本文介绍消息队列RocketMQ版服务关联角色的背景信息、策略内容、注意事项和常见问题。

背景信息

服务关联角色是某个云服务在某些情况下，为了完成自身的某个功能，需要获取其他云服务的访问权限而提供的RAM角色。您在该云服务的控制台首次使用该功能时，系统会提示您完成服务关联角色的自动创建。更多关于服务关联角色的信息，请参见服务关联角色。

消息队列RocketMQ版提供以下服务关联角色：
  • AliyunServiceRoleForOns：消息队列RocketMQ版通过扮演该RAM角色，可获得如下权限： 如果您在消息队列RocketMQ版控制台首次使用监控报警或Dashboard功能，系统会提示您完成AliyunServiceRoleForOns角色的自动创建。
  • AliyunServiceRoleForOnsMultisiteHA：消息队列RocketMQ版通过扮演该RAM角色，获取访问事件总线EventBridge的权限，以实现异地双活中消息同步相关功能。如果您在消息队列RocketMQ版控制台首次创建异地双活任务，系统会提示您完成AliyunServiceRoleForOnsMultisiteHA角色的自动创建。

策略内容

  • AliyunServiceRoleForOns
    服务关联角色AliyunServiceRoleForOns被授予的权限策略AliyunServiceRolePolicyForOns的策略内容如下：
    {
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cms:DescribeMetricRuleList",
                "cms:DescribeMetricList",
                "cms:DescribeMetricData"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "arms:OpenVCluster",
                "arms:ListDashboards",
                "arms:CheckServiceStatus"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "ons.aliyuncs.com"
                }
            }
        }
    ]
}
  • AliyunServiceRoleForOnsMultisiteHA
    服务关联角色AliyunServiceRoleForOnsMultisiteHA被授予的权限策略AliyunServiceRolePolicyForOnsMultisiteHA的策略内容如下：
    {
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "eventbridge:SaveAndStartEventStreaming",
        "eventbridge:GetEventStreaming",
        "eventbridge:DeleteEventStreaming",
        "eventbridge:ListEventStreamingMetrics",
        "eventbridge:ListEventStreamings"
      ],
      "Resource": "acs:eventbridge:*:*:eventstreaming/*"
    },
    {
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "multisite-ha.ons.aliyuncs.com"
        }
      }
    }
  ]
}

注意事项

如果您删除了自动创建的服务关联角色，该服务关联角色相关的功能由于权限不足将无法再被使用，请谨慎操作。如需重新创建该服务关联角色并为其授权，请参见创建可信实体为阿里云服务的RAM角色和为RAM角色授权。

删除服务关联角色AliyunServiceRoleForOnsMultisiteHA时，请确保您的阿里云账号下无正在使用的异地多活组，否则无法删除。

删除服务关联角色的更多信息，请参见删除服务关联角色。

常见问题

  • 为什么我的RAM用户无法自动创建消息队列RocketMQ版服务关联角色AliyunServiceRoleForOns？

    如果阿里云账号已经创建了服务关联角色，RAM用户就会继承该阿里云账号的服务关联角色。如果没有继承，请登录RAM控制台为其添加以下权限策略。 

    {
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:阿里云账号ID:role/*",
            "Effect": "Allow",
            "Condition": {
              "StringEquals": {
                "ram:ServiceName":  "ons.aliyuncs.com"    
                }
            }
        }
    ],
    "Version": "1"
}
    说明 请将阿里云账号ID替换为您实际的阿里云账号ID。
  • 为什么我的RAM用户无法自动创建消息队列RocketMQ版服务关联角色AliyunServiceRoleForOnsMultisiteHA？

    如果阿里云账号已经创建了服务关联角色，RAM用户就会继承该阿里云账号的服务关联角色。如果没有继承，请登录RAM控制台为其添加以下权限策略。 

    {
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:阿里云账号ID:role/*",
            "Effect": "Allow",
            "Condition": {
              "StringEquals": {
                "ram:ServiceName":  "multisite-ha.ons.aliyuncs.com"    
                }
            }
        }
    ],
    "Version": "1"
}
    说明 请将阿里云账号ID替换为您实际的阿里云账号ID。

如果您的RAM用户被授予该权限策略后，仍然无法自动创建服务关联角色，请为该RAM用户授予以下任一权限策略：

  • AliyunMQFullAccess
  • AliyunMQPubOnlyAccess
  • AliyunMQSubOnlyAccess

以上权限策略的更多信息，请参见系统策略。