Cloud Storage Gateway:Funções vinculadas a serviço para o CSG

Informações básicas

Uma função vinculada a serviço é uma função do Resource Access Management (RAM) cuja entidade confiável é um serviço da Alibaba Cloud. O CSG assume essas funções para obter as permissões necessárias e acessar outros serviços ou recursos na nuvem.

Geralmente, o sistema cria automaticamente a função vinculada a serviço quando você executa uma operação que exige acesso a outro serviço de nuvem. Caso a criação automática falhe ou o CSG não permita esse processo, será necessário criar a função manualmente.

O RAM fornece uma política de sistema para cada função vinculada a serviço, e essa política não pode ser modificada. Para consultar os detalhes da política de uma função específica, acesse a página de detalhes dessa função.

Cenários

O CSG cria automaticamente uma função vinculada a serviço nos seguintes cenários:

• AliyunServiceRoleForHCSSGW

  No seu primeiro login no console do CSG, ao autorizar o uso de uma função vinculada a serviço, o sistema cria automaticamente a função AliyunServiceRoleForHCSSGW. Essa função permite que o CSG acesse o Elastic Compute Service (ECS), a Virtual Private Cloud (VPC), o Object Storage Service (OSS), o Simple Message Queue (SMQ) e o Key Management Service (KMS).

• AliyunServiceRoleForHCSSGWLogMonitor

  Ao utilizar o monitoramento de logs no console do CSG pela primeira vez e autorizar o uso da função vinculada a serviço, o CSG cria automaticamente a função AliyunServiceRoleForHCSSGWLogMonitor. Essa função concede ao CSG acesso ao Simple Log Service (SLS).

Permissões

AliyunServiceRoleForHCSSGW

A função AliyunServiceRoleForHCSSGW concede ao CSG permissões para acessar os seguintes serviços ou recursos de nuvem:

• Interfaces de rede elásticas (ENIs) e grupos de segurança no ECS

  O CSG requer as seguintes permissões para acessar ENIs e grupos de segurança:

  {
        "Action": [
          "ecs:CreateNetworkInterface",
          "ecs:DeleteNetworkInterface",
          "ecs:DescribeNetworkInterfaces",
          "ecs:CreateNetworkInterfacePermission",
          "ecs:DescribeNetworkInterfacePermissions",
          "ecs:DeleteNetworkInterfacePermission",
          "ecs:CreateSecurityGroup",
          "ecs:DescribeSecurityGroups",
          "ecs:AuthorizeSecurityGroup",
          "ecs:DeleteSecurityGroup",
          "ecs:JoinSecurityGroup"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• VPC

  As permissões abaixo são indispensáveis para que o CSG acesse recursos da VPC:

  {
        "Action": [
          "vpc:DescribeVpcs",
          "vpc:DescribeVSwitches"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• OSS

  Para fazer upload, baixe e gerencie recursos do OSS, o CSG precisa das seguintes permissões:

  {
        "Action": [
          "oss:ListBuckets",
          "oss:ListObjects",
          "oss:GetObject",
          "oss:PutObject",
          "oss:DeleteObject",
          "oss:HeadObject",
          "oss:CopyObject",
          "oss:InitiateMultipartUpload",
          "oss:UploadPart",
          "oss:UploadPartCopy",
          "oss:CompleteMultipartUpload",
          "oss:AbortMultipartUpload",
          "oss:ListMultipartUploads",
          "oss:ListParts",
          "oss:GetBucketStat",
          "oss:GetBucketWebsite",
          "oss:GetBucketInfo",
          "oss:GetBucketEncryption",
          "oss:PutBucketEncryption",
          "oss:DeleteBucketEncryption",
          "oss:RestoreObject",
          "oss:PutObjectTagging",
          "oss:GetObjectTagging",
          "oss:DeleteObjectTagging"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• KMS

  A execução de criptografia no lado do servidor ou no lado do cliente exige que o CSG possua estas permissões:

  {
        "Action": [
          "kms:DescribeKey",
          "kms:Encrypt",
          "kms:Decrypt",
          "kms:GenerateDataKey"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• SMQ

  Configure a sincronização expressa para gateways garantindo que o CSG tenha as permissões listadas a seguir:

  {
        "Action": [
          "mns:SendMessage",
          "mns:ReceiveMessage",
          "mns:PublishMessage",
          "mns:DeleteMessage",
          "mns:GetQueueAttributes",
          "mns:GetTopicAttributes",
          "mns:CreateTopic",
          "mns:DeleteTopic",
          "mns:CreateQueue",
          "mns:DeleteQueue",
          "mns:PutEventNotifications",
          "mns:DeleteEventNotifications",
          "mns:UpdateEventNotifications",
          "mns:GetEvent",
          "mns:Subscribe",
          "mns:Unsubscribe",
          "mns:ListTopic",
          "mns:ListQueue",
          "mns:ListSubscriptionByTopic"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

• Transações e faturas

  Para coletar e exibir informações de faturamento dos gateways, o CSG necessita das seguintes permissões:

  {
        "Action": [
          "bss:DescribePrice"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

AliyunServiceRoleForHCSSGWLogMonitor

A função AliyunServiceRoleForHCSSGWLogMonitor concede ao CSG permissão para acessar o seguinte serviço de nuvem:

• SLS

  O CSG deve ter as permissões abaixo para configure o monitoramento de logs nos gateways:

  {
        "Action": [
          "log:PostLogStoreLogs",
          "log:GetLogStore"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }

Permissões necessárias para um usuário RAM gerenciar funções vinculadas a serviço

Um usuário RAM precisa receber a política de sistema AliyunHCSSGWFullAccess ou uma política personalizada que inclua as seguintes permissões na instrução Action:

• ram:CreateServiceLinkedRole: permite que o usuário RAM crie uma função vinculada a serviço.

• ram:DeleteServiceLinkedRole: autoriza o usuário RAM a excluir uma função vinculada a serviço.

Para mais detalhes, consulte Permissões necessárias para criar e excluir uma função vinculada a serviço.

Visualize informações sobre uma função vinculada a serviço

Após a criação da função vinculada a serviço, pesquise pelo nome da função (por exemplo, AliyunServiceRoleForHCSSGW) na página Roles do console RAM para consultar as seguintes informações:

• Informações básicas

  Na página de detalhes da função AliyunServiceRoleForHCSSGW, a seção Basic Information exibe o nome da função, data de criação, ARN e descrição.

• Políticas

  Ainda na página de detalhes da função AliyunServiceRoleForHCSSGW, clique em no nome de uma política na aba Permissions para visualize o conteúdo da política e os recursos de nuvem acessíveis pela função.

• Política de confiança

  Na aba Trust Policy da página de detalhes da função AliyunServiceRoleForHCSSGW, visualize o conteúdo da política de confiança. Essa política define quais entidades confiáveis podem assumir a função RAM. No caso de funções vinculadas a serviço, a entidade confiável é sempre um serviço de nuvem, identificado pelo campo Service na política.

Exclua uma função vinculada a serviço

Antes de exclua uma função vinculada a serviço do CSG, exclua os gateways associados. Para mais informações, consulte Excluir uma função vinculada a serviço.

Perguntas frequentes

Por que a função vinculada a serviço não é criada automaticamente quando acesso o CSG como usuário RAM?

Isso ocorre porque o usuário RAM não possui as permissões necessárias para a criação automática da função vinculada a serviço do CSG. O sistema só cria essa função para usuários devidamente autorizados. Para resolver o problema, anexe a política abaixo ao usuário RAM. Substitua Alibaba Cloud account ID pelo ID real da sua conta. Para mais detalhes, consulte Criar uma política personalizada.

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:Alibaba Cloud account ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "hcs-sgw.aliyuncs.com ",
                        "logmonitor.hcs-sgw.aliyuncs.com",
                    ]
                }
            }
        }
    ],
    "Version": "1"
}