创建、查看和删除云存储网关服务关联角色 - 云存储网关

本文介绍什么是云存储网关服务关联角色，云存储网关将自动创建服务关联角色获取访问云服务器ECS、专有网络VPC等云服务的权限。

背景信息

服务关联角色是一种可信实体为阿里云服务的RAM角色。云存储网关使用服务关联角色获取其他云服务或云资源的访问权限。

通常情况下，服务关联角色是在您执行某项操作时，由系统自动创建。在自动创建服务关联角色失败或云存储网关不支持自动创建时，您需要手动创建服务关联角色。

阿里云访问控制为每个服务关联角色提供了一个系统权限策略，该策略不支持修改。如果您想了解该系统策略的具体内容，可前往指定服务关联角色的详情页面查看。

说明

关于服务关联角色的更多信息，请参见服务关联角色。

应用场景

云存储网关会在以下场景中，为您自动创建服务关联角色：

AliyunServiceRoleForHCSSGW
在首次访问云存储网关控制台并同意服务关联角色授权时，云存储网关会自动创建服务关联角色AliyunServiceRoleForHCSSGW，支持云存储网关访问ECS、VPC、OSS、MNS、KMS资源。
AliyunServiceRoleForHCSSGWLogMonitor
在云存储网关控制台，首次使用日志监控功能并同意相关服务关联角色授权时，云存储网关会自动创建服务关联角色AliyunServiceRoleForHCSSGWLogMonitor，支持云存储网关访问SLS资源。

权限说明

AliyunServiceRoleForHCSSGW

说明

RAM用户需具有AliyunHCSSGWFullAccess权限才能创建AliyunServiceRoleForHCSSGW。

AliyunServiceRoleForHCSSGW具备以下云服务的访问权限：

ECS弹性网卡及安全组相关权限

云存储网关服务需使用弹性网卡（以及相关安全组）来提供挂载协议。

{
      "Action": [
        "ecs:CreateNetworkInterface",
        "ecs:DeleteNetworkInterface",
        "ecs:DescribeNetworkInterfaces",
        "ecs:CreateNetworkInterfacePermission",
        "ecs:DescribeNetworkInterfacePermissions",
        "ecs:DeleteNetworkInterfacePermission",
        "ecs:CreateSecurityGroup",
        "ecs:DescribeSecurityGroups",
        "ecs:AuthorizeSecurityGroup",
        "ecs:DeleteSecurityGroup",
        "ecs:JoinSecurityGroup"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

专有网络VPC的访问权限

云存储网关服务需使用以下权限来访问您的VPC相关资源。

{
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

对象存储OSS的访问权限

云存储网关服务需要使用以下权限对您的数据进行OSS上传，下载及管理。

{
      "Action": [
        "oss:ListBuckets",
        "oss:ListObjects",
        "oss:GetObject",
        "oss:PutObject",
        "oss:DeleteObject",
        "oss:HeadObject",
        "oss:CopyObject",
        "oss:InitiateMultipartUpload",
        "oss:UploadPart",
        "oss:UploadPartCopy",
        "oss:CompleteMultipartUpload",
        "oss:AbortMultipartUpload",
        "oss:ListMultipartUploads",
        "oss:ListParts",
        "oss:GetBucketStat",
        "oss:GetBucketWebsite",
        "oss:GetBucketInfo",
        "oss:GetBucketEncryption",
        "oss:PutBucketEncryption",
        "oss:DeleteBucketEncryption",
        "oss:RestoreObject",
        "oss:PutObjectTagging",
        "oss:GetObjectTagging",
        "oss:DeleteObjectTagging"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

密钥管理KMS的权限

云存储网关服务需要使用以下权限对您的数据进行服务端加密（OSS端加密）。

{
      "Action": [
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

消息MNS的权限

云存储网关服务需要使用以下权限来完成网关极速同步功能的相关配置。

{
      "Action": [
        "mns:SendMessage",
        "mns:ReceiveMessage",
        "mns:PublishMessage",
        "mns:DeleteMessage",
        "mns:GetQueueAttributes",
        "mns:GetTopicAttributes",
        "mns:CreateTopic",
        "mns:DeleteTopic",
        "mns:CreateQueue",
        "mns:DeleteQueue",
        "mns:PutEventNotifications",
        "mns:DeleteEventNotifications",
        "mns:UpdateEventNotifications",
        "mns:GetEvent",
        "mns:Subscribe",
        "mns:Unsubscribe",
        "mns:ListTopic",
        "mns:ListQueue",
        "mns:ListSubscriptionByTopic"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

BSS（交易和账单管理）的权限
云存储网关服务需要使用以下权限来获取展示网关相关价格信息。
```
{
      "Action": [
        "bss:DescribePrice"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
```

AliyunServiceRoleForHCSSGWLogMonitor

说明

RAM用户需具有AliyunHCSSGWFullAccess权限才能创建AliyunServiceRoleForHCSSGWLogMonitor。

AliyunServiceRoleForHCSSGWLogMonitor具备以下云服务的访问权限：

日志SLS的权限

网关服务需要使用以下权限来完成网关日志监控功能的相关配置。

{
      "Action": [
        "log:PostLogStoreLogs",
        "log:GetLogStore"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

RAM用户使用服务关联角色需要的权限

如果使用RAM用户创建或删除服务关联角色，必须联系管理员为该RAM用户授予管理员权限（AliyunHCSSGWFullAccess）或在自定义权限策略的Action语句中为RAM用户添加以下权限：

创建服务关联角色：ram:CreateServiceLinkedRole
删除服务关联角色：ram:DeleteServiceLinkedRole

关于授权的详细操作，请参见创建和删除服务关联角色所需的权限。

查看服务关联角色

当服务关联角色创建成功后，您可以在RAM控制台的角色页面，通过搜索服务关联角色名称（例如，AliyunServiceRoleForHCSSGW）查看该服务关联角色的以下信息：

基本信息
在AliyunServiceRoleForHCSSGW角色详情页面的基本信息区域，查看角色基本信息，包括角色名称、创建时间、角色ARN和备注等。
权限策略
在AliyunServiceRoleForHCSSGW角色详情页面的权限管理页签，单击权限策略名称，查看权限策略内容以及该角色可授权访问哪些云资源。
信任策略
在AliyunServiceRoleForHCSSGW角色详情页的信任策略页签，查看信任策略内容。信任策略是描述RAM角色可信实体的策略，可信实体是指可以扮演RAM角色的实体用户身份。服务关联角色的可信实体为云服务，您可以通过信任策略中的Service字段查看。

说明

关于如何查看服务关联角色的详细操作，请参见查看RAM角色。

删除服务关联角色

如果您暂时不需要使用云存储网关服务，可以删除云存储网关服务关联角色。删除时，请先删除该角色关联的所有网关实例。具体操作，请参见删除服务关联角色。

重要

删除服务关联角色后，依赖该角色的对应功能将无法正常使用，请谨慎删除。

常见问题

为什么我的RAM用户无法自动创建CSG服务关联角色？

只有拥有指定权限的RAM用户，才能自动创建或删除云存储网关服务关联角色。当RAM用户无法自动创建云存储网关服务关联角色时，需要为RAM用户添加以下权限策略。使用时请将主账号ID替换为实际的阿里云账号（主账号）ID。具体操作，请参见创建自定义权限策略。

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:主账号ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "hcs-sgw.aliyuncs.com ",
                        "logmonitor.hcs-sgw.aliyuncs.com",
                    ]
                }
            }
        }
    ],
    "Version": "1"
}