::Policy): LogsAccessPolicy, LifecycleHookActionsPolicy, Ec2QueryPolicy, QuickstartS3IAMPolicy, InputJsonSecretPolicy, KubeconfigSecretPolicy, InstallerDownloadUrlParameterPolicy, ExternalStorageAccessPolicy. Arquivo: uipath-sf.template.yaml	Usa a política gerenciada AmazonSSMManagedInstanceCore.
AsgProcessModificationRole Essa função é usada para modificar os processos ASG durante a criação da pilha de CF. Arquivo: uipath-sf.template.yaml	autoscaling:ResumeProcesses autoscaling:SuspendProcesses logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents
FindAmiLambdaRole Essa função é usada pela função lambda FindAMIFunction. Arquivo: uipath-sf.template.yaml	ec2:DescribeImages logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
CreateInputJsonLambdaRole Essa função é usada pela função lambda CreateInputJsonFunction. A função cria o arquivo de configuração para a instalação do Automation Suite. Arquivo: uipath-sf.template.yaml	secretsmanager:GetSecretValue secretsmanager:PutSecretValue autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
ComputeResourceSizeLambdaRole Essa função é usada pela função lambda ComputeResourceSizeFunction. A função valida que a entrada para recursos está de acordo com os requisitos de hardware. Arquivo: uipath-sf.template.yaml	autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances ec2:DescribeInstances ec2:DescribeInstanceTypeOfferings ec2:DescribeInstanceTypes ec2:DescribeImages ec2:RunInstances ec2:CreateTags cloudformation:DescribeStacks logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments

Tabela 2. Políticas do IAM

Policy	Ações
LogsAccessPolicy Política para acesso ao log.	logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup cloudwatch:PutMetricData xray:PutTraceSegments
LifecycleHookActionsPolicy Política para acesso ao hook do ciclo de vida.	autoscaling:CompleteLifecycleAction
Ec2QueryPolicy Política para acesso ao EC2 e ASG.	ec2:DescribeVolumes ec2:DescribeTags ec2:DescribeInstances autoscaling:DescribeAutoScalingInstances autoscaling:DescribeAutoScalingGroups ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
QuickstartS3IAMPolicy Política para obter acesso ao bucket do QS S3.	s3:GetObject
InputJsonSecretPolicy Política para permitir acesso ao gerenciador de segredos.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
KubeconfigSecretPolicy Política para permitir acesso ao gerenciador de segredos.	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
InstallerDownloadUrlParameterPolicy Política para permitir acesso aos parâmetros SSM.	ssm:GetParameter
ExternalStorageAccessPolicy Política para permitir acesso ao armazenamento externo.	s3:GetBucketAcl s3:GetBucketCORS s3:GetBucketLocation s3:GetBucketNotification s3:GetBucketPolicy s3:PutBucketPolicy s3:DeleteBucketPolicy s3:GetBucketVersioning s3:ListBucket s3:ListBucketMultipartUploads s3:PutBucketAcl s3:PutBucketCORS s3:*Object s3:*ObjectAcl s3:*ObjectAttributes s3:*ObjectVersion s3:*ObjectVersionTagging s3:AbortMultipartUpload s3:ListMultipartUploadParts s3:ListAllMyBuckets