背景信息

服務(wù)關(guān)聯(lián)角色是一種可信實(shí)體為阿里云服務(wù)的RAM角色。文件存儲(chǔ)NAS使用服務(wù)關(guān)聯(lián)角色獲取其他云服務(wù)或云資源的訪問(wèn)權(quán)限。

通常情況下，服務(wù)關(guān)聯(lián)角色是在您執(zhí)行某項(xiàng)操作時(shí)，由系統(tǒng)自動(dòng)創(chuàng)建。在自動(dòng)創(chuàng)建服務(wù)關(guān)聯(lián)角色失敗或文件存儲(chǔ)NAS不支持自動(dòng)創(chuàng)建時(shí)，您需要手動(dòng)創(chuàng)建服務(wù)關(guān)聯(lián)角色。

阿里云訪問(wèn)控制為每個(gè)服務(wù)關(guān)聯(lián)角色提供了一個(gè)系統(tǒng)權(quán)限策略，該策略不支持修改。如果您想了解該系統(tǒng)策略的具體內(nèi)容，可前往指定服務(wù)關(guān)聯(lián)角色的詳情頁(yè)面查看。

應(yīng)用場(chǎng)景

權(quán)限說(shuō)明

NAS服務(wù)關(guān)聯(lián)角色的權(quán)限內(nèi)容如下：

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "ecs:DescribeInstances" 
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}
 

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "vpc:DescribeVSwitchAttributes",
 "vpc:DescribeVpcs",
 "vpc:DescribeVSwitches"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Action": [
 "ecs:CreateSecurityGroup", 
 "ecs:DescribeSecurityGroups",
 "ecs:DescribeSecurityGroupAttribute",
 "ecs:DeleteSecurityGroup", 
 "ecs:AuthorizeSecurityGroup", 
 "ecs:CreateNetworkInterface", 
 "ecs:DeleteNetworkInterface",
 "ecs:DescribeNetworkInterfaces",
 "ecs:CreateNetworkInterfacePermission", 
 "ecs:DescribeNetworkInterfacePermissions",
 "ecs:DeleteNetworkInterfacePermission"
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}
 

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "kms:Listkeys", 
 "kms:Listaliases",
 "kms:ListResourceTags",
 "kms:DescribeKey", 
 "kms:TagResource", 
 "kms:UntagResource"
 ],
 "Resource": "acs:kms:*:*:*"
 },
 {
 "Effect": "Allow",
 "Action": [
 "kms:Encrypt",
 "kms:Decrypt",
 "kms:GenerateDataKey"
 ],
 "Resource": "acs:kms:*:*:*/*",
 "Condition": {
 "StringEqualsIgnoreCase": {
 "kms:tag/acs:nas:instance-encryption": "true"
 }
 }
 }
 ],
 "Version": "1"
}
 

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "log:PostLogStoreLogs"
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}
 

{
	"Version": "1",
	"Statement": [{
			"Action": [
				"hbr:OpenHbrService",
				"hbr:CreateTrialBackupPlan"
			],
			"Resource": "*",
			"Effect": "Allow"
		},
		{
			"Action": "ram:DeleteServiceLinkedRole",
			"Resource": "*",
			"Effect": "Allow",
			"Condition": {
				"StringEquals": {
					"ram:ServiceName": "backup.nas.aliyuncs.com"
				}
			}
		},
		{
			"Action": "ram:CreateServiceLinkedRole",
			"Resource": "*",
			"Effect": "Allow",
			"Condition": {
				"StringEquals": {
					"ram:ServiceName": "nasbackup.hbr.aliyuncs.com"
				}
			}
		}
	]
}
 

{
 "Version": "1",
 "Statement": [
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "ecs-handler.nas.aliyuncs.com"
 }
 }
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:InvokeCommand"
 ],
 "Resource": [
 "acs:ecs:*:*:instance/*",
 "acs:ecs:*:*:command/cmd-ACS-NAS-ClickMount-*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:DescribeInstances",
 "ecs:DescribeCloudAssistantStatus"
 ],
 "Resource": [
 "acs:ecs:*:*:instance/*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:DescribeInvocations",
 "ecs:DescribeInvocationResults"
 ],
 "Resource": [
 "*"
 ]
 }
 ]
}
 

RAM用戶使用服務(wù)關(guān)聯(lián)角色需要的權(quán)限

如果使用RAM用戶創(chuàng)建或刪除服務(wù)關(guān)聯(lián)角色，必須聯(lián)系管理員為該RAM用戶授予管理員權(quán)限（AliyunNASFullAccess）或在自定義權(quán)限策略的Action語(yǔ)句中為RAM用戶添加以下權(quán)限：

• 創(chuàng)建服務(wù)關(guān)聯(lián)角色：ram:CreateServiceLinkedRole

• 刪除服務(wù)關(guān)聯(lián)角色：ram:DeleteServiceLinkedRole

關(guān)于授權(quán)的詳細(xì)操作，請(qǐng)參見(jiàn)創(chuàng)建和刪除服務(wù)關(guān)聯(lián)角色所需的權(quán)限。

查看服務(wù)關(guān)聯(lián)角色

當(dāng)服務(wù)關(guān)聯(lián)角色創(chuàng)建成功后，您可以在RAM控制臺(tái)的角色頁(yè)面，通過(guò)搜索服務(wù)關(guān)聯(lián)角色名稱(chēng)（例如，AliyunServiceRoleForNasStandard）查看該服務(wù)關(guān)聯(lián)角色的以下信息：

• 基本信息

  在AliyunServiceRoleForNasStandard角色詳情頁(yè)面的基本信息區(qū)域，查看角色基本信息，包括角色名稱(chēng)、創(chuàng)建時(shí)間、角色ARN和備注等。

• 權(quán)限策略

  在AliyunServiceRoleForNasStandard角色詳情頁(yè)面的權(quán)限管理頁(yè)簽，單擊權(quán)限策略名稱(chēng)，查看權(quán)限策略?xún)?nèi)容以及該角色可授權(quán)訪問(wèn)哪些云資源。

• 信任策略

  在AliyunServiceRoleForNasStandard角色詳情頁(yè)的信任策略頁(yè)簽，查看信任策略?xún)?nèi)容。信任策略是描述RAM角色可信實(shí)體的策略，可信實(shí)體是指可以扮演RAM角色的實(shí)體用戶身份。服務(wù)關(guān)聯(lián)角色的可信實(shí)體為云服務(wù)，您可以通過(guò)信任策略中的Service字段查看。

關(guān)于如何查看服務(wù)關(guān)聯(lián)角色的詳細(xì)操作，請(qǐng)參見(jiàn)查看RAM角色。

刪除服務(wù)關(guān)聯(lián)角色

如果您暫時(shí)不需要使用NAS服務(wù)關(guān)聯(lián)角色，例如不需要?jiǎng)?chuàng)建用戶管理密鑰（KMS）加密的文件系統(tǒng)時(shí)，可以刪除NAS服務(wù)關(guān)聯(lián)角色。刪除時(shí)，請(qǐng)先刪除該角色關(guān)聯(lián)的文件系統(tǒng)實(shí)例。具體操作，請(qǐng)參見(jiàn)刪除文件系統(tǒng)和刪除服務(wù)關(guān)聯(lián)角色。

常見(jiàn)問(wèn)題

為什么我的RAM用戶無(wú)法自動(dòng)創(chuàng)建NAS服務(wù)關(guān)聯(lián)角色？

只有擁有指定權(quán)限的RAM用戶，才能自動(dòng)創(chuàng)建或刪除文件存儲(chǔ)NAS服務(wù)關(guān)聯(lián)角色。當(dāng)RAM用戶無(wú)法自動(dòng)創(chuàng)建文件存儲(chǔ)NAS服務(wù)關(guān)聯(lián)角色時(shí)，需要為RAM用戶添加以下權(quán)限策略。使用時(shí)請(qǐng)將主賬號(hào)ID替換為實(shí)際的阿里云賬號(hào)（主賬號(hào)）ID。具體操作，請(qǐng)參見(jiàn)創(chuàng)建自定義權(quán)限策略。

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:主賬號(hào)ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "standard.nas.aliyuncs.com",
                        "extreme.nas.aliyuncs.com",
                        "encryption.nas.aliyuncs.com",
                        "logdelivery.nas.aliyuncs.com",
                        "ecs-handler.nas.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}