Service-linked role for Network Intelligence Service - Network Intelligence Service

El rol vinculado al servicio AliyunServiceRoleForNis permite que Network Intelligence Service (NIS) acceda a recursos en ECS, VPC, SLB, NLB, ALB, CEN, GA, PrivateLink, Express Connect Router, DTS, CloudMonitor y Quota Center para realizar diagnósticos de red, análisis y gestión de registros de flujo.

Para obtener información general sobre los roles vinculados al servicio, consulte Service-linked roles.

Permisos otorgados

La directiva AliyunServiceRolePolicyForNis se asocia a este rol. Contiene cuatro declaraciones con los siguientes permisos:

Declaración 1: Operaciones de Cloud Assistant

Estos permisos permiten que NIS ejecute comandos de diagnóstico en instancias ECS mediante Cloud Assistant.

Acción	Descripción
`ecs:InvokeCommand`	Ejecutar comandos de Cloud Assistant en instancias ECS
`ecs:StopInvocation`	Detener un comando de Cloud Assistant en ejecución
`ecs:DescribeCloudAssistantStatus`	Consultar si Cloud Assistant Agent está instalado en las instancias y ver estadísticas de ejecución de comandos
`ecs:DescribeCommands`	Listar los comandos disponibles de Cloud Assistant
`ecs:DescribeInvocations`	Consultar registros de invocación de comandos
`ecs:DescribeInvocationResults`	Obtener resultados de la ejecución de comandos

Alcance de recursos: Todas las instancias ECS (acs:ecs:*:*:instance/*) y comandos que coincidan con el patrón acs:ecs:*:*:command/cmd-ACS-SLB-Diagnosis*.

Declaración 2: Acceso de lectura entre servicios y gestión de registros de flujo

Estos permisos permiten que NIS consulte recursos en varios servicios de red e infraestructura, además de gestionar registros de flujo.

Acción	Descripción
`dts:DescribeDtsJobs`	Consultar tareas de DTS y sus detalles de ejecución
`vpc:Describe`, `vpc:List`, `vpc:Get*`	Consultar recursos y configuraciones de VPC
`vpc:CreateFlowlog`	Crear un registro de flujo de VPC
`vpc:DeleteFlowLog`	Eliminar un registro de flujo de VPC
`vpc:ModifyFlowLogAttribute`	Modificar el nombre y la descripción de un registro de flujo de VPC
`vpc:DiagnoseVpnConnectionsHistory`	Consultar el historial de diagnósticos de conexiones IPsec-VPN
`vpc:UpgradeVpnGatewayFirmware`	Actualizar la versión de firmware de una puerta de enlace VPN
`quotas:ListProductQuotas`	Consultar cuotas de un producto de nube específico
`cms:DescribeMetricLast`	Consultar los datos de monitoreo más recientes de una métrica
`cms:GetCmsService`	Consultar el estado de activación de CloudMonitor
`cms:GetPrometheus*`	Consultar recursos de monitoreo relacionados con Prometheus
`bssapi:QueryAvailableInstances`	Consultar instancias disponibles de servicios de Alibaba Cloud
`ecs:DescribeInstances`	Consultar instancias ECS
`ecs:DescribeSecurityGroups`	Consultar security groups
`ecs:DescribeSecurityGroupAttribute`	Consultar reglas de security group
`ecs:DescribeSecurityGroupReferences`	Consultar referencias cruzadas de security groups
`ecs:DescribeNetworkInterfaces`	Consultar Elastic Network Interfaces (ENI)
`alb:ListLoadBalancers`	Consultar instancias de Application Load Balancer (ALB)
`alb:GetLoadBalancerAttribute`	Consultar detalles de instancias ALB
`slb:Describe*`	Consultar recursos de Classic Load Balancer (CLB)
`nlb:ListLoadBalancers`	Consultar instancias de Network Load Balancer (NLB)
`nlb:GetListenerAttribute`	Consultar detalles de listeners NLB
`nlb:ListServerGroups`	Consultar grupos de servidores NLB
`nlb:ListServerGroupServers`	Consultar servidores en un grupo de servidores NLB
`nlb:ListListeners`	Consultar listeners NLB
`cen:Describe`, `cen:List`	Consultar recursos de Cloud Enterprise Network (CEN)
`cen:CreateFlowlog`	Crear un registro de flujo de CEN
`cen:DeleteFlowlog`	Eliminar un registro de flujo de CEN
`privatelink:List`, `privatelink:Get`	Consultar recursos de PrivateLink
`ga:Describe`, `ga:List`, `ga:Get`, `ga:Check`, `ga:Query*`	Consultar recursos de Global Accelerator (GA)
`expressconnectrouter:Describe`, `expressconnectrouter:List`	Consultar recursos de Express Connect Router (ECR)

Alcance de recursos: Todos los recursos (*).

Declaración 3: Autoeliminación

Acción	Descripción
`ram:DeleteServiceLinkedRole`	Eliminar este rol vinculado al servicio

Condición: Restringido a ram:ServiceName = nis.aliyuncs.com.

Declaración 4: Creación del rol vinculado al servicio de registro de flujo de CEN

Acción	Descripción
`ram:CreateServiceLinkedRole`	Crear el rol vinculado al servicio para CEN Flow Log

Condición: Restringido a ram:ServiceName = flowlog.cen.aliyuncs.com.

JSON completo de la directiva (v17)

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:InvokeCommand",
        "ecs:StopInvocation",
        "ecs:DescribeCloudAssistantStatus",
        "ecs:DescribeCommands",
        "ecs:DescribeInvocations",
        "ecs:DescribeInvocationResults"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*",
        "acs:ecs:*:*:command/cmd-ACS-SLB-Diagnosis*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "dts:DescribeDtsJobs",
        "vpc:UpgradeVpnGatewayFirmware",
        "quotas:ListProductQuotas",
        "cms:DescribeMetricLast",
        "cms:GetCmsService",
        "cms:GetPrometheus*",
        "bssapi:QueryAvailableInstances",
        "ecs:DescribeInstances",
        "ecs:DescribeSecurityGroups",
        "ecs:DescribeSecurityGroupAttribute",
        "ecs:DescribeSecurityGroupReferences",
        "ecs:DescribeNetworkInterfaces",
        "alb:ListLoadBalancers",
        "alb:GetLoadBalancerAttribute",
        "slb:Describe*",
        "nlb:ListLoadBalancers",
        "nlb:GetListenerAttribute",
        "nlb:ListServerGroups",
        "nlb:ListServerGroupServers",
        "nlb:ListListeners",
        "vpc:Describe*",
        "vpc:List*",
        "vpc:Get*",
        "vpc:CreateFlowlog",
        "vpc:DeleteFlowLog",
        "vpc:UpgradeVpnGatewayFirmware",
        "vpc:DiagnoseVpnConnectionsHistory",
        "vpc:ModifyFlowLogAttribute",
        "cen:Describe*",
        "cen:List*",
        "cen:CreateFlowlog",
        "cen:DeleteFlowlog",
        "privatelink:List*",
        "privatelink:Get*",
        "ga:Describe*",
        "ga:List*",
        "ga:Get*",
        "ga:Check*",
        "ga:Query*",
        "expressconnectrouter:Describe*",
        "expressconnectrouter:List*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "nis.aliyuncs.com"
        }
      }
    },
    {
      "Action": "ram:CreateServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "flowlog.cen.aliyuncs.com"
        }
      }
    }
  ]
}

Creación del rol

El rol AliyunServiceRoleForNis se crea automáticamente cuando utiliza NIS por primera vez. Si el rol no existe, el sistema lo crea y le asocia la directiva AliyunServiceRolePolicyForNis.

No se requiere ninguna acción manual.

Eliminación del rol vinculado al servicio

Para eliminar el rol AliyunServiceRoleForNis:

Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, elija Identities > Roles.
En la página Roles, busque AliyunServiceRoleForNis. En la columna Actions, haga clic en Delete Role.
En el cuadro de diálogo que aparece, introduzca el nombre del rol y haga clic en Delete Role.

Importante

Después de eliminar este rol, el sistema lo recrea automáticamente la próxima vez que utilice la función de diagnóstico en NIS.

Preguntas frecuentes

¿Por qué falla la creación automática del rol para un usuario RAM?

El usuario RAM carece del permiso ram:CreateServiceLinkedRole. Para otorgar este permiso, asocie la siguiente directiva personalizada al usuario RAM. Para obtener instrucciones, consulte Create custom policies.

{
  "Statement": [
    {
      "Action": "ram:CreateServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "nis.aliyuncs.com"
        }
      }
    }
  ],
  "Version": "1"
}