Le rôle lié au service AliyunServiceRoleForNis permet à Network Intelligence Service (NIS) d'accéder aux ressources ECS, VPC, SLB, NLB, ALB, CEN, GA, PrivateLink, Express Connect Router, DTS, CloudMonitor et Quota Center afin d'assurer les diagnostics réseau, l'analyse et la gestion des journaux de flux.
Pour obtenir des informations générales sur les rôles liés au service, consultez la rubrique Rôles liés au service.
Permissions accordées
La politique AliyunServiceRolePolicyForNis est associée à ce rôle. Elle comprend quatre instructions avec les permissions suivantes :
Instruction 1 : Opérations Cloud Assistant
Ces autorisations permettent à NIS d'exécuter des commandes de diagnostic sur les instances ECS via Cloud Assistant.
| Action | Description |
|---|---|
ecs:InvokeCommand |
Exécution de commandes Cloud Assistant sur des instances ECS |
ecs:StopInvocation |
Arrêt d'une commande Cloud Assistant en cours d'exécution |
ecs:DescribeCloudAssistantStatus |
Vérification de l'installation de l'agent Cloud Assistant sur les instances et consultation des statistiques d'exécution des commandes |
ecs:DescribeCommands |
Liste des commandes Cloud Assistant disponibles |
ecs:DescribeInvocations |
Interrogation des historiques d'appel de commandes |
ecs:DescribeInvocationResults |
Récupération des résultats d'exécution des commandes |
Périmètre des ressources : Toutes les instances ECS (acs:ecs:*:*:instance/*) ainsi que les commandes correspondant au modèle acs:ecs:*:*:command/cmd-ACS-SLB-Diagnosis*.
Instruction 2 : Accès en lecture inter-services et gestion des journaux de flux
Grâce à ces droits, NIS peut interroger des ressources dans plusieurs services de mise en réseau et d'infrastructure, tout en gérant les journaux de flux.
| Action | Description |
|---|---|
dts:DescribeDtsJobs |
Consultation des tâches DTS et de leurs détails d'exécution |
vpc:Describe*, vpc:List*, vpc:Get* |
Interrogation des ressources et configurations VPC |
vpc:CreateFlowlog |
Création d'un journal de flux VPC |
vpc:DeleteFlowLog |
Suppression d'un journal de flux VPC |
vpc:ModifyFlowLogAttribute |
Modification du nom et de la description d'un journal de flux VPC |
vpc:DiagnoseVpnConnectionsHistory |
Consultation de l'historique des diagnostics des connexions IPsec-VPN |
vpc:UpgradeVpnGatewayFirmware |
Mise à niveau du microprogramme d'une passerelle VPN |
quotas:ListProductQuotas |
Interrogation des quotas d'un produit cloud spécifique |
cms:DescribeMetricLast |
Récupération des dernières données de surveillance d'une métrique |
cms:GetCmsService |
Vérification de l'état d'activation de CloudMonitor |
cms:GetPrometheus* |
Consultation des ressources de surveillance liées à Prometheus |
bssapi:QueryAvailableInstances |
Recherche des instances disponibles pour les services Alibaba Cloud |
ecs:DescribeInstances |
Interrogation des instances ECS |
ecs:DescribeSecurityGroups |
Consultation des groupes de sécurité |
ecs:DescribeSecurityGroupAttribute |
Affichage des règles des groupes de sécurité |
ecs:DescribeSecurityGroupReferences |
Obtention des références croisées des groupes de sécurité |
ecs:DescribeNetworkInterfaces |
Liste des interfaces réseau élastiques (ENI) |
alb:ListLoadBalancers |
Recensement des instances Application Load Balancer (ALB) |
alb:GetLoadBalancerAttribute |
Récupération des détails d'une instance ALB |
slb:Describe* |
Consultation des ressources Classic Load Balancer (CLB) |
nlb:ListLoadBalancers |
Liste des instances Network Load Balancer (NLB) |
nlb:GetListenerAttribute |
Détails des écouteurs NLB |
nlb:ListServerGroups |
Énumération des groupes de serveurs NLB |
nlb:ListServerGroupServers |
Serveurs appartenant à un groupe de serveurs NLB |
nlb:ListListeners |
Listage des écouteurs NLB |
cen:Describe*, cen:List* |
Exploration des ressources Cloud Enterprise Network (CEN) |
cen:CreateFlowlog |
Création d'un journal de flux CEN |
cen:DeleteFlowlog |
Suppression d'un journal de flux CEN |
privatelink:List*, privatelink:Get* |
Accès aux ressources PrivateLink |
ga:Describe*, ga:List*, ga:Get*, ga:Check*, ga:Query* |
Requêtes sur les ressources Global Accelerator (GA) |
expressconnectrouter:Describe*, expressconnectrouter:List* |
Informations sur les ressources Express Connect Router (ECR) |
Périmètre des ressources : Toutes les ressources (*).
Instruction 3 : Auto-suppression
| Action | Description |
|---|---|
ram:DeleteServiceLinkedRole |
Supprime ce rôle lié au service |
Condition : Restreint à ram:ServiceName = nis.aliyuncs.com.
Instruction 4 : Création du rôle lié au service de journal de flux CEN
| Action | Description |
|---|---|
ram:CreateServiceLinkedRole |
Crée le rôle lié au service pour les journaux de flux CEN |
Condition : Restreint à ram:ServiceName = flowlog.cen.aliyuncs.com.
Politique JSON complète (v17)
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:InvokeCommand",
"ecs:StopInvocation",
"ecs:DescribeCloudAssistantStatus",
"ecs:DescribeCommands",
"ecs:DescribeInvocations",
"ecs:DescribeInvocationResults"
],
"Resource": [
"acs:ecs:*:*:instance/*",
"acs:ecs:*:*:command/cmd-ACS-SLB-Diagnosis*"
],
"Effect": "Allow"
},
{
"Action": [
"dts:DescribeDtsJobs",
"vpc:UpgradeVpnGatewayFirmware",
"quotas:ListProductQuotas",
"cms:DescribeMetricLast",
"cms:GetCmsService",
"cms:GetPrometheus*",
"bssapi:QueryAvailableInstances",
"ecs:DescribeInstances",
"ecs:DescribeSecurityGroups",
"ecs:DescribeSecurityGroupAttribute",
"ecs:DescribeSecurityGroupReferences",
"ecs:DescribeNetworkInterfaces",
"alb:ListLoadBalancers",
"alb:GetLoadBalancerAttribute",
"slb:Describe*",
"nlb:ListLoadBalancers",
"nlb:GetListenerAttribute",
"nlb:ListServerGroups",
"nlb:ListServerGroupServers",
"nlb:ListListeners",
"vpc:Describe*",
"vpc:List*",
"vpc:Get*",
"vpc:CreateFlowlog",
"vpc:DeleteFlowLog",
"vpc:UpgradeVpnGatewayFirmware",
"vpc:DiagnoseVpnConnectionsHistory",
"vpc:ModifyFlowLogAttribute",
"cen:Describe*",
"cen:List*",
"cen:CreateFlowlog",
"cen:DeleteFlowlog",
"privatelink:List*",
"privatelink:Get*",
"ga:Describe*",
"ga:List*",
"ga:Get*",
"ga:Check*",
"ga:Query*",
"expressconnectrouter:Describe*",
"expressconnectrouter:List*"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "nis.aliyuncs.com"
}
}
},
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "flowlog.cen.aliyuncs.com"
}
}
}
]
}Création du rôle
Le rôle AliyunServiceRoleForNis est créé automatiquement lors de votre première utilisation de NIS. S'il n'existe pas encore, le système le génère et lui attache la politique AliyunServiceRolePolicyForNis.
Aucune intervention manuelle n'est nécessaire.
Supprimer le rôle lié au service
Pour supprimer le rôle AliyunServiceRoleForNis, procédez comme suit :
Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, choisissez Identities > Roles.
Sur la page Roles, localisez AliyunServiceRoleForNis. Dans la colonne Actions, cliquez sur Delete Role.
Dans la boîte de dialogue qui s'affiche, saisissez le nom du rôle puis cliquez sur Delete Role.
Après la suppression de ce rôle, le système le recrée automatiquement lors de votre prochaine utilisation de la fonctionnalité de diagnostic dans NIS.
FAQ
Pourquoi la création automatique du rôle échoue-t-elle pour un utilisateur RAM ?
L'utilisateur RAM ne dispose pas de la permission ram:CreateServiceLinkedRole. Pour lui accorder ce droit, attachez la politique personnalisée suivante à l'utilisateur RAM. Pour plus d'instructions, reportez-vous à la rubrique Créer des politiques personnalisées.
{
"Statement": [
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "nis.aliyuncs.com"
}
}
}
],
"Version": "1"
}