What is a service-linked role for CPFS? - Cloud Parallel File Storage: Central de Documentação do Alibaba Cloud

O Cloud Parallel File Storage (CPFS) utiliza funções vinculadas a serviço para acessar outros serviços da Alibaba Cloud, como Virtual Private Cloud e Object Storage Service. Este tópico descreve os casos de uso, as permissões e os métodos de exclusão dessas funções.

Informações básicas

Uma função vinculada a serviço é uma função do RAM cuja entidade confiável é um serviço da Alibaba Cloud. O Cloud Parallel File Storage usa funções vinculadas a serviço para acessar outros serviços ou recursos da nuvem.

Ao utilizar um recurso que exige uma função vinculada a serviço, o sistema geralmente cria a função automaticamente. Se a criação automática falhar ou se o Cloud Parallel File Storage não oferecer suporte a ela, crie a função vinculada a serviço manualmente.

O RAM fornece uma política de sistema para cada função vinculada a serviço. Não é possível modificar essa política. Para visualizar o conteúdo da política, acesse a página de detalhes da função correspondente no console do RAM.

Nota

Para obter mais informações sobre funções vinculadas a serviço, consulte Funções vinculadas a serviço.

Casos de uso

O CPFS utiliza as seguintes funções vinculadas a serviço:

AliyunServiceRoleForNasCpfsNetwork

Permite que o CPFS acesse a VPC e o ECS durante a criação ou exclusão de uma interface de rede elástica (ENI) ou de um grupo de segurança.
AliyunServiceRoleForNasCpfsClient

Permite que o CPFS acesse a VPC e o ECS ao criar ou excluir instâncias do ECS, o Cloud Assistant ou grupos de segurança.
AliyunServiceRoleForNasOssDataFlow

Permite que o CPFS consulte, leia e grave dados em um bucket do OSS especificado ao usar o recurso de dataflow.
AliyunServiceRoleForNasEventNotification

Permite que o CPFS crie e modifique parâmetros do EventBridge durante o uso do recurso de dataflow.

Para mais detalhes sobre funções vinculadas a serviço, consulte Funções vinculadas a serviço.

Permissões

As permissões concedidas a cada função vinculada a serviço do CPFS são as seguintes:

AliyunServiceRoleForNasCpfsNetwork

Esta função concede ao CPFS as permissões necessárias para gerenciar recursos de rede dos pontos de montagem:

VPC: Leitura de atributos de VPC e vSwitch para validar configurações de rede.
ecs (sem restrições): Criação de grupos de segurança e ENIs, além de gerenciamento de permissões de ENI.
ecs (apenas recursos com tag): Gerenciamento de regras de grupo de segurança para recursos marcados com nas:cpfs=true.

RAM: Exclusão desta função vinculada a serviço (escopo limitado a cpfs-network.nas.aliyuncs.com).

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "vpc:DescribeVSwitchAttributes",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecs:CreateSecurityGroup",
                "ecs:DescribeSecurityGroups",
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DescribeNetworkInterfacePermissions",
                "ecs:DeleteNetworkInterfacePermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:DeleteSecurityGroup",
                "ecs:AuthorizeSecurityGroup",
                "ecs:AuthorizeSecurityGroupEgress",
                "ecs:RevokeSecurityGroup",
                "ecs:RevokeSecurityGroupEgress"
            ],
            "Resource": "acs:ecs:*:*:*/*",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "ecs:tag/nas:cpfs": "true"
                }
            }
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "cpfs-network.nas.aliyuncs.com"
                }
            }
        }
    ]
}

AliyunServiceRoleForNasCpfsClient

Esta função concede ao CPFS as permissões para gerenciar instâncias cliente usadas na montagem:

VPC: Leitura de atributos de VPC e vSwitch.
ecs (sem restrições): Criação e consulta de instâncias e grupos de segurança, além de instalação do Cloud Assistant.
ecs (apenas recursos com tag): Inicialização e exclusão de instâncias, execução de comandos e gerenciamento de regras de grupo de segurança para recursos marcados com nas:cpfs=true.

RAM: Exclusão desta função vinculada a serviço (escopo limitado a cpfs-client.nas.aliyuncs.com).

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "vpc:DescribeVSwitchAttributes",
 "vpc:DescribeVpcs",
 "vpc:DescribeVSwitches"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Action": [
 "ecs:RunInstances",
 "ecs:CreateInstance",
 "ecs:DescribeInstances",
 "ecs:CreateSecurityGroup",
 "ecs:DescribeSecurityGroups",
 "ecs:InstallCloudAssistant",
 "ecs:DescribeInvocations"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:StartInstances",
 "ecs:DeleteInstances",
 "ecs:RunCommand",
 "ecs:DescribeSecurityGroupAttribute",
 "ecs:DeleteSecurityGroup",
 "ecs:AuthorizeSecurityGroup",
 "ecs:AuthorizeSecurityGroupEgress",
 "ecs:RevokeSecurityGroup",
 "ecs:RevokeSecurityGroupEgress"
 ],
 "Resource": "acs:ecs:*:*:*/*",
 "Condition": {
 "StringEqualsIgnoreCase": {
 "ecs:tag/nas:cpfs": "true"
 }
 }
 },
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "cpfs-client.nas.aliyuncs.com"
 }
 }
 } 
 ]
 }

AliyunServiceRoleForNasOssDataFlow

Esta função concede ao CPFS as permissões exigidas pelo recurso de dataflow para leitura e gravação de dados no OSS:

OSS (sem restrições): Listagem de todos os buckets e leitura de tags de bucket para localizar o bucket de destino.
OSS (apenas buckets com tag): Acesso total de leitura e gravação a buckets e seus objetos marcados com cpfs-dataflow=true, incluindo uploads multipart.

RAM: Exclusão desta função vinculada a serviço (escopo limitado a oss-dataflow.nas.aliyuncs.com).

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "oss:ListBuckets",
 "oss:GetBucketTagging"
 ],
 "Resource": [
 "acs:oss:*:*:*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "oss:HeadBucket",
 "oss:GetBucketLocation",
 "oss:GetBucketInventory",
 "oss:GetBucketInfo",
 "oss:GetBucketVersion",
 "oss:GetBucketAcl",
 "oss:GetBucketStat",
 "oss:GetBucket",
 "oss:ListObjects",
 "oss:GetObject",
 "oss:PutObject",
 "oss:CopyObject",
 "oss:AppendObject",
 "oss:DeleteObject",
 "oss:GetObjectMeta",
 "oss:PutObjectACL",
 "oss:GetObjectACL",
 "oss:PutObjectTagging",
 "oss:GetObjectTagging",
 "oss:InitiateMultipartUpload",
 "oss:CompleteMultipartUpload",
 "oss:AbortMultipartUpload",
 "oss:ListMultipartUploads",
 "oss:UploadPart",
 "oss:UploadPartCopy",
 "oss:ListParts"
 ],
 "Resource": [
 "acs:oss:*:*:*",
 "acs:oss:*:*:*/*"
 ],
 "Condition": {
 "StringEqualsIgnoreCase": {
 "oss:tag/cpfs-dataflow": "true"
 }
 }
 },
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "oss-dataflow.nas.aliyuncs.com"
 }
 }
 }
 ],
 "Version": "1"
}

AliyunServiceRoleForNasEventNotification

Esta função concede ao CPFS as permissões do EventBridge necessárias para gerenciar notificações de eventos do dataflow:

eventbridge (sem restrições): Leitura de detalhes do barramento de eventos e criação de regras.
eventbridge (todos os recursos): Consulta, listagem, atualização, ativação, desativação e exclusão de regras, além de gerenciamento de destinos de regras.

RAM: Exclusão desta função vinculada a serviço (escopo limitado a event-notification.nas.aliyuncs.com).

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "eventbridge:GetEventBus",
 "eventbridge:CreateRule"
 ],
 "Resource": [
 "acs:eventbridge:*:*:*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "eventbridge:GetRule",
 "eventbridge:ListRules",
 "eventbridge:UpdateRule",
 "eventbridge:EnableRule",
 "eventbridge:DisableRule",
 "eventbridge:DeleteRule",
 "eventbridge:CreateTargets",
 "eventbridge:UpdateTargets",
 "eventbridge:DeleteTargets"
 ],
 "Resource": [
 "acs:eventbridge:*:*:*"
 ]
 },
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "event-notification.nas.aliyuncs.com"
 }
 }
 }
 ],
 "Version": "1"
}

Permissões necessárias para usuários do RAM

Um usuário do RAM precisa ter a permissão AliyunNASFullAccess para criar ou excluir uma função vinculada a serviço. Alternativamente, um administrador pode adicionar as seguintes permissões à instrução Action em uma política personalizada:

Criar função vinculada a serviço: ram:CreateServiceLinkedRole
Excluir uma função vinculada a serviço: ram:DeleteServiceLinkedRole

Para mais informações sobre como conceder permissões, consulte Permissões necessárias para gerenciar funções vinculadas a serviço.

Visualizar uma função vinculada a serviço

Após criar uma função vinculada a serviço, acesse a página Roles no console do RAM, pesquise pelo nome da função (por exemplo, AliyunServiceRoleForNasCpfsNetwork) e clique em no nome da função para visualizar seus detalhes:

Informações básicas

Na seção Basic Information da página de detalhes da função AliyunServiceRoleForNasCpfsNetwork, visualize informações básicas como nome da função, hora de criação, ARN da função e descrição.
Permissões

Na aba Permissions da página de detalhes da função AliyunServiceRoleForNasCpfsNetwork, clique em no nome da política para visualizar seu conteúdo e os recursos da nuvem acessíveis à função.
Política de confiança

Na aba Trust Policy da página de detalhes da função AliyunServiceRoleForNasStandard, visualize o conteúdo da política de confiança. Essa política descreve as entidades confiáveis que podem assumir esta função do RAM. A entidade confiável de uma função vinculada a serviço é um serviço da nuvem, identificável no campo Service da política de confiança.

Para mais informações sobre como visualizar uma função vinculada a serviço, consulte Visualizar uma função do RAM.

Excluir uma função vinculada a serviço do CPFS

Caso não utilize mais recursos como o dataflow do CPFS, exclua a função vinculada a serviço correspondente. Antes da exclusão, remova as instâncias de sistema de arquivos do CPFS associadas à função. Para mais informações, consulte Excluir um sistema de arquivos e Excluir uma função vinculada a serviço.

Se a exclusão falhar porque a função ainda está em uso, aguarde alguns minutos e tente novamente.

Importante

Após a exclusão de uma função vinculada a serviço, os recursos dependentes dela deixam de funcionar. Proceda com cautela.

Perguntas frequentes

Por que um usuário do RAM não consegue criar automaticamente funções vinculadas a serviço do CPFS?

Para resolver esse problema, conceda ao usuário do RAM as seguintes políticas de sistema e personalizadas. Para mais informações, consulte Criar uma política personalizada.

Políticas de sistema
- AliyunVPCFullAccess: Permissões para gerenciar VPC.
- AliyunBSSFullAccess: Permissões para gerenciar o Billing Management.
- AliyunNASFullAccess: Permissões para gerenciar o NAS.
- AliyunECSNetworkInterfaceManagementAccess: Permissões para gerenciar ENIs do ECS.

Política personalizada

Para gerenciar pontos de montagem, são necessárias as permissões cpfs-network.nas.aliyuncs.com e cpfs-client.nas.aliyuncs.com.
Para gerenciar dataflows, são necessárias as permissões oss-dataflow.nas.aliyuncs.com e event-notification.nas.aliyuncs.com.

Exemplo de política:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": { 
         "ram:ServiceName": [
            "cpfs-network.nas.aliyuncs.com",
            "cpfs-client.nas.aliyuncs.com",
            "oss-dataflow.nas.aliyuncs.com",
            "event-notification.nas.aliyuncs.com" 
         ]
        }
      }
    }
  ]
}