服务关联角色

服务关联角色是一种可信实体为阿里云服务的RAM角色。混合云容灾服务使用服务关联角色获取其他云服务或云资源的访问权限。

通常情况下，服务关联角色是在您执行某项操作时，由系统自动创建。在自动创建服务关联角色失败或混合云容灾服务不支持自动创建时，您需要手动创建服务关联角色。

阿里云访问控制为每个服务关联角色提供了一个系统权限策略，该策略不支持修改。如果您想了解该系统策略的具体内容，可前往指定服务关联角色的详情页面查看。详情请参见AliyunHDRFullAccess。

应用场景

混合云容灾服务会在以下场景中，为您自动创建服务关联角色AliyunServiceRoleForHdr：

• 在混合云容灾场景中，混合云跨地域、跨可用区容灾时，可能需要创建新的vSwitch、安全组、ECS实例、镜像、云盘等，可通过自动创建的HDR服务关联角色（AliyunServiceRoleForHdr）获取访问VPC和ECS等资源的权限。

AliyunServiceRoleForHdr权限说明

AliyunServiceRoleForHdr具备以下云服务的访问权限：

• 云助手相关权限

  HDR需使用云助手来自动安装客户端到您的ECS实例。

  {
        "Action": [
          "ecs:CreateCommand",
          "ecs:InvokeCommand",
          "ecs:StopInvocation",
          "ecs:DeleteCommand",
          "ecs:DescribeCommands",
          "ecs:DescribeInvocations",
          "ecs:DescribeInvocationResults",
          "ecs:DescribeCloudAssistantStatus"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• ECS实例及磁盘快照相关权限

  HDR需使用ECS实例及磁盘快照相关权限来创建shadow、恢复点以及恢复实例。

  {
        "Action": [
          "ecs:DescribeImages",
          "ecs:CreateImage",
          "ecs:DeleteImage",
          "ecs:ModifyInstanceSpec",
          "ecs:CreateDisk",
          "ecs:AttachDisk",
          "ecs:ReInitDisk",
          "ecs:DetachDisk",
          "ecs:DescribeDisks",
          "ecs:ReplaceSystemDisk",
          "ecs:DeleteDisk",
          "ecs:ResizeDisk",
          "ecs:CreateInstance",
          "ecs:RunInstances",
          "ecs:StartInstance",
          "ecs:StopInstance",
          "ecs:RebootInstance",
          "ecs:DeleteInstance",
          "ecs:DescribeInstances",
          "ecs:CreateSecurityGroup",
          "ecs:DescribeSecurityGroups",
          "ecs:DescribeSecurityGroupAttribute",
          "ecs:DeleteSecurityGroup",
          "ecs:AllocatePublicIpAddress",
          "ecs:ModifyInstanceAttribute",
          "ecs:JoinSecurityGroup",
          "ecs:LeaveSecurityGroup",
          "ecs:AuthorizeSecurityGroup",
          "ecs:RevokeSecurityGroup",
          "ecs:AuthorizeSecurityGroupEgress",
          "ecs:RevokeSecurityGroupEgress",
          "ecs:CreateNetworkInterface",
          "ecs:DeleteNetworkInterface",
          "ecs:DescribeNetworkInterfaces",
          "ecs:AttachNetworkInterface",
          "ecs:DetachNetworkInterface",
          "ecs:CreateNetworkInterfacePermission",
          "ecs:DescribeNetworkInterfacePermissions",
          "ecs:DeleteNetworkInterfacePermission",
          "ecs:AssignPrivateIpAddresses",
          "ecs:CreateSnapshot",
          "ecs:DeleteSnapshot",
          "ecs:DescribeSnapshots",
          "ecs:DescribeSnapshotLinks",
          "ecs:TagResources",
          "ecs:ModifyResourceMeta",
          "ecs:DescribeStorageSets",
          "ecs:ModifyDiskAttribute"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• 专有网络VPC的访问权限

  HDR需使用以下权限来访问您的VPC相关资源。

  {
        "Action": [
          "vpc:DescribeVpcs",
          "vpc:DescribeVSwitches",
          "vpc:DescribeEipAddresses",
          "vpc:AssociateEipAddress",
          "vpc:CreateVpc",
          "vpc:CreateVSwitch",
          "vpc:DeleteVpc",
          "vpc:DeleteVSwitch",
          "vpc:DescribeVSwitchAttributes"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• 云监控的访问权限

  HDR需使用以下权限来访问您的云监控资源，并通过事件中心上报容灾事件通知。

   {
        "Action": [
          "cms:DescribeMetricRuleList",
          "cms:PutResourceMetricRule",
          "cms:DeleteMetricRules",
          "cms:DescribeEventRuleList",
          "cms:PutEventRule",
          "cms:DeleteEventRules"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• 云盘异步复制容灾的访问权限

  HDR需使用以下权限来访问您的云盘相关资源进行云盘异步复制容灾。

  {
        "Action": [
          "ebs:DescribeRegions",
          "ebs:ModifyDiskReplicaPair",
          "ebs:DeleteDiskReplicaPair",
          "ebs:CreateDiskReplicaPair",
          "ebs:DescribeDiskReplicaPairs",
          "ebs:CreateDiskReplicaGroup",
          "ebs:DescribeDiskReplicaGroups",
          "ebs:ModifyDiskReplicaGroup",
          "ebs:DescribeDiskReplicaPairProgress",
          "ebs:AddDiskReplicaPair",
          "ebs:RemoveDiskReplicaPair",
          "ebs:StartDiskReplicaGroup",
          "ebs:StopDiskReplicaGroup",
          "ebs:DeleteDiskReplicaGroup",
          "ebs:FailoverDiskReplicaGroup",
          "ebs:ReprotectDiskReplicaGroup",
          "ebs:StartReplicaGroupDrill",
          "ebs:DescribeReplicaGroupDrills",
          "ebs:ClearReplicaGroupDrill",
          "ebs:StartPairDrill",
          "ebs:DescribePairDrills",
          "ebs:ClearPairDrill"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

RAM用户使用服务关联角色需要的权限

查看服务关联角色

当服务关联角色创建成功后，您可以在RAM控制台的角色页面，通过搜索AliyunServiceRoleForHdr查看该服务关联角色的以下信息：

• 基本信息

  在AliyunServiceRoleForHdr角色详情页面的基本信息区域，查看角色基本信息，包括角色名称、创建时间、角色ARN和备注等。

• 权限策略

  在AliyunServiceRoleForHdr角色详情页面的权限管理页签，单击权限策略名称，查看权限策略内容以及该角色可授权访问哪些云资源。

• 信任策略

  在AliyunServiceRoleForHdr角色详情页的信任策略页签，查看信任策略内容。信任策略是描述RAM角色可信实体的策略，可信实体是指可以扮演RAM角色的实体用户身份。服务关联角色的可信实体为云服务，您可以通过信任策略中的Service字段查看。

关于如何查看服务关联角色的具体·操作，请参见查看RAM角色。

删除服务关联角色

当您长时间不使用AliyunServiceRoleForHdr时，您可以在RAM控制台手动删除服务关联角色。

删除前，请先删除HDR下的所有站点对。具体操作，请参见删除RAM角色。