O ApsaraMQ for Kafka utiliza funções vinculadas a service para acessar outros services da Alibaba Cloud, como o Elastic Compute Service (ECS), o Function Compute e o Key Management Service (KMS). Uma função vinculada a service é uma função do Resource Access Management (RAM) que o sistema cria automaticamente na primeira vez que você usa o recurso associado. Nenhuma configuração manual é necessária.
Para obter mais informações sobre como as funções vinculadas a service funcionam, consulte Service-linked roles.
Funções
O ApsaraMQ for Kafka utiliza quatro funções vinculadas a service:
|
Função |
Finalidade |
Criada automaticamente quando você... |
|
AliyunServiceRoleForAlikafka |
Gerencie interfaces de rede e grupos de segurança do ECS, além de consultar recursos da VPC para instâncias do Kafka. |
ative o ApsaraMQ for Kafka no console pela primeira vez. |
|
AliyunServiceRoleForAlikafkaConnector |
Acessa services downstream -- Function Compute, OSS, Elasticsearch, DataWorks, EventBridge, Tablestore, ApsaraDB RDS, AnalyticDB for PostgreSQL e AnalyticDB for MySQL -- para o recurso de conector. |
crie a connector no console pela primeira vez. |
|
AliyunServiceRoleForAlikafkaInstanceEncryption |
Acessa o KMS para criptografar discos de instâncias do Kafka. Atualmente disponível apenas por meio da API. |
implanta uma instância com criptografia de disco chamando a operação StartInstance pela primeira vez. |
|
AliyunServiceRoleForAlikafkaETL |
Acessa o Function Compute para execute tarefas de ETL para análise de dados. |
ative o ETL no console pela primeira vez. Consulte gerencie ETL tasks. |
Permissões
Cada função possui uma política gerenciada pelo sistema que concede apenas as permissões necessárias para o seu recurso. As seções a seguir resumem cada política. Expanda os blocos JSON para visualizar os documentos completos das políticas.
AliyunServiceRoleForAlikafka
Gerencie interfaces de rede e grupos de segurança do ECS, e consulta recursos da VPC para defina a conectividade de rede das instâncias do Kafka.
Ações permitidas:
ECS -- crie, descrever e exclua interfaces de rede, permissões de interface de rede e grupos de segurança. Autorizar e revogar regras de grupo de segurança.
VPC -- Descrever vSwitches e VPCs.
RAM -- exclua a própria função vinculada a service (com escopo para
alikafka.aliyuncs.com).
AliyunServiceRoleForAlikafkaConnector
Interage com os services downstream compatíveis com conectores, incluindo Function Compute, bancos de dados, armazenamento de objetos e streaming de eventos.
Ações permitidas:
Function Compute -- Invocar, crie, exclua e listar funções, services, versões de service, aliases e camadas.
ApsaraDB RDS -- Descrever bancos de dados.
OSS -- Listar buckets e obter ACLs de bucket.
Elasticsearch -- Descrever e listar instâncias.
DataWorks -- crie e consultar processos em tempo real.
EventBridge -- crie, atualize, obter, exclua, listar, iniciar, pausar e listar métricas de streamings de eventos.
Tablestore -- Operações completas de tabela e linha, incluindo índices de pesquisa e gerenciamento de service.
AnalyticDB for PostgreSQL -- Descrever instâncias e atributos de instância.
AnalyticDB for MySQL -- Descrever clusters, esquemas e tabelas.
RAM -- exclua a própria função vinculada a service (com escopo para
connector.alikafka.aliyuncs.com).
AliyunServiceRoleForAlikafkaInstanceEncryption
Gerencie chaves do KMS para criptografia de disco. As operações de criptografia, descriptografia e geração de chave de dados são restritas a chaves com a tag acs:alikafka:instance-encryption=true.
Ações permitidas:
KMS -- Listar chaves, listar aliases, listar tags de recursos, descrever chaves, adicionar e remover tags de recursos.
KMS (condicional) -- Criptografar, descriptografar e gerar chaves de dados apenas quando a chave tiver a tag
acs:alikafka:instance-encryption=true.RAM -- exclua a própria função vinculada a service (com escopo para
instanceencryption.alikafka.aliyuncs.com).
AliyunServiceRoleForAlikafkaETL
Gerencie recursos do Function Compute para execute de tarefas de ETL e transmite a função padrão do Function Compute.
Ações permitidas:
Function Compute -- Invocar, crie, exclua e listar funções, services, versões de service e aliases.
RAM -- exclua a própria função vinculada a service (com escopo para
etl.alikafka.aliyuncs.com).RAM -- Transmitir a função
aliyunfcdefaultrolepara o Function Compute.
Exclusão
exclua uma função vinculada a service remove as permissões das quais o ApsaraMQ for Kafka depende para o recurso associado. Esse recurso para de funcionar até que você recrie a função. Tenha cuidado: exclua uma função vinculada a service apenas se necessário.
Para recriar uma função excluída, consulte crie a RAM role for a trusted Alibaba Cloud service e Grant permissions to a RAM role.
Perguntas frequentes
Uma função vinculada a service não é criada para o meu usuário do RAM
Se a função já existir na sua conta da Alibaba Cloud, o seu usuário do RAM a herdará automaticamente. Se a herança falhar, crie uma política personalizada que conceda ram:CreateServiceLinkedRole para o service relevante e anexe-a ao seu usuário do RAM.
Substitua <service-name> pelo valor da função necessária:
|
Função |
Valor do nome do service |
|
AliyunServiceRoleForAlikafka |
|
|
AliyunServiceRoleForAlikafkaConnector |
|
|
AliyunServiceRoleForAlikafkaInstanceEncryption |
|
|
AliyunServiceRoleForAlikafkaETL |
|
Modelo de política:
{
"Statement": [
{
"Action": [
"ram:CreateServiceLinkedRole"
],
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "<service-name>"
}
}
}
],
"Version": "1"
}Para aplicar esta política:
Faça login no console do RAM.
crie uma política personalizada com o JSON acima.
Anexe a política ao seu usuário do RAM.
Se a função ainda não for criada após você anexar a política, anexe a política de sistema AliyunKafkaFullAccess ao seu usuário do RAM. Para obter mais informações, consulte Grant permissions to the RAM user.