Create, view, and delete service-linked roles for Cloud Storage Gateway - Cloud Storage Gateway

Este tema describe los roles vinculados a servicio para Cloud Storage Gateway (CSG).

Contexto

Un rol vinculado a servicio es un rol de Resource Access Management (RAM) cuya entidad de confianza es un servicio de Alibaba Cloud. CSG asume roles vinculados a servicio para obtener los permisos necesarios y acceder a otros servicios o recursos en la nube.

En la mayoría de los casos, el sistema crea automáticamente un rol vinculado a servicio cuando usted realiza una operación que requiere acceso a otro servicio en la nube. Si no se crea el rol vinculado a servicio de forma automática o si CSG no permite la creación automática, debe crear el rol vinculado a servicio manualmente.

RAM proporciona una política de sistema para cada rol vinculado a servicio. No es posible modificar la política de sistema. Para consultar información sobre la política de sistema de un rol vinculado a servicio específico, vaya a la página de detalles del rol.

Nota

Para más información, consulte Service-linked roles.

Escenarios

CSG crea automáticamente un rol vinculado a servicio en los siguientes escenarios:

AliyunServiceRoleForHCSSGW

La primera vez que inicia sesión en la consola de CSG y autoriza el uso de un rol vinculado a servicio, CSG crea automáticamente el rol vinculado a servicio AliyunServiceRoleForHCSSGW. Este rol permite que CSG acceda a Elastic Compute Service (ECS), Virtual Private Cloud (VPC), Object Storage Service (OSS), Simple Message Queue (SMQ) y Key Management Service (KMS).
AliyunServiceRoleForHCSSGWLogMonitor

La primera vez que utiliza el monitoreo de registros en la consola de CSG y autoriza el uso de un rol vinculado a servicio, CSG crea automáticamente el rol vinculado a servicio AliyunServiceRoleForHCSSGWLogMonitor. Este rol permite que CSG acceda a Simple Log Service (SLS).

Permisos

AliyunServiceRoleForHCSSGW

Nota

Para crear el rol vinculado a servicio AliyunServiceRoleForHCSSGW como usuario de RAM, debe adjuntar la política AliyunHCSSGWFullAccess al usuario de RAM.

AliyunServiceRoleForHCSSGW otorga a CSG los permisos para acceder a los siguientes servicios o recursos en la nube:

Interfaces de red elásticas (ENI) y security groups en ECS

CSG requiere los siguientes permisos para acceder a las ENI y los security groups:

{
      "Action": [
        "ecs:CreateNetworkInterface",
        "ecs:DeleteNetworkInterface",
        "ecs:DescribeNetworkInterfaces",
        "ecs:CreateNetworkInterfacePermission",
        "ecs:DescribeNetworkInterfacePermissions",
        "ecs:DeleteNetworkInterfacePermission",
        "ecs:CreateSecurityGroup",
        "ecs:DescribeSecurityGroups",
        "ecs:AuthorizeSecurityGroup",
        "ecs:DeleteSecurityGroup",
        "ecs:JoinSecurityGroup"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

VPC

CSG requiere los siguientes permisos para acceder a los recursos de VPC:

{
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

OSS

CSG requiere los siguientes permisos para cargar, descargar y gestionar recursos de OSS:

{
      "Action": [
        "oss:ListBuckets",
        "oss:ListObjects",
        "oss:GetObject",
        "oss:PutObject",
        "oss:DeleteObject",
        "oss:HeadObject",
        "oss:CopyObject",
        "oss:InitiateMultipartUpload",
        "oss:UploadPart",
        "oss:UploadPartCopy",
        "oss:CompleteMultipartUpload",
        "oss:AbortMultipartUpload",
        "oss:ListMultipartUploads",
        "oss:ListParts",
        "oss:GetBucketStat",
        "oss:GetBucketWebsite",
        "oss:GetBucketInfo",
        "oss:GetBucketEncryption",
        "oss:PutBucketEncryption",
        "oss:DeleteBucketEncryption",
        "oss:RestoreObject",
        "oss:PutObjectTagging",
        "oss:GetObjectTagging",
        "oss:DeleteObjectTagging"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

KMS

CSG requiere los siguientes permisos para realizar cifrado del lado del servidor o cifrado del lado del cliente:

{
      "Action": [
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

SMQ

CSG requiere los siguientes permisos para configurar la sincronización exprés para las puertas de enlace:

{
      "Action": [
        "mns:SendMessage",
        "mns:ReceiveMessage",
        "mns:PublishMessage",
        "mns:DeleteMessage",
        "mns:GetQueueAttributes",
        "mns:GetTopicAttributes",
        "mns:CreateTopic",
        "mns:DeleteTopic",
        "mns:CreateQueue",
        "mns:DeleteQueue",
        "mns:PutEventNotifications",
        "mns:DeleteEventNotifications",
        "mns:UpdateEventNotifications",
        "mns:GetEvent",
        "mns:Subscribe",
        "mns:Unsubscribe",
        "mns:ListTopic",
        "mns:ListQueue",
        "mns:ListSubscriptionByTopic"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

Transacciones y facturas

CSG requiere los siguientes permisos para recopilar y mostrar la información de facturación de las puertas de enlace:
```
{
      "Action": [
        "bss:DescribePrice"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
```

AliyunServiceRoleForHCSSGWLogMonitor

Nota

Para crear el rol vinculado a servicio AliyunServiceRoleForHCSSGWLogMonitor como usuario de RAM, debe adjuntar la política AliyunHCSSGWFullAccess al usuario de RAM.

AliyunServiceRoleForHCSSGWLogMonitor otorga a CSG los permisos para acceder al siguiente servicio en la nube:

SLS

CSG requiere los siguientes permisos para configurar el monitoreo de registros para las puertas de enlace:

{
      "Action": [
        "log:PostLogStoreLogs",
        "log:GetLogStore"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

Permisos obligatorios para que un usuario de RAM gestione roles vinculados a servicio

Se debe asignar al usuario de RAM la política de sistema AliyunHCSSGWFullAccess o una política personalizada que incluya los siguientes permisos en la declaración Action:

ram:CreateServiceLinkedRole. Este permiso permite al usuario de RAM crear un rol vinculado a servicio.
ram:DeleteServiceLinkedRole. Este permiso permite al usuario de RAM eliminar un rol vinculado a servicio.

Para más información, consulte Permissions required to create and delete a service-linked role.

Consultar información sobre un rol vinculado a servicio

Una vez creado el rol vinculado a servicio, puede consultar la siguiente información sobre dicho rol en the Roles page of the RAM console mediante la búsqueda por nombre del rol, por ejemplo, AliyunServiceRoleForHCSSGW.

Información básica

En la página de detalles del rol AliyunServiceRoleForHCSSGW, la sección Basic Information muestra el nombre del rol, la fecha de creación, el ARN y la descripción.
Políticas

En la página de detalles del rol AliyunServiceRoleForHCSSGW, en la pestaña Permissions, haga clic en el nombre de una política para consultar su contenido y los recursos en la nube a los que el rol tiene acceso.
Política de confianza

En la página de detalles del rol AliyunServiceRoleForHCSSGW, en la pestaña Trust Policy, puede consultar el contenido de la política de confianza. Esta política describe las entidades de confianza que pueden asumir el rol de RAM. La entidad de confianza para un rol vinculado a servicio es un servicio en la nube, identificable mediante el campo Service en la política de confianza.

Nota

Para obtener información sobre cómo consultar los detalles de un rol vinculado a servicio, consulte View the information about a RAM role.

Eliminar un rol vinculado a servicio

Antes de eliminar un rol vinculado a servicio de CSG, debe eliminar las puertas de enlace asociadas. Para más información, consulte Delete a service-linked role.

Importante

Después de eliminar un rol vinculado a servicio, no se podrán utilizar las funciones que dependen de dicho rol. Proceda con precaución.

Preguntas frecuentes

¿Por qué no se crea automáticamente un rol vinculado a servicio cuando accedo a CSG como usuario de RAM?

El usuario de RAM no cuenta con los permisos obligatorios para crear automáticamente un rol vinculado a servicio para CSG. El sistema solo crea un rol vinculado a servicio de CSG para los usuarios que tienen los permisos necesarios. Para solucionar este problema, adjunte la siguiente política al usuario de RAM. Debe reemplazar Alibaba Cloud account ID con el ID real de la cuenta. Para más información, consulte Create a custom policy.

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:Alibaba Cloud account ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "hcs-sgw.aliyuncs.com ",
                        "logmonitor.hcs-sgw.aliyuncs.com",
                    ]
                }
            }
        }
    ],
    "Version": "1"
}