Resource Access Management:Peran terkait layanan

Apa itu SLR?

Peran terkait layanan (SLR) adalah jenis khusus peran Resource Access Management (RAM) yang terhubung langsung ke layanan Alibaba Cloud. Layanan tersebut dapat mengasumsikan peran ini untuk melakukan aksi di layanan lain atas nama Anda.

• Kebijakan kepercayaan SLR telah ditentukan sebelumnya dan hanya mengizinkan layanan cloud terkait untuk mengasumsikannya. Pihak yang berwenang lainnya, seperti Pengguna RAM atau peran lain, tidak dapat mengasumsikan SLR.

• Kebijakan akses SLR juga telah ditentukan sebelumnya oleh layanan cloud. Anda tidak dapat memodifikasi kebijakan tersebut atau menyambungkan kebijakan tambahan. Hal ini memastikan bahwa layanan hanya memiliki izin yang diperlukan untuk berfungsi (prinsip hak istimewa minimal).

Cara kerja

Contoh berikut menunjukkan bagaimana Cloud Config menggunakan SLR:

1. Saat Anda mengaktifkan Cloud Config, layanan tersebut membuat SLR-nya—AliyunServiceRoleForConfig—di akun Anda.

   • Kebijakan kepercayaan: Hanya mengizinkan config.aliyuncs.com untuk mengasumsikan peran tersebut, sehingga memastikan hanya Cloud Config yang dapat menggunakannya.

   • Kebijakan akses: Memberikan izin untuk mengakses sumber daya dari layanan Alibaba Cloud seperti ECS dan ApsaraDB RDS.

2. Layanan mengasumsikan SLR tersebut. Cloud Config (bertindak sebagai pihak yang berwenang config.aliyuncs.com) mengasumsikan SLR ini untuk mendapatkan kredensial temporary.

3. Layanan melakukan aksi. Dengan menggunakan kredensial SLR, Cloud Config melakukan panggilan API read-only ke layanan seperti ECS dan ApsaraDB RDS untuk mengambil data konfigurasi dan menghasilkan laporan kepatuhan.

Dengan cara ini, Cloud Config dapat mengakses layanan lain secara aman dan mudah tanpa Anda harus mengonfigurasi kebijakan akses yang kompleks secara manual.

Mengelola SLR

Bagian ini menjelaskan izin yang diperlukan untuk mengelola SLR serta prosedur pembuatan dan penghapusannya.

Pengguna RAM memerlukan izin ram:CreateServiceLinkedRole dan ram:DeleteServiceLinkedRole untuk membuat dan menghapus SLR, masing-masing. Izin ini biasanya termasuk dalam kebijakan sistem akses penuh untuk layanan terkait (seperti AliyunResourceDirectoryFullAccess).

Sebagai alternatif, Anda dapat membuat kebijakan kustom untuk memberikan izin mengelola SLR untuk layanan tertentu. Kebijakan berikut memungkinkan pengguna RAM untuk membuat dan menghapus SLR hanya untuk layanan Resource Management. Untuk nilai ram:ServiceName, lihat kolom "Service identifier" di Layanan yang bekerja dengan peran terkait layanan.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
      }
    }
  ]
}

Membuat SLR

• Pembuatan otomatis: Dalam sebagian besar kasus, layanan terkait membuat SLR untuk Anda secara otomatis saat pertama kali Anda menggunakan fitur yang memerlukannya. Hal ini dapat terjadi saat Anda mengaktifkan layanan, membuat sumber daya, atau melakukan aksi lain di konsol layanan tersebut.

• Pembuatan manual: Jika SLR tidak dibuat secara otomatis, Anda dapat membuatnya secara manual melalui Konsol RAM, API, atau CLI. Untuk petunjuknya, lihat Membuat SLR.

Menghapus SLR

• Penghapusan otomatis: Beberapa layanan mungkin secara otomatis menghapus SLR saat Anda menonaktifkan layanan tersebut atau menghapus semua sumber daya terkaitnya.

• Penghapusan manual: Anda dapat menghapus SLR secara manual menggunakan Konsol RAM, API, atau CLI. Saat Anda mencoba menghapus SLR, RAM memeriksa apakah peran tersebut masih digunakan.

  • Jika peran tersebut tidak sedang digunakan, penghapusan berhasil.

  • Jika peran tersebut sedang digunakan, penghapusan gagal dan pesan error menunjukkan sumber daya mana yang masih menggunakan peran tersebut. Anda harus menghapus sumber daya dependen tersebut sebelum dapat menghapus SLR. Untuk langkah pembersihan spesifik tiap layanan, lihat dokumentasi layanan tersebut.

Mengasumsikan SLR

Hanya layanan cloud terkait yang dapat mengasumsikan SLR-nya. Anda tidak dapat langsung mengasumsikan SLR dari konsol atau dengan memanggil AssumeRole sebagai pengguna atau peran lain.

Memantau SLR dengan ActionTrail

Anda dapat melacak pembuatan, penghapusan, dan penggunaan SLR dengan meninjau log ActionTrail Anda.

• Audit siklus hidup dan asumsi SLR

  Untuk melacak kapan SLR dibuat, dihapus, atau diasumsikan, cari nama event berikut di Konsol ActionTrail:

  • CreateServiceLinkedRole: Mencatat pembuatan SLR.

  • DeleteServiceLinkedRole: Mencatat penghapusan SLR.

  • AssumeRole: Mencatat saat layanan mengasumsikan SLR. Dalam detail event, bidang userIdentity.principalId menampilkan pihak yang berwenang dari layanan (seperti tag.aliyuncs.com), dan bidang requestParameters.RoleArn menampilkan ARN dari SLR yang diasumsikan.

    {
      ...
      "requestParameters": {
        ...
        "RoleArn": "acs:ram::ACCOUNT_ID:role/aliyunservicerolefortag",
        "RoleSessionName": "tag_operate",
      },
      ...
      "userIdentity": {
        ...
        "principalId": "tag.aliyuncs.com",
        "userName": "tag.aliyuncs.com"
      },
      "eventName": "AssumeRole"
    }
    

• Audit aktivitas SLR

  Untuk melihat aksi yang dilakukan oleh SLR setelah diasumsikan, cari nama SLR di filter Operator.

FAQ