Créer, consulter et supprimer des rôles liés au service pour NAS - File Storage NAS

Fonctionnement

Un rôle lié au service est un type de rôle Resource Access Management (RAM) dont l'entité de confiance est un service Alibaba Cloud. NAS utilise ce rôle pour accéder aux autres services cloud et ressources en votre nom, ce qui vous évite de configurer manuellement les autorisations.

En règle générale, NAS crée le rôle requis automatiquement. Si la création automatique échoue ou si NAS ne la prend pas en charge pour ce rôle, vous devez créer le rôle manuellement.

Chaque rôle lié au service est associé à une politique système gérée par RAM. Vous ne pouvez pas modifier cette politique. Pour afficher le contenu de la politique, accédez à la page des détails du rôle dans la console RAM.

Remarque

Pour plus d'informations, consultez la rubrique rôles liés au service.

Cas d'utilisation

NAS crée automatiquement un rôle lié au service spécifique en fonction de la fonctionnalité utilisée :

Rôle

Déclencheur

Services accessibles

AliyunServiceRoleForNasStandard

Lors de la création d'une cible de montage dans le réseau classique pour un système de fichiers NAS général.

ECS : interroge les listes de ressources pour authentifier l'accès.

AliyunServiceRoleForNasExtreme

Lors de la création d'une cible de montage pour un système de fichiers Extreme NAS.

VPC et ECS

AliyunServiceRoleForNasEncryption

Lors de la création d'un système de fichiers chiffré avec KMS.

KMS : récupère les informations sur la clé et ajoute des tags pour éviter toute suppression accidentelle.

AliyunServiceRoleForNasLogDelivery

Lors de l'activation de la fonctionnalité d'analyse des journaux NAS.

Log Service : crée un projet et un Logstore pour stocker les journaux.

AliyunServiceRoleForNasBackup

Lors de l'activation de la fonctionnalité de sauvegarde de fichiers pour un système de fichiers général.

Cloud Backup (HBR) : active le service et crée un plan de sauvegarde.

AliyunServiceRoleForNasEcsHandler

Lors de l'utilisation de la fonctionnalité de montage en un clic dans la console NAS.

Cloud Assistant : exécute des commandes sur les instances ECS pour monter ou démonter des systèmes de fichiers et interroger l'état du montage.

Pour plus d'informations, consultez la rubrique rôles liés au service.

Autorisations

Les autorisations associées aux rôles liés au service NAS sont les suivantes :

AliyunServiceRoleForNasStandard

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "ecs:DescribeInstances" 
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}

AliyunServiceRoleForNasExtreme

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "vpc:DescribeVSwitchAttributes",
 "vpc:DescribeVpcs",
 "vpc:DescribeVSwitches"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Action": [
 "ecs:CreateSecurityGroup", 
 "ecs:DescribeSecurityGroups",
 "ecs:DescribeSecurityGroupAttribute",
 "ecs:DeleteSecurityGroup", 
 "ecs:AuthorizeSecurityGroup", 
 "ecs:CreateNetworkInterface", 
 "ecs:DeleteNetworkInterface",
 "ecs:DescribeNetworkInterfaces",
 "ecs:CreateNetworkInterfacePermission", 
 "ecs:DescribeNetworkInterfacePermissions",
 "ecs:DeleteNetworkInterfacePermission"
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}

AliyunServiceRoleForNasEncryption

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "kms:Listkeys", 
 "kms:Listaliases",
 "kms:ListResourceTags",
 "kms:DescribeKey", 
 "kms:TagResource", 
 "kms:UntagResource"
 ],
 "Resource": "acs:kms:*:*:*"
 },
 {
 "Effect": "Allow",
 "Action": [
 "kms:Encrypt",
 "kms:Decrypt",
 "kms:GenerateDataKey"
 ],
 "Resource": "acs:kms:*:*:*/*",
 "Condition": {
 "StringEqualsIgnoreCase": {
 "kms:tag/acs:nas:instance-encryption": "true"
 }
 }
 }
 ],
 "Version": "1"
}

AliyunServiceRoleForNasLogDelivery

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "log:PostLogStoreLogs"
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}

AliyunServiceRoleForNasBackup

{
	"Version": "1",
	"Statement": [{
			"Action": [
				"hbr:OpenHbrService",
				"hbr:CreateTrialBackupPlan"
			],
			"Resource": "*",
			"Effect": "Allow"
		},
		{
			"Action": "ram:DeleteServiceLinkedRole",
			"Resource": "*",
			"Effect": "Allow",
			"Condition": {
				"StringEquals": {
					"ram:ServiceName": "backup.nas.aliyuncs.com"
				}
			}
		},
		{
			"Action": "ram:CreateServiceLinkedRole",
			"Resource": "*",
			"Effect": "Allow",
			"Condition": {
				"StringEquals": {
					"ram:ServiceName": "nasbackup.hbr.aliyuncs.com"
				}
			}
		}
	]
}

AliyunServiceRoleForNasEcsHandler

{
 "Version": "1",
 "Statement": [
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "ecs-handler.nas.aliyuncs.com"
 }
 }
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:InvokeCommand"
 ],
 "Resource": [
 "acs:ecs:*:*:instance/*",
 "acs:ecs:*:*:command/cmd-ACS-NAS-ClickMount-*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:DescribeInstances",
 "ecs:DescribeCloudAssistantStatus"
 ],
 "Resource": [
 "acs:ecs:*:*:instance/*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:DescribeInvocations",
 "ecs:DescribeInvocationResults"
 ],
 "Resource": [
 "*"
 ]
 }
 ]
}

Autorisations requises pour les utilisateurs RAM

Par défaut, un utilisateur RAM n'est pas autorisé à créer ou à supprimer des rôles liés au service. Pour accorder ces autorisations, contactez un administrateur afin qu'il attache la stratégie AliyunNASFullAccess à l'utilisateur RAM, ou ajoutez les autorisations suivantes à l'instruction Action dans une stratégie personnalisée :

Créer un rôle lié au service : ram:CreateServiceLinkedRole
Supprimer un rôle lié au service : ram:DeleteServiceLinkedRole

Pour obtenir des instructions détaillées sur l'octroi d'autorisations, consultez la rubrique Autorisations requises pour gérer un rôle lié au service.

Consulter un rôle lié au service

Recherchez un rôle lié au service, tel que AliyunServiceRoleForNasStandard, sur la page Rôles de la console RAM. La page des détails du rôle affiche les informations suivantes :

Informations de base

Dans la section Basic information, vous pouvez consulter le nom du rôle, l'heure de création, l'ARN et la description.

Stratégie

Sous l'onglet Permissions, cliquez sur le nom de la stratégie pour afficher la stratégie et les ressources cloud auxquelles le rôle peut accéder.

Politique de confiance

Sous l'onglet Trust policy, consultez la politique de confiance. Une politique de confiance définit les entités de confiance autorisées à endosser le rôle. L'entité de confiance d'un rôle lié au service est un service Alibaba Cloud, identifiable grâce au champ Service dans la stratégie.

Pour obtenir des instructions détaillées sur la consultation d'un rôle lié au service, consultez la rubrique Afficher les informations relatives à un rôle RAM.

Supprimer un rôle lié au service

Si vous n'utilisez plus une fonctionnalité nécessitant un rôle lié au service, nous vous recommandons de supprimer ce rôle. Par exemple, si vous ne créez plus de systèmes de fichiers chiffrés avec KMS, vous pouvez supprimer le rôle AliyunServiceRoleForNasEncryption. Avant de supprimer le rôle, vous devez d'abord supprimer toutes les instances de système de fichiers associées. Pour plus d'informations, consultez les rubriques Supprimer un système de fichiers et Supprimer un rôle lié au service.

Important

Une fois un rôle lié au service supprimé, les fonctionnalités qui en dépendent cessent de fonctionner. Procédez avec prudence.

FAQ

Pourquoi mon utilisateur RAM ne peut-il pas créer automatiquement un rôle lié au service NAS ?

Par défaut, un utilisateur RAM n'est pas autorisé à créer des rôles liés au service. Pour accorder cette autorisation, attachez la stratégie suivante à l'utilisateur RAM. Dans la stratégie, remplacez YOUR_ALIBABA_CLOUD_ACCOUNT_ID par l'ID de votre compte Alibaba Cloud. Pour obtenir des instructions détaillées, consultez la rubrique Créer une stratégie personnalisée.

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:YOUR_ALIBABA_CLOUD_ACCOUNT_ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "standard.nas.aliyuncs.com",
                        "extreme.nas.aliyuncs.com",
                        "encryption.nas.aliyuncs.com",
                        "logdelivery.nas.aliyuncs.com",
                        "ecs-handler.nas.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}