Como excluir a função vinculada ao serviço de VPC AliyunServiceRoleForApiGatewayConnectUserVpc? - API Gateway: Central de Documentação do Alibaba Cloud

O API Gateway usa a função vinculada ao serviço AliyunServiceRoleForApiGatewayConnectUserVpc para gerenciar interfaces de rede, grupos de segurança e recursos de VPC durante a criação de uma instância dedicada.

As seções a seguir descrevem as permissões, a criação automática e a exclusão dessa função.

Para obter informações gerais sobre funções vinculadas ao serviço, consulte Funções vinculadas ao serviço.

Detalhes da função

Propriedade	Valor
Nome da função	`AliyunServiceRoleForApiGatewayConnectUserVpc`
Nome da política	`AliyunServiceRolePolicyForApiGatewayConnectUserVpc`
Serviço confiável	`connectuservpc.apigateway.aliyuncs.com`
Finalidade	Permite que instâncias dedicadas do API Gateway acessem serviços na sua virtual private cloud (VPC) pela rede interna

Permissões

A política AliyunServiceRolePolicyForApiGatewayConnectUserVpc concede as seguintes permissões:

Gerenciamento de interfaces de rede

Permissão	Descrição
`ecs:CreateNetworkInterface`	Cria elastic network interfaces (ENIs) na VPC para conectividade do API Gateway
`ecs:DeleteNetworkInterface`	Exclui ENIs desnecessárias
`ecs:AttachNetworkInterface`	Anexa ENIs a instâncias
`ecs:DetachNetworkInterface`	Desanexa ENIs de instâncias
`ecs:DescribeNetworkInterfaces`	Consulta detalhes das ENIs
`ecs:DescribeNetworkInterfaceAttribute`	Consulta atributos das ENIs
`ecs:ModifyNetworkInterfaceAttribute`	Atualiza atributos das ENIs
`ecs:CreateNetworkInterfacePermission`	Cria permissões de ENI entre contas
`ecs:DescribeNetworkInterfacePermissions`	Consulta permissões das ENIs

Gerenciamento de endereços IP

Permissão	Descrição
`ecs:AssignPrivateIpAddresses`	Atribui endereços IP privados às ENIs
`ecs:UnassignPrivateIpAddresses`	Libera endereços IP privados das ENIs
`ecs:AssignIpv6Addresses`	Atribui endereços IPv6 às ENIs
`ecs:UnassignIpv6Addresses`	Libera endereços IPv6 das ENIs

Acesso à VPC e ao grupo de segurança

Permissão	Descrição
`ecs:DescribeSecurityGroups`	Consulta grupos de segurança na VPC
`ecs:ListTagResources`	Lista recursos de tag
`vpc:DescribeVpcs`	Consulta VPCs disponíveis
`vpc:DescribeVpcAttribute`	Consulta atributos da VPC
`vpc:DescribeVSwitches`	Consulta vSwitches na VPC
`vpc:DescribeVSwitchAttributes`	Consulta atributos dos vSwitches
`vpc:ModifyBypassToaAttribute`	Modifica o atributo bypass ToA

Gerenciamento do ciclo de vida da função

Permissão	Descrição
`ram:DeleteServiceLinkedRole`	Exclui esta função vinculada ao serviço (restrito a `connectuservpc.apigateway.aliyuncs.com`)

Documento completo da política

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateNetworkInterface",
        "ecs:DescribeNetworkInterfaceAttribute",
        "ecs:DescribeNetworkInterfaces",
        "ecs:DeleteNetworkInterface",
        "ecs:DescribeSecurityGroups",
        "ecs:ModifyNetworkInterfaceAttribute",
        "ecs:AssignPrivateIpAddresses",
        "ecs:UnassignPrivateIpAddresses",
        "ecs:AssignIpv6Addresses",
        "ecs:UnassignIpv6Addresses",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:AttachNetworkInterface",
        "ecs:DetachNetworkInterface",
        "ecs:CreateNetworkInterfacePermission",
        "ecs:DescribeNetworkInterfacePermissions",
        "ecs:ListTagResources",
        "vpc:DescribeVSwitchAttributes",
        "vpc:DescribeVpcAttribute",
        "vpc:ModifyBypassToaAttribute"
      ],
      "Resource": "*"
    },
    {
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "connectuservpc.apigateway.aliyuncs.com"
        }
      }
    }
  ]
}

Criar a função

Essa função é criada automaticamente. Ao criar uma Dedicated Instance (VPC) no API Gateway, o sistema cria a função AliyunServiceRoleForApiGatewayConnectUserVpc e anexa a política AliyunServiceRolePolicyForApiGatewayConnectUserVpc.

Nota: Se a função não for criada automaticamente para seu usuário RAM, ele pode não ter as permissões necessárias. Anexe a seguinte política ao seu usuário RAM para conceder a permissão ram:CreateServiceLinkedRole:

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ram:CreateServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "connectuservpc.apigateway.aliyuncs.com"
        }
      }
    }
  ]
}

Editar a função

Não é possível editar a função vinculada ao serviço AliyunServiceRoleForApiGatewayConnectUserVpc. Após a criação, o nome e as permissões da função tornam-se fixos.

Excluir a função

Para excluir a função AliyunServiceRoleForApiGatewayConnectUserVpc, libere primeiro todas as instâncias dedicadas do API Gateway associadas a ela e, em seguida, remova a função no console RAM.

Etapa 1: Liberar a instância dedicada

Faça logon no console do API Gateway.
No painel de navegação à esquerda, escolha Instances and Clusters > Dedicated Instances.
Na aba Instances, localize a Dedicated Instance (VPC) e clique em Release Instance.

Etapa 2: Excluir a função

Faça logon no console RAM.
No painel de navegação à esquerda, escolha Identities > Roles.
Localize AliyunServiceRoleForApiGatewayConnectUserVpc e clique em Delete Role na coluna Actions.

Informações relacionadas

Funções vinculadas ao serviço