What is a service-linked role for CPFS - Cloud Parallel File Storage: Central de Documentação do Alibaba Cloud

Para executar operações como gerenciar pontos de montagem e dataflows, um sistema de arquivos CPFS precisa acessar outros serviços da Alibaba Cloud, incluindo VPC, ECS e OSS. O CPFS cria automaticamente funções vinculadas a serviço que concedem os privilégios mínimos necessários para acesso entre serviços, eliminando a necessidade de configurar permissões manualmente.

Como funcionam as funções vinculadas a serviço

Uma função vinculada a serviço é um tipo de função do RAM cuja entidade confiável é um serviço da Alibaba Cloud. O CPFS utiliza essas funções para acessar outros serviços e recursos da Alibaba Cloud, o que elimina a necessidade de configurar permissões entre serviços manualmente.

Ao realizar determinadas operações, o sistema cria automaticamente a função vinculada a serviço necessária. Se a criação automática falhar ou se o CPFS não oferecer suporte a esse processo, crie a função manualmente.

O RAM anexa uma política de sistema a cada função vinculada a serviço. Essa política não pode ser modificada. Para visualizar os detalhes da política, acesse a página de detalhes da função específica.

Nota

Para obter mais informações sobre funções vinculadas a serviço, consulte Funções vinculadas a serviço.

Funções vinculadas a serviço para CPFS

O CPFS utiliza as quatro funções vinculadas a serviço listadas abaixo. As permissões de cada função são restritas às suas operações específicas:

AliyunServiceRoleForNasCpfsNetwork

O CPFS assume esta função para acessar a VPC e o ECS ao criar ou excluir uma interface de rede elástica (ENI) ou um grupo de segurança.
AliyunServiceRoleForNasCpfsClient

O CPFS assume esta função para acessar a VPC e o ECS durante a criação ou exclusão de uma instância ECS, uma instância do Cloud Assistant, informações de autorização ou um grupo de segurança.
AliyunServiceRoleForNasOssDataFlow

Quando o recurso de dataflow está ativo, o CPFS utiliza esta função para consultar, ler e gravar dados em um bucket do OSS especificado.
AliyunServiceRoleForNasEventNotification

Com o recurso de dataflow ativado, o CPFS assume esta função para criar e modificar parâmetros relacionados a notificações de eventos do EventBridge.

Para mais detalhes sobre funções vinculadas a serviço, consulte Funções vinculadas a serviço.

Permissões

As políticas de permissão abaixo estão anexadas às funções vinculadas a serviço do CPFS. Cada função possui permissões limitadas ao mínimo necessário para seu funcionamento.

AliyunServiceRoleForNasCpfsNetwork

Esta função permite que o CPFS execute as seguintes operações:

VPC: consultar VPCs, vSwitches e seus atributos
ECS: criar, consultar e excluir grupos de segurança e interfaces de rede elásticas; gerenciar permissões de interface de rede elástica

As operações em grupos de segurança e interfaces de rede elástica são restritas a recursos marcados com a tag nas:cpfs=true.

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "vpc:DescribeVSwitchAttributes",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecs:CreateSecurityGroup",
                "ecs:DescribeSecurityGroups",
                "ecs:CreateNetworkInterface",
                "ecs:DeleteNetworkInterface",
                "ecs:DescribeNetworkInterfaces",
                "ecs:CreateNetworkInterfacePermission",
                "ecs:DescribeNetworkInterfacePermissions",
                "ecs:DeleteNetworkInterfacePermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeSecurityGroupAttribute",
                "ecs:DeleteSecurityGroup",
                "ecs:AuthorizeSecurityGroup",
                "ecs:AuthorizeSecurityGroupEgress",
                "ecs:RevokeSecurityGroup",
                "ecs:RevokeSecurityGroupEgress"
            ],
            "Resource": "acs:ecs:*:*:*/*",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "ecs:tag/nas:cpfs": "true"
                }
            }
        },
        {
            "Action": "ram:DeleteServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "cpfs-network.nas.aliyuncs.com"
                }
            }
        }
    ]
}

AliyunServiceRoleForNasCpfsClient

Esta função permite que o CPFS execute as seguintes operações:

VPC: consultar VPCs, vSwitches e respectivos atributos
ECS: executar, criar, iniciar e excluir instâncias; instalar e invocar o Cloud Assistant; gerenciar grupos de segurança

Operações envolvendo grupos de segurança e instâncias aplicam-se apenas a recursos com a tag nas:cpfs=true.

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "vpc:DescribeVSwitchAttributes",
 "vpc:DescribeVpcs",
 "vpc:DescribeVSwitches"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Action": [
 "ecs:RunInstances",
 "ecs:CreateInstance",
 "ecs:DescribeInstances",
 "ecs:CreateSecurityGroup",
 "ecs:DescribeSecurityGroups",
 "ecs:InstallCloudAssistant",
 "ecs:DescribeInvocations"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:StartInstances",
 "ecs:DeleteInstances",
 "ecs:RunCommand",
 "ecs:DescribeSecurityGroupAttribute",
 "ecs:DeleteSecurityGroup",
 "ecs:AuthorizeSecurityGroup",
 "ecs:AuthorizeSecurityGroupEgress",
 "ecs:RevokeSecurityGroup",
 "ecs:RevokeSecurityGroupEgress"
 ],
 "Resource": "acs:ecs:*:*:*/*",
 "Condition": {
 "StringEqualsIgnoreCase": {
 "ecs:tag/nas:cpfs": "true"
 }
 }
 },
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "cpfs-client.nas.aliyuncs.com"
 }
 }
 } 
 ]
 }

AliyunServiceRoleForNasOssDataFlow

Esta função permite que o CPFS execute as seguintes operações:

OSS (sem restrições): listar buckets e obter tags de bucket

OSS (apenas buckets com tag): executar todas as operações de leitura, gravação e upload multipart em buckets marcados com cpfs-dataflow=true

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "oss:ListBuckets",
 "oss:GetBucketTagging"
 ],
 "Resource": [
 "acs:oss:*:*:*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "oss:HeadBucket",
 "oss:GetBucketLocation",
 "oss:GetBucketInventory",
 "oss:GetBucketInfo",
 "oss:GetBucketVersion",
 "oss:GetBucketAcl",
 "oss:GetBucketStat",
 "oss:GetBucket",
 "oss:ListObjects",
 "oss:GetObject",
 "oss:PutObject",
 "oss:CopyObject",
 "oss:AppendObject",
 "oss:DeleteObject",
 "oss:GetObjectMeta",
 "oss:PutObjectACL",
 "oss:GetObjectACL",
 "oss:PutObjectTagging",
 "oss:GetObjectTagging",
 "oss:InitiateMultipartUpload",
 "oss:CompleteMultipartUpload",
 "oss:AbortMultipartUpload",
 "oss:ListMultipartUploads",
 "oss:UploadPart",
 "oss:UploadPartCopy",
 "oss:ListParts"
 ],
 "Resource": [
 "acs:oss:*:*:*",
 "acs:oss:*:*:*/*"
 ],
 "Condition": {
 "StringEqualsIgnoreCase": {
 "oss:tag/cpfs-dataflow": "true"
 }
 }
 },
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "oss-dataflow.nas.aliyuncs.com"
 }
 }
 }
 ],
 "Version": "1"
}

AliyunServiceRoleForNasEventNotification

Esta função permite que o CPFS execute as seguintes operações:

EventBridge: obter barramentos de eventos e criar regras

EventBridge: listar, atualizar, ativar, desativar e excluir regras; criar, atualizar e excluir destinos

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "eventbridge:GetEventBus",
 "eventbridge:CreateRule"
 ],
 "Resource": [
 "acs:eventbridge:*:*:*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "eventbridge:GetRule",
 "eventbridge:ListRules",
 "eventbridge:UpdateRule",
 "eventbridge:EnableRule",
 "eventbridge:DisableRule",
 "eventbridge:DeleteRule",
 "eventbridge:CreateTargets",
 "eventbridge:UpdateTargets",
 "eventbridge:DeleteTargets"
 ],
 "Resource": [
 "acs:eventbridge:*:*:*"
 ]
 },
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "event-notification.nas.aliyuncs.com"
 }
 }
 }
 ],
 "Version": "1"
}

Permissões de usuário RAM para funções vinculadas a serviço

Para que um usuário RAM crie ou exclua uma função vinculada a serviço do CPFS, um administrador deve conceder a ele a política de sistema AliyunNASFullAccess. Como alternativa, adicione as seguintes permissões à instrução Action de uma política personalizada:

Criar uma função vinculada a serviço: ram:CreateServiceLinkedRole
Excluir uma função vinculada a serviço: ram:DeleteServiceLinkedRole

Para saber mais sobre como conceder permissões, consulte Permissões necessárias para gerenciar funções vinculadas a serviço.

Visualizar uma função vinculada a serviço

Após a criação de uma função vinculada a serviço, localize-a na página Roles do console RAM pesquisando pelo nome, como AliyunServiceRoleForNasCpfsNetwork, para visualizar as informações abaixo:

Basic Information

Na seção Basic Information da página de detalhes da função, visualize dados básicos, incluindo nome da função, hora de criação, ARN da função e descrição.
Permission Policy

Na aba Permissions da página de detalhes da função, clique em nome da política de permissão para visualizar o documento da política e os recursos acessíveis pela função.
Trust Policy

A aba Trust Policy na página de detalhes da função exibe o documento da política de confiança. Essa política define as entidades confiáveis que podem assumir a função. No caso de funções vinculadas a serviço, a entidade confiável é um serviço da Alibaba Cloud, conforme especificado no campo Service da política de confiança.

Para mais instruções sobre como visualizar uma função vinculada a serviço, consulte Visualizar informações sobre uma função RAM.

Excluir uma função vinculada a serviço para CPFS

Caso não precise mais de uma função vinculada a serviço do CPFS — por exemplo, após parar de usar o recurso de dataflow —, exclua a função. Antes disso, é obrigatório excluir as instâncias de sistema de arquivos CPFS associadas. Para mais informações, consulte Excluir um sistema de arquivos e Excluir uma função vinculada a serviço.

FAQ

Por que um usuário RAM não consegue criar automaticamente uma função vinculada a serviço para CPFS?

Um usuário RAM precisa ter permissões específicas para acionar a criação automática de uma função vinculada a serviço. Anexe as seguintes políticas de sistema e uma política personalizada ao usuário RAM. Para saber como criar uma política personalizada, consulte Criar uma política de permissão personalizada.

Políticas de sistema
- AliyunVPCFullAccess: Permissões para gerenciar VPC.
- AliyunBSSFullAccess: Permissões para gerenciar o Billing Management.
- AliyunNASFullAccess: Permissões para gerenciar NAS.
- AliyunECSNetworkInterfaceManagementAccess: Permissões para gerenciar interfaces de rede elásticas do ECS.

Política personalizada

Para gerenciar pontos de montagem, são necessárias permissões para cpfs-network.nas.aliyuncs.com e cpfs-client.nas.aliyuncs.com.
Para gerenciar dataflow, são necessárias permissões para oss-dataflow.nas.aliyuncs.com e event-notification.nas.aliyuncs.com.

Exemplo:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": { 
         "ram:ServiceName": [
            "cpfs-network.nas.aliyuncs.com",
            "cpfs-client.nas.aliyuncs.com",
            "oss-dataflow.nas.aliyuncs.com",
            "event-notification.nas.aliyuncs.com" 
         ]
        }
      }
    }
  ]
}