O Data Management Service (DMS) usa duas funções vinculadas ao serviço para acessar outros serviços da Alibaba Cloud em seu nome: AliyunServiceRoleForDMS para recursos do DMS e AliyunServiceRoleForDBS para Recuperação de Desastres de Dados. Este tópico descreve a finalidade de cada função, as permissões associadas e os procedimentos para criar, visualizar ou excluir essas funções.
Contexto
Uma função vinculada ao serviço é um tipo especial de função do Resource Access Management (RAM) com duas diferenças fundamentais em relação a uma função RAM comum:
Propriedade do serviço: O serviço de nuvem cria e possui a função, não a sua conta.
Permissões fixas: Não é possível editar a política de permissões. O próprio serviço define e gerencia essas permissões.
Para obter uma visão geral das funções RAM, consulte Visão geral de funções RAM. Para mais detalhes sobre o mecanismo de funções vinculadas ao serviço, consulte Funções vinculadas ao serviço.
Cenários
Data Management (DMS)
Quando um recurso do DMS precisa acessar itens como ECS, VPC, RDS e outros bancos de dados ou ferramentas, a função vinculada ao serviço para DMS concede as permissões de acesso necessárias.
Data Disaster Recovery (DBS)
A função vinculada ao serviço para DBS (AliyunServiceRoleForDBS) é uma função RAM com permissões para acessar outros serviços da Alibaba Cloud. O DBS usa essa função para obter as permissões necessárias à conexão com bancos de dados ApsaraDB adquiridos na Alibaba Cloud, como RDS, MongoDB, Redis e PolarDB, ou com bancos de dados autogerenciados em instâncias ECS. Para mais informações, consulte Funções vinculadas ao serviço.
Detalhes das funções
AliyunServiceRoleForDMS
Finalidade desta função
A função AliyunServiceRoleForDMS permite que o DMS acesse instâncias do Elastic Compute Service (ECS), virtual private clouds (VPCs), instâncias do ApsaraDB RDS e recursos nos bancos de dados e ferramentas gerenciados por ele. Especificamente:
Consulta recursos de bancos de dados em nuvem, como ApsaraDB RDS, PolarDB e Lindorm, para viabilizar o gerenciamento centralizado dos bancos de dados da Alibaba Cloud.
Consulta instâncias ECS e VPCs para gerenciar bancos de dados autogerenciados hospedados no ECS e bancos de dados acessíveis pela internet.
Invoca o Data Transmission Service (DTS) e a Recuperação de Desastres de Dados para dar suporte a fluxos de trabalho de migração, sincronização e backup de dados.
|
Campo |
Valor |
|
Nome da função |
AliyunServiceRoleForDMS |
|
Nome da política |
AliyunServiceRolePolicyForDMS |
|
Serviço confiável |
dms.aliyuncs.com |
AliyunServiceRoleForDBS
Finalidade desta função
A função AliyunServiceRoleForDBS permite que a Recuperação de Desastres de Dados se conecte e gerencie os seguintes bancos de dados:
Bancos de dados da Alibaba Cloud: instâncias do ApsaraDB RDS, instâncias do ApsaraDB for MongoDB, instâncias do Tair (compatível com Redis OSS) e bancos de dados PolarDB.
Bancos de dados autogerenciados hospedados em instâncias ECS.
Essa função deve existir antes que a Recuperação de Desastres de Dados possa acessar qualquer um desses bancos de dados. Ao usar a Recuperação de Desastres de Dados pela primeira vez, o sistema cria essa função automaticamente.
|
Campo |
Valor |
|
Nome da função |
AliyunServiceRoleForDBS |
|
Nome da política |
AliyunServiceRolePolicyForDBS |
|
Serviço confiável |
dbs.aliyuncs.com |
Permissões necessárias para criar uma função vinculada ao serviço
Data Management (DMS)
Antes de criar uma função vinculada ao serviço, o usuário RAM que executa a ação deve ter a permissão ram:CreateServiceLinkedRole com escopo definido para o serviço apropriado.
São necessárias permissões específicas para criar a função vinculada ao serviço para o DMS.
As permissões para criar uma função vinculada ao serviço geralmente estão incluídas na política de acesso de administrador do serviço correspondente da Alibaba Cloud. Se você tiver permissões de administrador para o serviço, poderá criar sua função vinculada ao serviço.
Se você fizer login no console do DMS pela primeira vez usando sua conta Alibaba Cloud, a caixa de diálogo Cloud Resource Authorization será exibida. Clique em Go to RAM Role Authorization e, em seguida, clique em Agree to Authorization. Após conceder as permissões, o sistema cria uma função RAM para o DMS chamada AliyunDMSDefaultRole. Essa função concede ao DMS as permissões para acessar alguns dos seus recursos de nuvem.
As permissões para criar uma função vinculada ao serviço geralmente estão incluídas na política de acesso de administrador do serviço correspondente da Alibaba Cloud. Se você tiver permissões de administrador para o serviço, poderá criar sua função vinculada ao serviço.
Se você fizer login no console do DMS pela primeira vez usando sua conta Alibaba Cloud, a caixa de diálogo Cloud Resource Authorization será exibida. Clique em Go to RAM Role Authorization e, em seguida, clique em Agree to Authorization. Após conceder as permissões, o sistema cria uma função RAM para o DMS chamada AliyunDMSDefaultRole. Essa função concede ao DMS as permissões para acessar alguns dos seus recursos de nuvem.
Caso o usuário RAM não possua essa permissão, anexe uma política personalizada com a seguinte instrução. Para obter instruções, consulte Criar políticas personalizadas e Conceder permissões a um usuário RAM.
Exemplo de política: Permitir a criação de uma função vinculada ao serviço para o DMS.
For AliyunServiceRoleForDMS:
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "dms.aliyuncs.com"
}
}
}Data Disaster Recovery (DBS)
São necessárias permissões específicas para criar a função vinculada ao serviço para Recuperação de Desastres de Dados (DBS).
Se o seu usuário RAM não tiver permissões suficientes, adicione as seguintes permissões a ele. Para mais informações sobre como adicionar e conceder permissões, consulte Criar uma política de permissões personalizada e Gerenciar permissões de usuário RAM.
Exemplo de política: Permitir a criação de uma função vinculada ao serviço para Recuperação de Desastres de Dados (DBS).
For AliyunServiceRoleForDBS:
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "dbs.aliyuncs.com"
}
}
}Criar uma função vinculada ao serviço
Data Management (DMS)
AliyunServiceRoleForDMS: Se o seu usuário RAM tiver as permissões necessárias, faça login no console do DMS. Quando a caixa de diálogo DMS Service-linked Role aparecer, clique em OK. O sistema cria a AliyunServiceRoleForDMS automaticamente. Para mais detalhes, consulte a seção Criar uma função vinculada ao serviço no tópico "Funções vinculadas ao serviço".
Data Disaster Recovery (DBS)
AliyunServiceRoleForDBS: O sistema cria essa função automaticamente na primeira vez que você usa a Recuperação de Desastres de Dados. Nenhuma etapa manual é necessária.
Visualizar uma função vinculada ao serviço
Data Management (DMS)
Após a criação de uma função vinculada ao serviço, visualize seu Alibaba Cloud Resource Name (ARN), política de confiança e política de permissões no console RAM. As etapas abaixo se aplicam a ambas as funções — substitua o nome da função e o nome da política onde indicado.
Faça login no console RAM.
No painel de navegação à esquerda, escolha Identities > Roles.
Na página Roles, pesquise pelo nome da função (AliyunServiceRoleForDMS ou AliyunServiceRoleForDBS) e clique no respectivo nome.
-
Na página de detalhes da função, localize as seguintes informações:
Basic Information — exibe o nome da função, data de criação e ARN.
Aba Trust Policy — mostra o campo
Service, que identifica o serviço de nuvem capaz de assumir a função. Por exemplo:"Service": ["dms.aliyuncs.com"].Aba Permissions — lista as políticas anexadas. Clique no nome da política (AliyunServiceRolePolicyForDMS ou AliyunServiceRolePolicyForDBS) e abra a aba Policy Document para visualizar o conteúdo completo da política.
As permissões de funções vinculadas ao serviço não ficam visíveis na página Policies do console RAM. Acesse-as pela página de detalhes da função, conforme descrito acima.
Data Disaster Recovery (DBS)
Depois que a função vinculada ao serviço para Recuperação de Desastres de Dados (DBS) (AliyunServiceRoleForDBS) for criada, visualize a função no console RAM. No console, é possível visualizar as informações básicas, a política de confiança e a política de acesso (AliyunServiceRolePolicyForDBS) da função.
Faça login no console RAM.
No painel de navegação à esquerda, escolha Identity Management > Roles.
Na página Roles, localize e clique em AliyunServiceRoleForDBS.
-
Visualize as informações básicas da função.
Na seção Basic Information da página de detalhes da função, visualize informações como o nome da função RAM, data de criação e ARN.
-
Visualize a política de confiança da função.
Na página de detalhes da função, clique na aba Trust Policy. No campo
Service, visualize os serviços da Alibaba Cloud que podem assumir essa função. Por exemplo:"Service": ["dbs.aliyuncs.com"]. -
Visualize a política de acesso da função (AliyunServiceRolePolicyForDBS).
Na página de detalhes da função, clique na aba Permission Management.
Clique no nome da política AliyunServiceRolePolicyForDBS.
Na aba Policy Content, visualize os detalhes da política de acesso.
NotaNão é possível visualizar diretamente a política de acesso de uma função vinculada ao serviço na lista de políticas de acesso do console RAM.
Excluir uma função vinculada ao serviço
Data Management (DMS)
AliyunServiceRoleForDMS: Remova todas as instâncias da lista de instâncias no console do DMS antes de excluir esta função. Essa medida é necessária para evitar que o DMS perca o acesso a recursos que ainda esteja gerenciando. Para obter instruções, consulte Remover uma ou mais instâncias e Excluir uma função vinculada ao serviço.
Data Disaster Recovery (DBS)
AliyunServiceRoleForDBS: Exclua a função manualmente no console RAM. Para obter instruções, consulte Excluir uma função RAM.