服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）
使用磁盤加密功能時，系統(tǒng)會自動創(chuàng)建一個無影云電腦服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）。本文為您介紹無影云電腦服務(wù)關(guān)聯(lián)角色的應(yīng)用場景、權(quán)限策略及其相關(guān)操作。
背景信息
服務(wù)關(guān)聯(lián)角色是與特定的云服務(wù)關(guān)聯(lián)的角色。多數(shù)情況下，在您使用特定功能時，關(guān)聯(lián)的云服務(wù)會自動創(chuàng)建或刪除服務(wù)關(guān)聯(lián)角色。通過服務(wù)關(guān)聯(lián)角色可以更好地配置云服務(wù)正常操作所必須的權(quán)限，避免誤操作帶來的風(fēng)險。更多關(guān)于服務(wù)關(guān)聯(lián)角色的信息，請參見服務(wù)關(guān)聯(lián)角色。
應(yīng)用場景
加密云電腦磁盤的過程中，無影云電腦需要訪問密鑰管理服務(wù)KMS的資源時，可以通過服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）獲取訪問權(quán)限。
權(quán)限說明
當(dāng)您首次使用無影云電腦的磁盤加密功能時，系統(tǒng)將自動創(chuàng)建一個服務(wù)關(guān)聯(lián)角色，并為其授予權(quán)限策略。具體信息如下：
角色名稱：AliyunServiceRoleForGwsDiskEncryption
權(quán)限策略：AliyunServiceRolePolicyForGwsDiskEncryption
權(quán)限說明：無影云電腦使用此角色來訪問您的密鑰管理服務(wù)KMS資源。
該權(quán)限策略包含的云服務(wù)訪問權(quán)限如下：
{
"Version": "1",
"Statement": [
{
"Action": [
"kms:ListKeys",
"kms:ListAliases",
"kms:ListResourceTags",
"kms:DescribeKey",
"kms:TagResource",
"kms:UntagResource"
],
"Resource": [
"acs:kms:*:*:*"
],
"Effect": "Allow"
},
{
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": [
"acs:kms:*:*:*"
],
"Effect": "Allow",
"Condition": {
"StringEqualsIgnoreCase": {
"kms:tag/acs:eds:instance-encryption": "true"
}
}
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "disk-encryption.gws.aliyuncs.com"
}
}
}
]
}刪除服務(wù)關(guān)聯(lián)角色
如果您需要刪除無影云電腦服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption），請先通過控制臺或者OpenAPI刪除依賴該服務(wù)關(guān)聯(lián)角色的無影云電腦資源，即刪除包含加密磁盤的云電腦。刪除包含加密磁盤的云電腦后，您可以刪除服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）。具體操作，請參見刪除RAM角色。
常見問題
為什么使用RAM用戶操作時，無法自動創(chuàng)建無影云電腦服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）？
RAM用戶（子賬號）需要擁有指定的權(quán)限（CreateServiceLinkedRole權(quán)限），才能自動創(chuàng)建或刪除服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）。因此，在RAM用戶無法自動創(chuàng)建服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForGwsDiskEncryption）時，您需要為其添加以下權(quán)限策略。
請將主賬號ID替換為您實際的阿里云賬號（主賬號）ID。
{
"Statement": [
{
"Action": [
"ram:CreateServiceLinkedRole"
],
"Resource": "acs:ram:*:主賬號ID:role/*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": [
"arms.aliyuncs.com"
]
}
}
}
],
"Version": "1"
}