授予E-HPC Instant服务访问关联云资源的权限_弹性高性能计算(E-HPC)-阿里云帮助中心

使用E-HPC Instant计算服务时，必须创建相关的服务关联角色并进行授权。本文介绍E-HPC Instant计算服务相关的服务关联角色及其权限，以及如何创建、查看和删除服务关联角色。

服务关联角色介绍

服务关联角色SLR（Service-linked role）是一种可信实体为阿里云服务的RAM角色，旨在解决跨云服务的授权访问问题。更多信息，请参见服务关联角色。

使用E-HPC Instant计算服务时，系统提供的服务关联角色及其包含的系统权限策略如下：

服务关联角色名称	对应的系统权限策略	应用场景
AliyunServiceRoleForEHPCManagedNetwork	AliyunServiceRolePolicyForEHPCManagedNetwork	AliyunServiceRoleForEHPCManagedNetwork用于授权E-HPC访问关联云资源。通过AliyunServiceRoleForEHPCManagedNetwork，E-HPC可以获得云服务器ECS、容器镜像服务ACR、专有网络VPC、对象存储OSS等资源的访问权限。

RAM用户使用服务关联角色需要的权限

如果使用RAM用户创建或删除服务关联角色，必须使用阿里云账号为该RAM用户授权。

方式一：授予AliyunEHPCFullAccess权限策略，该权限策略包含了创建和删除AliyunServiceRoleForEHPC的权限。
方式二：在自定义权限策略的Action语句中为RAM用户添加以下权限：
- 创建服务关联角色：ram:CreateServiceLinkedRole
- 删除服务关联角色：ram:DeleteServiceLinkedRole

关于授权的详细操作，请参见创建和删除服务关联角色所需的权限。

创建服务关联角色

在您使用E-HPC即时计算服务前，您需要调用InitializeEHPC接口创建AliyunServiceRoleForEHPCManagedNetwork。调用时，ServiceName请设置为E-HPC Instant。

AliyunServiceRoleForEHPCManagedNetwork对应的系统权限策略为AliyunServiceRolePolicyForEHPCManagedNetwork，您无法添加、修改或删除权限。

展开查看AliyunServiceRolePolicyForEHPCManagedNetwork权限内容

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DeleteNetworkInterfacePermission",
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateSecurityGroup",
                "ecs:DescribeSecurityGroups",
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:ModifyImageSharePermission",
                "ecs:DescribeImages",
                "cr:PullRepository",
                "cr:GetAuthorizationToken",
                "cr:GetRepositoryLayers",
                "cr:GetRepositoryManifest",
                "cr:GetRepositoryTag",
                "cr:GetRepository",
                "cr:ListInstance",
                "cr:ListInstanceEndpoint",
                "vpc:DescribeVSwitches",
                "vpc:DescribeVpcs",
                "vpc:AllocateEipAddress",
                "vpc:DescribeEipAddresses",
                "vpc:ReleaseEipAddress",
                "vpc:AssociateEipAddress",
                "vpc:AssociateEipAddressBatch",
                "vpc:UnassociateEipAddress"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListObject*",
                "oss:GetObject",
                "oss:PutObject",
                "oss:DeleteObject",
                "oss:AbortMultipartUpload",
                "oss:ListMultipartUploads",
                "oss:ListParts"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "oss:BucketTag/Production": [
                        "E-HPC"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DeleteSecurityGroup",
                "ecs:RevokeSecurityGroup",
                "ecs:RevokeSecurityGroupEgress",
                "ecs:AuthorizeSecurityGroup",
                "ecs:AuthorizeSecurityGroupEgress"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "acs:ResourceTag/acs:ehpc:clusterId": [
                        "*"
                    ]
                }
            }
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "managed-network.ehpc.aliyuncs.com"
                }
            }
        }
    ]
}

查看服务关联角色

当服务关联角色创建成功后，您可以在RAM控制台的角色页面，通过搜索AliyunServiceRoleForEHPC查看角色详情。

基本信息
在角色详情页面的基本信息区域，查看角色基本信息，包括角色名称、创建时间、角色ARN和备注等。
权限策略
在角色详情页面的权限管理页签，单击权限策略名称，查看权限策略内容以及该角色可授权访问哪些云资源。
信任策略
在角色详情页的信任策略页签，查看信任策略内容。信任策略是描述RAM角色可信实体的策略，可信实体是指可以扮演RAM角色的实体用户身份。服务关联角色的可信实体为云服务，您可以通过信任策略中的Service字段查看。

关于如何查看服务关联角色的详细操作，请参见查看RAM角色。

删除服务关联角色

重要

删除服务关联角色后，依赖该角色的对应功能将无法正常使用，请谨慎删除。

当您长时间不使用E-HPC时，您可以在RAM控制台手动删除服务关联角色。具体操作，请参见删除RAM角色。

删除前，您需要满足以下条件：

确定不再需要使用该服务关联角色，例如不需要创建集群和管理集群相关的云资源。
已删除依赖该服务关联角色的E-HPC Instant的所有应用并停止作业。具体操作，请参见查看执行节点视图和停止作业。