Resource Access Management：Peran terkait layanan

Apa itu SLR?

Peran terkait layanan (SLR) adalah jenis khusus peran Resource Access Management (RAM) yang ditautkan langsung ke layanan Alibaba Cloud. Layanan tersebut dapat mengasumsikan peran ini untuk melakukan aksi di layanan lain atas nama Anda.

• Kebijakan kepercayaan SLR telah ditentukan sebelumnya dan hanya mengizinkan layanan cloud yang ditautkan untuk mengasumsikannya. Tidak ada pihak berwenang lainnya, seperti Pengguna RAM atau peran lain, yang dapat mengasumsikan SLR.

• Kebijakan akses SLR juga telah ditentukan sebelumnya oleh layanan cloud. Anda tidak dapat mengubah kebijakan tersebut atau menyambungkan kebijakan tambahan. Hal ini memastikan bahwa layanan hanya memiliki izin yang diperlukan untuk berfungsi (prinsip hak istimewa minimal).

Cara kerja

Contoh berikut menunjukkan bagaimana Cloud Config menggunakan SLR:

1. Saat Anda mengaktifkan Cloud Config, layanan tersebut membuat SLR-nya—AliyunServiceRoleForConfig—di akun Anda.

   • Kebijakan kepercayaan: Hanya mengizinkan config.aliyuncs.com untuk mengasumsikan peran tersebut, yang memastikan hanya Cloud Config yang dapat menggunakannya.

   • Kebijakan akses: Memberikan izin untuk mengakses sumber daya dari layanan Alibaba Cloud seperti ECS dan ApsaraDB RDS.

2. Layanan mengasumsikan SLR tersebut. Cloud Config (bertindak sebagai pihak berwenang config.aliyuncs.com) mengasumsikan SLR ini untuk mendapatkan kredensial sementara.

3. Layanan melakukan aksi. Dengan menggunakan kredensial SLR, Cloud Config melakukan panggilan API read-only ke layanan seperti ECS dan ApsaraDB RDS untuk mengambil data konfigurasi dan menghasilkan laporan kepatuhan.

Dengan cara ini, Cloud Config dapat mengakses layanan lain secara aman dan mudah tanpa Anda perlu mengonfigurasi kebijakan akses yang kompleks secara manual.

Kelola SLR

Bagian ini menjelaskan izin yang diperlukan untuk mengelola SLR serta prosedur pembuatan dan penghapusannya.

Pengguna RAM memerlukan izin ram:CreateServiceLinkedRole dan ram:DeleteServiceLinkedRole untuk membuat dan menghapus SLR, masing-masing. Izin ini biasanya termasuk dalam kebijakan sistem akses penuh untuk layanan terkait (seperti AliyunResourceDirectoryFullAccess).

Sebagai alternatif, Anda dapat membuat kebijakan kustom untuk memberikan izin mengelola SLR untuk layanan tertentu. Kebijakan berikut memungkinkan pengguna RAM untuk membuat dan menghapus SLR hanya untuk layanan Resource Management. Untuk nilai ram:ServiceName, lihat kolom "Service identifier" di Layanan yang bekerja dengan peran terkait layanan.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
      }
    }
  ]
}

Buat SLR

• Pembuatan otomatis: Dalam kebanyakan kasus, layanan yang ditautkan akan membuat SLR untuk Anda secara otomatis saat pertama kali Anda menggunakan fitur yang memerlukannya. Hal ini bisa terjadi saat Anda mengaktifkan layanan, membuat sumber daya, atau melakukan aksi lain di konsol layanan tersebut.

• Pembuatan manual: Jika SLR tidak dibuat secara otomatis, Anda dapat membuatnya secara manual melalui Konsol RAM, API, atau CLI. Untuk petunjuknya, lihat Buat SLR.

Hapus SLR

• Penghapusan otomatis: Beberapa layanan mungkin secara otomatis menghapus SLR saat Anda menonaktifkan layanan tersebut atau menghapus semua sumber daya terkaitnya.

• Penghapusan manual: Anda dapat menghapus SLR secara manual menggunakan Konsol RAM, API, atau CLI. Saat Anda mencoba menghapus SLR, RAM akan memeriksa apakah peran tersebut masih digunakan.

  • Jika peran tersebut tidak sedang digunakan, penghapusan akan berhasil.

  • Jika peran tersebut sedang digunakan, penghapusan akan gagal dan pesan error akan menunjukkan sumber daya mana yang masih menggunakan peran tersebut. Anda harus menghapus sumber daya dependen tersebut sebelum dapat menghapus SLR. Untuk langkah pembersihan spesifik tiap layanan, lihat dokumentasi layanan tersebut.

Asumsikan SLR

Hanya layanan cloud yang ditautkan yang dapat mengasumsikan SLR-nya. Anda tidak dapat langsung mengasumsikan SLR dari konsol atau dengan memanggil AssumeRole sebagai pengguna atau peran lain.

Monitor SLR dengan ActionTrail

Anda dapat melacak pembuatan, penghapusan, dan penggunaan SLR dengan meninjau log ActionTrail Anda.

• Audit siklus hidup dan asumsi SLR

  Untuk melacak kapan SLR dibuat, dihapus, atau diasumsikan, cari nama event berikut di Konsol ActionTrail:

  • CreateServiceLinkedRole: Mencatat pembuatan SLR.

  • DeleteServiceLinkedRole: Mencatat penghapusan SLR.

  • AssumeRole: Mencatat saat layanan mengasumsikan SLR. Dalam detail event, bidang userIdentity.principalId menampilkan pihak berwenang dari layanan (seperti tag.aliyuncs.com), dan bidang requestParameters.RoleArn menampilkan ARN dari SLR yang diasumsikan.

    {
      ...
      "requestParameters": {
        ...
        "RoleArn": "acs:ram::ACCOUNT_ID:role/aliyunservicerolefortag",
        "RoleSessionName": "tag_operate",
      },
      ...
      "userIdentity": {
        ...
        "principalId": "tag.aliyuncs.com",
        "userName": "tag.aliyuncs.com"
      },
      "eventName": "AssumeRole"
    }
    

• Audit aktivitas SLR

  Untuk melihat aksi yang dilakukan oleh SLR setelah diasumsikan, cari nama SLR di filter Operator.

FAQ