AWS——我怎么知道什么在使用服务相关角色？答案

【问题标题】：AWS -- how can I tell what is using a service-linked role?AWS——我怎么知道什么在使用服务相关角色？
【发布时间】：2020-05-31 10:51:22
【问题描述】：

在我的 AWS 控制台（IAM -> 访问管理 -> 角色）中，我注意到所有角色列表中有一个服务相关角色。

我如何确定哪些 AWS 资源可以担任此服务相关角色。我之所以这么问，是因为我正在审核一个系统并试图了解其他地方可能正在使用哪些权限。有人（不知道是谁）出于某种原因创建了它。我想知道为什么。

我如何知道是什么在使用这个服务相关角色？

【问题讨论】：

标签： amazon-web-services amazon-iam

【解决方案1】：

服务相关角色是一个特定 AWS 服务使用的设计。在 IAM 服务的 AWS 管理控制台中，您可以单击一个角色并查看“摘要”。摘要包含一个 path 属性，如下所示：/aws-service-role/access-analyzer.amazonaws.com/。

在这个例子中你可以看到使用这个角色的服务叫做Access Analyzer。

您可以在文档中获取有关该特定服务的服务相关角色的信息。 [1]
导航到“安全、身份和合规服务”部分 -> 搜索“IAM 访问分析器”行，然后单击表的“服务相关角色”列中的链接是。链接的文档通常会告诉您 AWS 设置此特定服务链接角色的原因以及它包含哪些权限。

有关服务相关角色的一般信息由 IAM 文档“服务相关角色”[2] 和 IAM“故障排除”指南 [3] 提供。

如果您想知道您帐户中最后一次使用特定服务相关角色的时间，请使用访问分析器 [4]。

AWS 官方博客 [5] 目前有 3 篇关于服务相关角色主题的帖子。其中两个可能与您的问题有关：

博文“AWS 服务通过使用 AWS CloudTrail 代表您执行的操作更加透明 " [6] 详细介绍了如何监视角色执行的操作。我猜这也是@jellycsc 的回答所建议的过程。

摘自博文[6]：

在这篇博文中，我演示了如何查看 CloudTrail 日志，以便您可以更轻松地监控和审核代表您执行操作的 AWS 服务。首先，我将展示当您配置支持服务相关角色的 AWS 服务时，AWS 如何在您的账户中自动创建服务相关角色。接下来，我将展示您如何查看授予 AWS 服务权限以代表您执行操作的服务相关角色的策略。最后，我使用已配置的 AWS 服务来执行一项操作，并向您展示该操作在 CloudTrail 日志中的显示方式。
博文“当您不再需要 AWS 服务代表您执行操作时，现在使用 AWS IAM 删除服务相关角色”[7] 发表以下声明： p>

当您删除服务相关角色时，链接服务不再有权代表您执行操作。为确保您的 AWS 服务在您删除服务相关角色时继续按预期运行，IAM 会验证您不再拥有需要服务相关角色才能正常运行的资源。这可以防止您无意中撤销 AWS 服务管理现有 AWS 资源所需的权限，并帮助您将资源保持在一致状态。如果您的账户中有任何资源需要服务相关角色，您在尝试删除服务相关角色时会收到错误消息，并且服务相关角色将保留在您的账户中。如果您没有任何需要服务相关角色的资源，您可以删除服务相关角色，IAM 将从您的账户中移除服务相关角色。

参考文献

[1]https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html#admin_svcs
[2]https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role
[3]https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared
[4]https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_access-advisor.html?icmpid=docs_iam_console
[5]https://aws.amazon.com/de/blogs/security/tag/service-linked-roles/
[6]https://aws.amazon.com/de/blogs/security/get-greater-transparency-into-actions-aws-services-perform-on-your-behalf-by-using-aws-cloudtrail/
[7]https://aws.amazon.com/de/blogs/security/now-use-aws-iam-to-delete-a-service-linked-role-when-you-no-longer-require-an-aws-service-to-perform-actions-on-your-behalf/

【讨论】：

【解决方案2】：

使用 CloudTrail。这是doc。您可能想探索更多内容。

【讨论】：

谢谢。但是，您发送的那个链接并没有说明与服务相关的卷。