服務(wù)關(guān)聯(lián)角色
可信云服務(wù)可以通過RAM角色扮演的方式訪問其他云服務(wù)的資源。可信實體為阿里云服務(wù)的RAM角色分為兩種：普通服務(wù)角色和服務(wù)關(guān)聯(lián)角色。本文主要介紹服務(wù)關(guān)聯(lián)角色。
什么是服務(wù)關(guān)聯(lián)角色
在某些場景下，一個云服務(wù)為了完成自身的某個功能，需要獲取其他云服務(wù)的訪問權(quán)限。例如：配置審計（Config）服務(wù)要讀取您的云資源信息，以獲取資源列表和變更歷史，就需要獲取ECS、RDS等產(chǎn)品的訪問權(quán)限。阿里云提供了服務(wù)關(guān)聯(lián)角色SLR（Service Linked Role）來滿足此類場景的需求。
服務(wù)關(guān)聯(lián)角色是一種可信實體為阿里云服務(wù)的RAM角色，旨在解決跨云服務(wù)的授權(quán)訪問問題。服務(wù)關(guān)聯(lián)角色是與某個云服務(wù)關(guān)聯(lián)的角色。多數(shù)情況下，在您使用特定功能時，關(guān)聯(lián)的云服務(wù)會自動創(chuàng)建或刪除服務(wù)關(guān)聯(lián)角色，不需要您主動創(chuàng)建或刪除。通過服務(wù)關(guān)聯(lián)角色可以更好地配置云服務(wù)正常操作所必需的權(quán)限，避免誤操作帶來的風(fēng)險。
服務(wù)關(guān)聯(lián)角色的權(quán)限策略由關(guān)聯(lián)的云服務(wù)定義和使用，您不能修改或刪除權(quán)限策略，也不能為服務(wù)關(guān)聯(lián)角色添加或移除權(quán)限。
創(chuàng)建服務(wù)關(guān)聯(lián)角色
某些云服務(wù)將在您執(zhí)行某些特定操作（例如：創(chuàng)建一個云資源或開啟一個功能）時自動創(chuàng)建服務(wù)關(guān)聯(lián)角色，您可以在RAM控制臺的角色管理頁面、API或CLI調(diào)用ListRoles的返回結(jié)果中查看自動創(chuàng)建的服務(wù)關(guān)聯(lián)角色。
此外，您也可以主動創(chuàng)建服務(wù)關(guān)聯(lián)角色。具體操作，請參見創(chuàng)建服務(wù)關(guān)聯(lián)角色。
服務(wù)關(guān)聯(lián)角色會占用您的RAM角色配額。當(dāng)RAM角色數(shù)量超限時，您仍然可以成功創(chuàng)建服務(wù)關(guān)聯(lián)角色，但無法創(chuàng)建其他類型的角色。
關(guān)于自動創(chuàng)建服務(wù)關(guān)聯(lián)角色的詳情，請參見對應(yīng)云服務(wù)的文檔說明。
刪除服務(wù)關(guān)聯(lián)角色
某些云服務(wù)將在您執(zhí)行某些特定操作（例如：刪除所有資源或關(guān)閉一個功能）時自動刪除已創(chuàng)建的服務(wù)關(guān)聯(lián)角色，但您也可以從控制臺主動刪除。關(guān)于主動刪除服務(wù)關(guān)聯(lián)角色，詳情請參見刪除RAM角色。
當(dāng)您嘗試刪除一個服務(wù)關(guān)聯(lián)角色時，RAM會先檢查這個角色是否仍被云資源使用：
如果為否，您可以成功刪除該服務(wù)關(guān)聯(lián)角色。
如果為是，您暫不能刪除該服務(wù)關(guān)聯(lián)角色，但可以根據(jù)刪除失敗的提示信息，查看哪些云資源在使用該角色。您需要找到對應(yīng)的云資源并手動清理這些云資源，然后再刪除該服務(wù)關(guān)聯(lián)角色。
關(guān)于刪除服務(wù)關(guān)聯(lián)角色的條件，請參見對應(yīng)云服務(wù)的文檔說明。
創(chuàng)建和刪除服務(wù)關(guān)聯(lián)角色所需的權(quán)限
通過RAM用戶創(chuàng)建或刪除服務(wù)關(guān)聯(lián)角色時，RAM用戶必須具備對應(yīng)權(quán)限。自動創(chuàng)建服務(wù)關(guān)聯(lián)角色的場景也需要具備對應(yīng)權(quán)限。
以下將提供一個自定義權(quán)限策略示例，允許RAM用戶為資源管理（Resource Management）創(chuàng)建和刪除服務(wù)關(guān)聯(lián)角色。其中，ram:ServiceName的取值可以從支持服務(wù)關(guān)聯(lián)角色的云服務(wù)的云服務(wù)標(biāo)識列獲取。
{
"Action": [
"ram:CreateServiceLinkedRole",
"ram:DeleteServiceLinkedRole"
],
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "resourcemanager.aliyuncs.com"
}
}
}創(chuàng)建服務(wù)關(guān)聯(lián)角色的權(quán)限通常包含在其對應(yīng)云服務(wù)的管理員權(quán)限策略（例如：AliyunESSFullAccess）中，因此RAM用戶如果具有該云服務(wù)的管理員權(quán)限，也可以為該云服務(wù)創(chuàng)建服務(wù)關(guān)聯(lián)角色。
使用服務(wù)關(guān)聯(lián)角色
服務(wù)關(guān)聯(lián)角色僅限關(guān)聯(lián)的對應(yīng)云服務(wù)使用，其他身份（例如：RAM用戶、其他RAM角色）都無法扮演該角色。
您可以在已創(chuàng)建的服務(wù)關(guān)聯(lián)角色的信任策略管理頁簽中，通過Service字段查看可以使用該角色的云服務(wù)。
支持服務(wù)關(guān)聯(lián)角色的云服務(wù)
支持服務(wù)關(guān)聯(lián)角色的云服務(wù)，請參見支持服務(wù)關(guān)聯(lián)角色的云服務(wù)。
不支持服務(wù)關(guān)聯(lián)角色的云服務(wù)，請使用普通服務(wù)角色獲取其他云服務(wù)的訪問權(quán)限。