# 使用角色管理器自动创建角色
<a name="id_roles_create_role-manager"></a>

许多 Amazon 服务依赖 IAM 角色代表您执行操作。IAM 角色管理器是一项可选的账户设置，可自动预置此类角色，因此您无需手动设置。角色管理器旨在帮助您开始使用 Amazon 服务进行构建，而无需额外的手动 IAM 配置。

角色管理器可在特定 Amazon 服务控制台中使用，相关列表请参阅本页的[支持角色管理器的 Amazon 服务控制台](#id_roles_create_role-manager_supported-services)。

## 角色管理器的工作原理
<a name="id_roles_create_role-manager_how-it-works"></a>

启用角色管理器后，它会在相关控制台工作流程中自动提供适合服务和资源的角色。受支持的服务控制台将提示角色管理器何时可用。无需执行其他操作即可接受角色管理器提供的角色。例如，在控制台中创建 Amazon Lambda 函数时，Lambda 默认使用角色管理器创建此函数的执行角色。要使用其他角色，请选择现有角色或手动创建新角色。

角色管理器的工作原理是应用角色模板，角色模板是对角色信任策略及其对特定服务和使用案例的权限的定义。如需了解有关各项服务所用模板的更多信息，请参阅[角色模板概述](id_roles_create_role-template.md)。针对已定义任务的模板只会授予该任务所需的操作权限。用于开放式工作（例如运行您自己的代码）的模板会授予对 Amazon API 的广泛访问权限，因此，您构建时无需自行授予对每项服务的访问权限。

由角色管理器创建的 IAM 角色与您自行创建的任何其他角色行为相同。您可以查看、编辑或删除这些角色。每个角色还会记录其来源角色模板，因此您可以识别由角色管理器创建的角色。AmazonCloudTrail 会在角色管理器创建角色时进行日志记录，以便您审计每个角色的创建时间和方式。角色管理器角色创建在 CloudTrail 中显示为 AcquireRole 事件。

## 先决条件
<a name="id_roles_create_role-manager_prereqs"></a>

启用角色管理器需要 `iam:PutAccountProperties` 和 `iam:CreateServiceLinkedRole` 权限。禁用角色管理器需要 `iam:PutAccountProperties` 权限。查看当前设置需要 `iam:GetAccountProperties` 权限。Amazon 托管式策略 `IAMFullAccess` 包含所有这些权限。有关角色管理器所需的所有权限，请参阅[管理对角色管理器的访问权限](id_roles_create_role-manager_enable-use.md)。

## 如何启用和禁用角色管理器
<a name="id_roles_create_role-manager_enable-disable"></a>

您可以使用 Amazon Web Services 管理控制台、Amazon CLI 或 Amazon API 启用或禁用角色管理器。角色管理器由账户级属性 `RoleManager/Enabled` 控制，此属性可通过 `PutAccountProperties` API 进行设置。`true` 值可启用角色管理器；`false` 值禁用角色管理器。

**注意**  
对于大多数 Amazon 账户，角色管理器默认处于禁用状态。但是，如果您使用全新的 Amazon 体验创建账户，则角色管理器默认处于启用状态，且在您激活高级功能之前无法禁用。有关更多信息，请参阅[激活高级 Amazon 功能](https://docs.amazonaws.cn/accounts/latest/reference/activate-advanced-features.html)。

### 启用或禁用角色管理器（控制台）
<a name="id_roles_create_role-manager_enable-disable_console"></a>

可以在 IAM 控制台的**账户设置**页面上启用或禁用角色管理器。此页面还会显示该账户是否启用角色管理器。

1. 登录到 Amazon Web Services 管理控制台并打开 IAM 控制台。

1. 在导航窗格中，选择 **Account settings**（账户设置）。

1. 在**角色管理器**部分，选择**启用**或**禁用**。

禁用角色管理器时，角色管理器创建的角色不会被删除。

### 启用或禁用角色管理器（Amazon CLI）
<a name="id_roles_create_role-manager_enable-disable_cli"></a>

将 `RoleManager/Enabled` 属性设置为 `true` 即可启用角色管理器，或设置为 `false` 禁用角色管理器。
+ 要启用角色管理器，请运行 `put-account-properties`：

  ```
  aws iam put-account-properties --properties RoleManager/Enabled=true
  ```
+ 要禁用角色管理器，请运行 `put-account-properties`：

  ```
  aws iam put-account-properties --properties RoleManager/Enabled=false
  ```
+ 要查看账户是否启用角色管理器，请运行 `get-account-properties`：

  ```
  aws iam get-account-properties
  ```

### 启用或禁用角色管理器（Amazon API）
<a name="id_roles_create_role-manager_enable-disable_api"></a>
+ 要启用或禁用角色管理器，请调用 [PutAccountProperties](https://docs.amazonaws.cn/IAM/latest/APIReference/API_PutAccountProperties.html)，并将 `RoleManager/Enabled` 属性设置为 `true` 或 `false`。
+ 要查看当前设置，请调用 [GetAccountProperties](https://docs.amazonaws.cn/IAM/latest/APIReference/API_GetAccountProperties.html)。

有关更多信息，请参阅《IAM API 参考》**中的 [PutAccountProperties](https://docs.amazonaws.cn/IAM/latest/APIReference/API_PutAccountProperties.html) 和 [GetAccountProperties](https://docs.amazonaws.cn/IAM/latest/APIReference/API_GetAccountProperties.html)。

## 支持角色管理器的 Amazon 服务控制台
<a name="id_roles_create_role-manager_supported-services"></a>

角色管理器支持以下 Amazon 服务控制台的角色创建：
+ Amazon Backup
+ Amazon CloudFormation
+ Amazon CloudWatch
+ Amazon EKS
+ Amazon Elastic Beanstalk
+ Amazon EventBridge
+ Amazon Glue
+ Amazon Lambda
+ Amazon RDS
+ Amazon SageMaker 融通式合作开发工作室
+ Amazon Secrets Manager
+ Amazon Step Functions

Amazon 将持续增加服务支持。如需了解有关各项服务所用的角色模板的更多信息，请参阅[角色模板概述](id_roles_create_role-template.md)。

## 相关信息
<a name="id_roles_create_role-manager_related"></a>
+ [管理对角色管理器的访问权限](id_roles_create_role-manager_enable-use.md)
+ [对自动创建的角色应用最低权限](id_roles_create_role-manager_least-privilege.md)
+ [角色模板概述](id_roles_create_role-template.md)