服务关联角色

什么是服务关联角色

服务关联角色（Service Linked Role，简称SLR）是阿里云为实现跨服务访问而预设的一种RAM角色，具有以下特点：

• 与特定云服务绑定：SLR是一种特殊的RAM角色，与特定的阿里云服务绑定。

• 仅限绑定服务扮演：SLR只能由其绑定的阿里云服务扮演，其他身份无法使用。

• 阿里云预定义：角色本身、所包含的权限、角色信任策略（规定了可扮演该角色的云服务），均由阿里云产品预定义。

• 免维护：用户无需手动配置和维护SLR。

工作原理

下面以配置审计（Config）服务为例，为您解释服务关联角色的工作原理：

1. 阿里云预定义服务关联角色：阿里云为配置审计服务预定义了服务关联角色（如AliyunServiceRoleForConfig），该角色包含：

   • 信任策略：仅允许config.aliyuncs.com扮演该角色，确保只有配置审计服务可以使用。

   • 权限策略：授予读取 ECS、RDS等云服务资源信息的权限。

2. 配置审计服务扮演角色：当配置审计服务需要读取您的云资源信息以生成合规性报表时，它会扮演其服务关联角色，获取临时安全凭证。

3. 以角色身份访问其他云服务：配置审计服务使用服务关联角色的身份和权限，安全地访问 ECS、RDS等其他云服务，读取资源列表和资源配置等信息。

4. 完成业务功能：配置审计服务获取到所需的云资源信息后，生成合规性报表，完成其核心业务功能。

通过这种方式，配置审计服务无需您手动配置复杂的权限策略，即可安全、便捷地实现跨服务访问。

管理服务关联角色所需的权限

RAM 用户创建或删除服务关联角色时，必须具备相应权限。这些权限通常已包含在SLR对应云服务的管理员权限策略（例如AliyunResourceDirectoryFullAccess）中。RAM用户如果具有该云服务的管理员权限，通常也可以为该云服务创建SLR。

您也可以配置自定义策略来为RAM用户授予仅针对特定服务的SLR管理权限。如以下自定义权限策略示例，允许RAM用户为资源管理（Resource Management）服务创建和删除服务关联角色。其中，ram:ServiceName的取值可以从支持服务关联角色的云服务的云服务标识列获取。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
      }
    }
  ]
}

创建服务关联角色

• 云服务创建：多数情况下，云服务将在您执行某些特定操作（例如：创建一个云资源或开启一个功能）时自动创建服务关联角色，或在提示管理员并获得授权后以管理员身份创建。关于自动创建服务关联角色的详情，请参见对应云服务的文档说明：支持服务关联角色的云服务。

• 手动创建：您也可以手动创建服务关联角色，具体操作，请参见创建服务关联角色。

删除服务关联角色

• 云服务删除：云服务将在您执行某些特定操作（例如：删除所有资源或关闭一个功能）时自动删除已创建的服务关联角色。

• 手动删除：您也可以手动删除服务关联角色，具体操作，请参见删除RAM角色。手动删除前RAM会先检查这个角色是否仍被云资源使用：

  • 如果该角色未被使用，删除操作将成功完成。

  • 如果该角色仍在使用中，删除操作将失败。您可以根据提示信息查看哪些云资源正在使用该角色，手动清理这些资源后再执行删除操作。不同云服务对服务关联角色的删除条件有所差异，具体请参见支持服务关联角色的云服务中对应云服务的文档说明。

扮演服务关联角色

服务关联角色仅可被关联的云服务扮演，其他身份（例如：RAM用户、其他RAM角色）都无法扮演该角色。

监控服务关联角色的创建与使用

您可以通过操作审计（ActionTrail）对服务关联角色的生命周期和使用情况进行审计。

• 使用事件名称进行查询：

  • CreateServiceLinkedRole：查询创建服务关联角色相关事件。

  • DeleteServiceLinkedRole：查询删除服务关联角色相关事件。

  • AssumeRole：查询云服务扮演服务关联角色相关事件。事件详情中的userIdentity部分将包含云服务名称，requestParameters部分将包含所扮演的服务关联角色Arn。例如：

    {
      ...
      "requestParameters": {
        ...
        "RoleArn": "acs:ram::ACCOUNT_ID:role/aliyunservicerolefortag",
        "RoleSessionName": "tag_operate",
      },
      ...
      "userIdentity": {
        ...
        "principalId": "tag.aliyuncs.com",
        "userName": "tag.aliyuncs.com"
      },
      "eventName": "AssumeRole"
    }
    

• 使用事件类型进行查询：

  将事件类型设置为云服务事件（AliyunServiceEvent），并筛选操作者名称为具体的服务关联角色名称，可查询该服务关联角色所执行的操作。

常见问题