VPN Gateway のサービスリンクロール AliyunServiceRoleForVpn - VPN Gateway

AliyunServiceRoleForVpn は、VPN Gateway またはトランジットルーターに関連付けられた IPsec-VPN 接続を初めて作成する際に、システムが自動的に作成するサービスリンクロールです。このロールにより、VPN Gateway は Elastic Network Interface (ENI) やセキュリティグループなどのクラウドリソースにアクセスできます。

背景情報

サービスリンクロールとは

サービスリンクロール (SLR) は、Alibaba Cloud によって事前定義された RAM ロールの一種で、サービス間アクセスを可能にします。次の特徴があります。

特定のクラウドサービスにバインドされる：サービスリンクロールは、特定の Alibaba Cloud サービスにバインドされた特殊な RAM ロールです。
バインドされたサービスのみが引き受け可能：サービスリンクロールは、バインドされた Alibaba Cloud サービスのみが引き受けることができ、他の ID では使用できません。
Alibaba Cloud によって事前定義される：ロール自体、ロールに含まれる許可、およびロールの信頼ポリシー (ロールを引き受けることができるクラウドサービスを指定) はすべて、Alibaba Cloud サービスによって事前定義されます。
メンテナンス不要：サービスリンクロールを手動で設定および維持する必要はありません。

サービスリンクロールが必要な理由

サービスリンクロールがない場合、クラウドサービスが他のクラウドサービスにアクセスする必要があるとき、RAM ロールを手動で作成し、複雑な許可ポリシーと信頼ポリシーを設定する必要があります。これは煩雑であるだけでなく、不適切な設定によるサービス異常やセキュリティリスクが発生しやすくなります。サービスリンクロールは、これらの問題を効果的に解決します。

Alibaba Cloud 上のサービス間の認可アクセスの問題を解決します。たとえば、Cloud Config サービスがコンプライアンスレポートを生成するために、クラウドリソース (リソースリストやリソース設定など) に関する情報を読み取る必要がある場合、ECS や RDS などの他のクラウドサービスへのアクセス許可が必要です。サービスリンクロールを作成して引き受けることで、Cloud Config サービスは独自の機能を実行するために必要な許可を取得できます。
設定の複雑さと誤操作のリスクを軽減します。サービスリンクロールの許可ポリシーは Alibaba Cloud サービスによって事前定義されているため、各クラウドサービスがタスクを完了するために必要な最小限の許可のみを取得することが保証され、許可を手動で設定する必要はありません。これにより、アカウントのセキュリティが向上し、クラウドサービスの安定した動作が保証されます。

詳細については、「サービスリンクロール」をご参照ください。

AliyunServiceRoleForVpn の作成

システムは、VPN Gateway またはトランジットルーターに関連付けられた IPsec-VPN 接続を初めて作成する際に、AliyunServiceRoleForVpn を自動的に作成します。このロールがすでに存在する場合、システムは再度作成しません。

VPN Gateway の作成方法については、「VPN Gateway の作成と管理」をご参照ください。
IPsec-VPN 接続を作成するには、「IPsec-VPN 接続の作成」または「VPN 接続の作成」をご参照ください。

AliyunServiceRolePolicyForVpn ポリシーは AliyunServiceRoleForVpn にアタッチされ、次の許可を付与します：

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "vpc:DescribeVSwitchAttributes" 、
        "vpc:TagResources" 、
        "vpc:DescribeRouteTableList"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "ecs:CreateNetworkInterface",
        "ecs:CreateSecurityGroup",
        "ecs:AuthorizeSecurityGroup",
        "ecs:RevokeSecurityGroup",
        "ecs:DeleteSecurityGroup",
        "ecs:JoinSecurityGroup",
        "ecs:LeaveSecurityGroup" 、
        "ecs:DescribeSecurityGroups",
        "ecs:AttachNetworkInterface",
        "ecs:DetachNetworkInterface" 、
        "ecs:DeleteNetworkInterface",
        "ecs:DescribeNetworkInterfaces",
        "ecs: DescribeNetworkInterfaces"、
        "ecs:DescribeNetworkInterfacePermissions",
        "ecs:DeleteNetworkInterfacePermission",
        "ecs:CreateSecurityGroupPermission" 、
        "ecs:AuthorizeSecurityGroupPermission" 、
        "ecs:RevokeSecurityGroupPermission" 、
        "ecs:JoinSecurityGroupPermission" 、
        "ecs:DeleteSecurityGroupPermission" 、
        "ecs:LeaveSecurityGroupPermission" 、
        "ecs:DescribeSecurityGroupPermissions" 、
        "ecs:AttachNetworkInterfacePermissions" 、
        "ecs:DetachNetworkInterfacePermissions" 、
        "ecs:AssignPrivateIpAddresses" 、
        "ecs:UnassignPrivateIpAddresses" 、
        "ecs:DescribeNetworkInterfaceAttribute"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "アクション": "ram:DeleteServiceLinkedRole" 、
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "vpn.aliyuncs.com"
        }
      }
    }
  ]
}

AliyunServiceRoleForVpn の削除

AliyunServiceRoleForVpn を削除するには、Alibaba Cloud アカウントからすべての VPN Gateway と IPsec-VPN 接続を削除する必要があります。詳細については、関連トピックの次のセクションをご参照ください。

よくある質問

RAM ユーザーが AliyunServiceRoleForVpn を作成できないのはなぜですか。

デフォルトでは、Alibaba Cloud アカウントには AliyunServiceRoleForVpn を作成する権限があります。Resource Access Management (RAM) ユーザーがこのロールを作成できるようにするには、Alibaba Cloud アカウントを使用して必要な許可を付与してください。

次の内容を例としてカスタムポリシーを作成し、RAM ユーザーにアタッチしてください。詳細については、「カスタムポリシーの作成」および「RAM ユーザーへの権限付与」をご参照ください。

{
    "Statement": [
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "vpn.aliyuncs.com"
                }
            }
        }
    ],
    "Version": "1"
}