ApsaraDB RDS service-linked roles - ApsaraDB RDS - Centro de documentación de Alibaba Cloud

ApsaraDB RDS utiliza roles vinculados a servicios para acceder a otros servicios de Alibaba Cloud en su nombre. Cada rol es un role de RAM con una política de acceso predefinida. RDS crea y usa el rol automáticamente, por lo que no necesita configurar los permisos de forma manual.

ApsaraDB RDS admite tres roles vinculados a servicios:

Role name	Used by
`AliyunServiceRoleForRds`	ApsaraDB RDS for MySQL
`AliyunServiceRoleForRdsPgsqlOnEcs`	ApsaraDB RDS for PostgreSQL
`AliyunServiceRoleForRDSProxyOnEcs`	Proxy de base de datos para ApsaraDB RDS for PostgreSQL

Para obtener más información sobre los roles vinculados a servicios en Alibaba Cloud, consulte Service-linked roles.

AliyunServiceRoleForRds

Detalles del rol

Field	Value
Role name	AliyunServiceRoleForRds
Access policy	AliyunServiceRolePolicyForRds
Used by	ApsaraDB RDS for MySQL

Permisos

Esta política otorga a RDS for MySQL acceso a los recursos de red de ECS y a la topología de VPC. También le permite eliminar este rol cuando ya no sea necesario.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:AttachNetworkInterface",
                "ecs:DetachNetworkInterface",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DescribeNetworkInterfacePermissions",
                "ecs:CreateSecurityGroup",
                "ecs:DeleteSecurityGroup",
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:DescribeSecurityGroups",
                "ecs:ModifySecurityGroupAttribute",
                "ecs:AuthorizeSecurityGroup",
                "ecs:AuthorizeSecurityGroupEgress",
                "ecs:RevokeSecurityGroup",
                "ecs:RevokeSecurityGroupEgress",
                "ecs:DescribeKeyPairs",
                "ecs:ModifyImageSharePermission",
                "ecs:DescribeImages"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeVSwitches",
                "vpc:AssociateEipAddress",
                "vpc:DescribeVpcs"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "rds-ecs-service.rds.aliyuncs.com"
                }
            }
        }
    ]
}

Crear el rol

Este rol se crea automáticamente cuando usted crea una base de datos en la consola. Siga las instrucciones en pantalla para otorgar la autorización. Para obtener más información, consulte Create a database.

Eliminar el rol

Antes de eliminar este rol, elimine todas las bases de datos de ApsaraDB RDS for MySQL que dependan de él.

Elimine cada base de datos dependiente. Consulte Delete a database.
Elimine el rol vinculado al servicio. Consulte Delete a service-linked role.

Tip: Si no está seguro de si este rol sigue en uso, intente eliminarlo. Si la eliminación falla, el mensaje de error indica qué recursos dependen del rol.

AliyunServiceRoleForRdsPgsqlOnEcs

Detalles del rol

Field	Value
Role name	AliyunServiceRoleForRdsPgsqlOnEcs
Access policy	AliyunServiceRolePolicyForRdsPgsqlOnEcs
Used by	ApsaraDB RDS for PostgreSQL

Permisos

Esta política otorga a RDS for PostgreSQL acceso a los recursos de red de ECS, a Key Management Service (KMS) para el cifrado y a la topología de VPC. Además, le permite eliminar este rol cuando ya no sea necesario.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:AttachNetworkInterface",
                "ecs:DetachNetworkInterface",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DescribeNetworkInterfacePermissions",
                "ecs:CreateSecurityGroup",
                "ecs:DeleteSecurityGroup",
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:DescribeSecurityGroups",
                "ecs:ModifySecurityGroupAttribute",
                "ecs:AuthorizeSecurityGroup",
                "ecs:AuthorizeSecurityGroupEgress",
                "ecs:RevokeSecurityGroup",
                "ecs:RevokeSecurityGroupEgress"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "kms:Listkeys",
                "kms:Listaliases",
                "kms:ListResourceTags",
                "kms:DescribeKey",
                "kms:UntagResource",
                "kms:TagResource",
                "kms:DescribeAccountKmsStatus"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "kms:tag/acs:rds:instance-encryption": "true"
                }
            }
        },
        {
            "Action": [
                "vpc:DescribeVSwitches",
                "vpc:DescribeVpcs"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "pgsql-onecs.rds.aliyuncs.com"
                }
            }
        }
    ]
}

Crear el rol

Este rol se crea automáticamente cuando usted crea una instancia de ApsaraDB RDS for PostgreSQL. Siga las instrucciones en pantalla de la consola para otorgar la autorización. Para obtener más información, consulte Create an ApsaraDB RDS for PostgreSQL instance.

Eliminar el rol

Antes de eliminar este rol, libere todas las instancias de ApsaraDB RDS for PostgreSQL que dependan de él.

Libere cada instancia dependiente. Consulte Release an instance.
Elimine el rol vinculado al servicio. Consulte Delete a service-linked role.

Tip: Si no está seguro de si este rol sigue en uso, intente eliminarlo. Si la eliminación falla, el mensaje de error indica qué recursos dependen del rol.

AliyunServiceRoleForRDSProxyOnEcs

Detalles del rol

Field	Value
Role name	AliyunServiceRoleForRDSProxyOnEcs
Access policy	AliyunServiceRolePolicyForRDSProxyOnEcs
Used by	Proxy de base de datos para ApsaraDB RDS for PostgreSQL

Permisos

Esta política otorga al proxy de base de datos acceso a los recursos de red de ECS y a la topología de VPC. También le permite eliminar este rol cuando ya no sea necesario.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:AttachNetworkInterface",
                "ecs:DetachNetworkInterface",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DescribeNetworkInterfacePermissions",
                "ecs:CreateSecurityGroup",
                "ecs:DeleteSecurityGroup",
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:DescribeSecurityGroups",
                "ecs:ModifySecurityGroupAttribute",
                "ecs:AuthorizeSecurityGroup",
                "ecs:AuthorizeSecurityGroupEgress",
                "ecs:RevokeSecurityGroup",
                "ecs:RevokeSecurityGroupEgress"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeVSwitches",
                "vpc:DescribeVpcs"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "rdsproxy-onecs.rds.aliyuncs.com"
                }
            }
        }
    ]
}

Crear el rol

Este rol se crea automáticamente cuando usted habilita el proxy de base de datos para una instancia de ApsaraDB RDS for PostgreSQL. Siga las instrucciones en pantalla de la consola para otorgar la autorización. Para obtener más información, consulte Enable the database proxy.

Eliminar el rol

Importante

No elimine este rol si planea seguir usando el proxy de base de datos o las instancias serverless.

Antes de eliminar este rol, deshabilite todos los proxies de base de datos que dependan de él.

Deshabilite el proxy de base de datos. Consulte Disable the database proxy.
Elimine el rol vinculado al servicio. Consulte Delete a service-linked role.

Tip: Si no está seguro de si este rol sigue en uso, intente eliminarlo. Si la eliminación falla, el mensaje de error indica qué recursos dependen del rol.

Referencia de API

Utilice la operación CreateServiceLinkedRole para crear un rol vinculado a un servicio para una instancia de ApsaraDB RDS.

Parameter	Description	Example
`RegionId`	El identificador de la región. Llame a DescribeRegions para obtener los identificadores de región disponibles.	`cn-hangzhou`
`ServiceLinkedRole`	El rol que se va a crear: `AliyunServiceRoleForRds`, `AliyunServiceRoleForRdsPgsqlOnEcs` o `AliyunServiceRoleForRDSProxyOnEcs`.	`AliyunServiceRoleForRdsPgsqlOnEcs`