服务关联角色

什么是服务关联角色

在某些场景下，一个云服务为了完成自身的某个功能，需要获取其他云服务的访问权限。例如：配置审计（Config）服务要读取您的云资源信息，以获取资源列表和变更历史，就需要获取ECS、RDS等产品的访问权限。阿里云提供了服务关联角色 SLR（Service Linked Role）来满足此类场景的需求。

服务关联角色是与某个云服务关联的角色。多数情况下，在您使用特定功能时，关联的云服务会自动创建或删除服务关联角色，不需要您主动创建或删除。通过服务关联角色可以更好地配置云服务正常操作所必须的权限，避免误操作带来的风险。

服务关联角色的权限策略由关联的云服务定义和使用，您不能修改或删除权限策略，也不能为服务关联角色添加或移除权限。

不支持服务关联角色的云服务，请使用普通服务角色获取其他云服务的访问权限。

创建服务关联角色

某些云服务将在您执行某些特定操作（例如：创建一个云资源或开启一个功能）时自动创建服务关联角色，您可以在RAM控制台的角色管理页面、API或CLI调用ListRoles的返回结果中查看自动创建的服务关联角色。

此外，您也可以主动创建服务关联角色，详情请参见创建服务关联角色。

删除服务关联角色

某些云服务将在您执行某些特定操作（例如：删除所有资源或关闭一个功能）时自动删除已创建的服务关联角色，但您也可以从控制台主动删除。关于主动删除服务关联角色，详情请参见删除RAM角色。

当您尝试删除一个服务关联角色时，RAM会先检查这个角色是否仍被云资源使用：

• 如果为否，您可以直接删除该服务关联角色。
• 如果为是，您暂不能删除该服务关联角色，但可以查看哪些云资源在使用该角色。您需要找到对应的云资源并手动清理这些云资源，然后再删除该服务关联角色。

创建和删除服务关联角色所需的权限

您需要拥有指定的权限，才能创建或删除服务关联角色。自动创建服务关联角色的场景也需要具备对应权限。

权限策略示例：允许为资源管理（Resource Management）创建和删除服务关联角色。

{
    "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
    ],
    "Resource": "*",
    "Effect": "Allow",
    "Condition": {
        "StringEquals": {
            "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
    }
}

使用服务关联角色

服务关联角色仅限关联的对应云服务使用，其他身份（例如：普通RAM用户、其他RAM角色）都无法扮演该角色。

您可以在已创建的服务关联角色的信任策略管理页签中，通过Service字段查看可以使用该角色的云服务。

支持服务关联角色的云服务