ECS ネットワーク接続診断のサービスリンクロール - Elastic Compute Service

このトピックでは、AliyunServiceRoleForECSNetworkInsights サービスリンクロールを使用して Elastic Compute Service (ECS) に権限を付与する方法について説明します。

背景情報

サービスリンクロールは、Alibaba Cloud サービスに関連付けられたロールであり、そのサービスの操作を実行するために必要な権限が含まれています。たとえば、AliyunServiceRoleForECSNetworkInsights サービスリンクロールには、VPC リソースにアクセスする権限があります。これらの権限は、診断パスの作成と診断タスクの開始に必要です。詳細については、「サービスリンクロール」をご参照ください。

AliyunServiceRoleForECSNetworkInsights のアクセスポリシー

ロール名：AliyunServiceRoleForECSNetworkInsights

ロールアクセスポリシー：AliyunServiceRolePolicyForECSNetworkInsights

ポリシーは次のとおりです：

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "vpc:DescribeNetworkAcls",
                "vpc:DescribeNetworkAclAttributes",
                "vpc:DescribeNatGateways",
                "vpc:DescribeRouteEntryList",
                "vpc:DescribeRouteTableList",
                "vpc:DescribeRouteTables",
                "vpc:DescribeRouterInterfaceAttribute",
                "vpc:DescribeRouterInterfaces",
                "vpc:DescribeVRouters",
                "antiddos-public:DescribeInstance"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "nis:IsOpenService",
                "nis:CreateNetworkPath",
                "nis:CreateNetworkReachableAnalysis",
                "nis:GetNetworkReachableAnalysis",
                "nis:DeleteNetworkPath",
                "nis:DeleteNetworkReachableAnalysis"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "BssOpenApi:CreateInstance"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "bss:ModifyInstance"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "network-insights.ecs.aliyuncs.com"
                }
            }
        }
    ]
}

AliyunServiceRoleForECSNetworkInsights の作成

診断パスを作成して診断タスクを開始すると、システムは AliyunServiceRoleForECSNetworkInsights ロールが存在するかどうかを確認します。ロールが存在しない場合、システムによって自動的に作成されます。

AliyunServiceRoleForECSNetworkInsights ロールには、AliyunServiceRolePolicyForECSNetworkInsights アクセスポリシーが含まれています。サービスリンクロールのアクセスポリシーは、関連付けられた Alibaba Cloud サービスによって定義および使用されます。サービスリンクロールの権限を追加、変更、または削除することはできません。

AliyunServiceRoleForECSNetworkInsights の削除

AliyunServiceRoleForECSNetworkInsights を使用する必要がなくなった場合は、手動で削除できます。詳細については、「RAM ロールの削除」をご参照ください。

よくある質問

RAM ユーザーが AliyunServiceRoleForECSNetworkInsights サービスリンクロールを自動的に作成できないのはなぜですか。

Resource Access Management (RAM) ユーザーが AliyunServiceRoleForECSNetworkInsights サービスリンクロールを自動的に作成または削除するには、特定の権限が必要です。RAM ユーザーがロールを自動的に作成できない場合は、次のアクセスポリシーをユーザーに追加してください。

{
  "Statement": [
    {
      "Action": "ram:CreateServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "network-insights.ecs.aliyuncs.com"
        }
      }
    }
  ],
  "Version": "1"
}