本文介绍消息队列RocketMQ版服务关联角色的背景信息、策略内容、注意事项和常见问题。

背景信息

服务关联角色是某个云服务在某些情况下,为了完成自身的某个功能,需要获取其他云服务的访问权限而提供的RAM角色。您在该云服务的控制台首次使用该功能时,系统会提示您完成服务关联角色的自动创建。更多关于服务关联角色的信息,请参见服务关联角色

消息队列RocketMQ版提供以下服务关联角色:
  • AliyunServiceRoleForOns:消息队列RocketMQ版通过扮演该RAM角色,可获得如下权限: 如果您在消息队列RocketMQ版控制台首次使用监控报警或Dashboard功能,系统会提示您完成AliyunServiceRoleForOns角色的自动创建。
  • AliyunServiceRoleForOnsMultisiteHA:消息队列RocketMQ版通过扮演该RAM角色,获取访问事件总线EventBridge的权限,以实现异地双活中消息同步相关功能。如果您在消息队列RocketMQ版控制台首次创建异地双活任务,系统会提示您完成AliyunServiceRoleForOnsMultisiteHA角色的自动创建。

策略内容

  • AliyunServiceRoleForOns
    服务关联角色AliyunServiceRoleForOns被授予的权限策略AliyunServiceRolePolicyForOns的策略内容如下:
    {
        "Version": "1",
        "Statement": [
            {
                "Action": [
                    "cms:DescribeMetricRuleList",
                    "cms:DescribeMetricList",
                    "cms:DescribeMetricData"
                ],
                "Resource": "*",
                "Effect": "Allow"
            },
            {
                "Action": [
                    "arms:OpenVCluster",
                    "arms:ListDashboards",
                    "arms:CheckServiceStatus"
                ],
                "Resource": "*",
                "Effect": "Allow"
            },
            {
                "Action": "ram:DeleteServiceLinkedRole",
                "Resource": "*",
                "Effect": "Allow",
                "Condition": {
                    "StringEquals": {
                        "ram:ServiceName": "ons.aliyuncs.com"
                    }
                }
            }
        ]
    }
  • AliyunServiceRoleForOnsMultisiteHA
    服务关联角色AliyunServiceRoleForOnsMultisiteHA被授予的权限策略AliyunServiceRolePolicyForOnsMultisiteHA的策略内容如下:
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "eventbridge:SaveAndStartEventStreaming",
            "eventbridge:GetEventStreaming",
            "eventbridge:DeleteEventStreaming",
            "eventbridge:ListEventStreamingMetrics",
            "eventbridge:ListEventStreamings"
          ],
          "Resource": "acs:eventbridge:*:*:eventstreaming/*"
        },
        {
          "Action": "ram:DeleteServiceLinkedRole",
          "Resource": "*",
          "Effect": "Allow",
          "Condition": {
            "StringEquals": {
              "ram:ServiceName": "multisite-ha.ons.aliyuncs.com"
            }
          }
        }
      ]
    }

注意事项

如果您删除了自动创建的服务关联角色,该服务关联角色相关的功能由于权限不足将无法再被使用,请谨慎操作。如需重新创建该服务关联角色并为其授权,请参见创建可信实体为阿里云服务的RAM角色为RAM角色授权

删除服务关联角色AliyunServiceRoleForOnsMultisiteHA时,请确保您的阿里云账号下无正在使用的异地多活组,否则无法删除。

删除服务关联角色的更多信息,请参见删除服务关联角色

常见问题

  • 为什么我的RAM用户无法自动创建消息队列RocketMQ版服务关联角色AliyunServiceRoleForOns?

    如果阿里云账号已经创建了服务关联角色,RAM用户就会继承该阿里云账号的服务关联角色。如果没有继承,请登录RAM控制台为其添加以下权限策略。

    {
        "Statement": [
            {
                "Action": [
                    "ram:CreateServiceLinkedRole"
                ],
                "Resource": "acs:ram:*:阿里云账号ID:role/*",
                "Effect": "Allow",
                "Condition": {
                  "StringEquals": {
                    "ram:ServiceName":  "ons.aliyuncs.com"    
                    }
                }
            }
        ],
        "Version": "1"
    }
    说明 请将阿里云账号ID替换为您实际的阿里云账号ID。
  • 为什么我的RAM用户无法自动创建消息队列RocketMQ版服务关联角色AliyunServiceRoleForOnsMultisiteHA?

    如果阿里云账号已经创建了服务关联角色,RAM用户就会继承该阿里云账号的服务关联角色。如果没有继承,请登录RAM控制台为其添加以下权限策略。

    {
        "Statement": [
            {
                "Action": [
                    "ram:CreateServiceLinkedRole"
                ],
                "Resource": "acs:ram:*:阿里云账号ID:role/*",
                "Effect": "Allow",
                "Condition": {
                  "StringEquals": {
                    "ram:ServiceName":  "multisite-ha.ons.aliyuncs.com"    
                    }
                }
            }
        ],
        "Version": "1"
    }
    说明 请将阿里云账号ID替换为您实际的阿里云账号ID。

如果您的RAM用户被授予该权限策略后,仍然无法自动创建服务关联角色,请为该RAM用户授予以下任一权限策略:

  • AliyunMQFullAccess
  • AliyunMQPubOnlyAccess
  • AliyunMQSubOnlyAccess

以上权限策略的更多信息,请参见系统策略