AliyunServiceRoleForVpn adalah peran terkait layanan yang secara otomatis dibuat oleh sistem saat Anda pertama kali membuat gateway VPN atau koneksi IPsec-VPN yang dikaitkan dengan router transit. Peran ini memungkinkan gateway VPN mengakses sumber daya cloud seperti elastic network interfaces (ENIs) dan grup keamanan.
Informasi latar belakang
Apa itu peran terkait layanan
Peran terkait layanan (SLR) adalah jenis peran RAM yang telah ditentukan sebelumnya oleh Alibaba Cloud untuk mengaktifkan akses lintas layanan. Peran ini memiliki karakteristik berikut:
Terkait dengan layanan cloud tertentu: SLR adalah jenis khusus peran RAM yang terikat pada layanan Alibaba Cloud tertentu.
Hanya dapat diasumsikan oleh layanan yang terikat: SLR hanya dapat diasumsikan oleh layanan Alibaba Cloud yang terkait dengannya, dan tidak dapat digunakan oleh identitas lain.
Ditetapkan sebelumnya oleh Alibaba Cloud: Peran itu sendiri, izin yang dikandungnya, serta kebijakan kepercayaan peran tersebut (yang menentukan layanan cloud mana yang dapat mengasumsikan peran tersebut) semuanya telah ditentukan sebelumnya oleh layanan Alibaba Cloud.
Tidak perlu pemeliharaan: Anda tidak perlu mengonfigurasi dan memelihara SLR secara manual.
Mengapa Anda memerlukan peran terkait layanan
Tanpa peran terkait layanan, ketika suatu layanan cloud perlu mengakses layanan cloud lain, Anda harus membuat peran RAM secara manual dan mengonfigurasi kebijakan izin serta kebijakan kepercayaan yang kompleks. Hal ini tidak hanya merepotkan, tetapi juga rentan menyebabkan gangguan layanan atau risiko keamanan akibat konfigurasi yang tidak tepat. Peran terkait layanan secara efektif mengatasi masalah-masalah tersebut:
Menyelesaikan masalah otorisasi akses lintas layanan di Alibaba Cloud. Misalnya, layanan Cloud Config perlu membaca informasi tentang sumber daya cloud Anda (seperti daftar sumber daya dan konfigurasi sumber daya) untuk menghasilkan laporan kepatuhan, yang memerlukan izin akses ke layanan cloud lain seperti ECS dan RDS. Dengan membuat dan mengasumsikan peran terkait layanan, layanan Cloud Config dapat memperoleh izin yang diperlukan untuk menjalankan fungsinya.
Mengurangi kompleksitas konfigurasi dan risiko kesalahan operasional. Kebijakan izin peran terkait layanan telah ditentukan sebelumnya oleh layanan Alibaba Cloud, sehingga setiap layanan cloud hanya memperoleh izin minimum yang diperlukan untuk menyelesaikan tugasnya, dan Anda tidak perlu mengonfigurasi izin secara manual. Hal ini membantu meningkatkan keamanan akun dan memastikan operasi stabil layanan cloud.
Untuk informasi selengkapnya, lihat Peran terkait layanan.
Buat AliyunServiceRoleForVpn
Sistem secara otomatis membuat AliyunServiceRoleForVpn saat Anda pertama kali membuat gateway VPN atau koneksi IPsec-VPN yang dikaitkan dengan router transit. Jika peran ini sudah ada, sistem tidak akan membuatnya lagi.
Untuk informasi lebih lanjut tentang cara membuat gateway VPN, lihat VPN gateway.
Untuk membuat koneksi IPsec-VPN, lihat Create an IPsec-VPN connection atau Create a VPN connection.
Kebijakan AliyunServiceRolePolicyForVpn disambungkan ke AliyunServiceRoleForVpn dan memberikan izin berikut:
{
"Version": "1",
"Statement": [
{
"Action": [
"vpc:DescribeVSwitchAttributes",
"vpc:TagResources",
"vpc:DescribeRouteTableList"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ecs:CreateNetworkInterface",
"ecs:CreateSecurityGroup",
"ecs:AuthorizeSecurityGroup",
"ecs:RevokeSecurityGroup",
"ecs:DeleteSecurityGroup",
"ecs:JoinSecurityGroup",
"ecs:LeaveSecurityGroup",
"ecs:DescribeSecurityGroups",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:DeleteNetworkInterfacePermission",
"ecs:CreateSecurityGroupPermission",
"ecs:AuthorizeSecurityGroupPermission",
"ecs:RevokeSecurityGroupPermission",
"ecs:JoinSecurityGroupPermission",
"ecs:DeleteSecurityGroupPermission",
"ecs:LeaveSecurityGroupPermission",
"ecs:DescribeSecurityGroupPermissions",
"ecs:AttachNetworkInterfacePermissions",
"ecs:DetachNetworkInterfacePermissions",
"ecs:AssignPrivateIpAddresses",
"ecs:UnassignPrivateIpAddresses",
"ecs:DescribeNetworkInterfaceAttribute"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "vpn.aliyuncs.com"
}
}
}
]
}Hapus AliyunServiceRoleForVpn
Anda hanya dapat menghapus AliyunServiceRoleForVpn setelah semua gateway VPN dan koneksi IPsec-VPN dihapus dari Akun Alibaba Cloud Anda. Untuk informasi selengkapnya, lihat bagian-bagian berikut dalam topik terkait:
FAQ
Mengapa pengguna RAM tidak dapat membuat AliyunServiceRoleForVpn?
Secara default, Akun Alibaba Cloud memiliki otorisasi untuk membuat AliyunServiceRoleForVpn. Untuk memberikan izin kepada pengguna Resource Access Management (RAM) agar dapat membuat peran ini, gunakan Akun Alibaba Cloud untuk memberikan izin yang diperlukan.
Buat kebijakan kustom dengan konten berikut sebagai contoh dan sambungkan ke pengguna RAM. Untuk informasi selengkapnya, lihat Create a custom policy dan Manage permissions for a RAM role.
{
"Statement": [
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "vpn.aliyuncs.com"
}
}
}
],
"Version": "1"
}