A AliyunServiceRoleForECI é a função vinculada ao serviço que o Elastic Container Instance usa para acessar outros serviços da Alibaba Cloud em seu nome. Este tópico descreve as permissões associadas à função e como excluí-la.
Visão geral
A AliyunServiceRoleForECI é uma função do Resource Access Management (RAM) predefinida para o Elastic Container Instance. Ao criar uma instância de contêiner elástica ou um cache de imagem, o Elastic Container Instance cria automaticamente essa função na sua conta, caso ela ainda não exista. Essa função concede ao Elastic Container Instance as permissões mínimas necessárias para chamar outros serviços da Alibaba Cloud, sem exigir configuração manual de políticas do RAM. Para obter mais informações sobre funções vinculadas a serviços, consulte Funções vinculadas a serviços.
Serviços acessados pela função
O sistema cria a função automaticamente quando você cria uma instância de contêiner elástica ou um cache de imagem que exige acesso aos seguintes serviços da Alibaba Cloud:
Elastic Compute Service (ECS): crie e gerencie interfaces de rede e grupos de segurança para instâncias de contêiner elásticas.
Virtual Private Cloud (VPC): consulta vSwitches e VPCs, além de gerenciar endereços IP elásticos (EIPs), endereços IPv6 e pacotes de largura de banda.
Container Registry (ACR): baixa imagens de contêiner e obtém tokens de autorização nos repositórios de imagens.
Simple Log Service (SLS): cria projetos de log, Logstores, grupos de máquinas e índices para coletar logs de contêineres.
Server Load Balancer (SLB): consulta balanceadores de carga e remove servidores de backend.
Permissões da AliyunServiceRoleForECI
A política de permissões anexada à AliyunServiceRoleForECI é a AliyunServiceRolePolicyForECI. Ela concede as seguintes permissões:
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:CreateNetworkInterfacePermission",
"ecs:DeleteNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:CreateNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:DescribeSecurityGroups",
"ecs:TagResources"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"vpc:DescribeVSwitches",
"vpc:DescribeVSwitchAttributes",
"vpc:DescribeVpcs",
"vpc:AssociateEipAddress",
"vpc:UnassociateEipAddress",
"vpc:DescribeEipAddresses",
"vpc:AllocateEipAddress",
"vpc:ReleaseEipAddress",
"vpc:AddCommonBandwidthPackageIp",
"vpc:RemoveCommonBandwidthPackageIp",
"vpc:DescribeIpv6Addresses",
"vpc:DescribeIpv6Gateways",
"vpc:AllocateIpv6InternetBandwidth",
"vpc:TagResources"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"cr:PullRepository",
"cr:GetAuthorizationToken",
"cr:GetRepositoryLayers",
"cr:GetRepositoryManifest",
"cr:GetRepositoryTag",
"cr:GetRepository",
"cr:ListInstance",
"cr:ListInstanceEndpoint"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"log:CreateProject",
"log:GetProject",
"log:CreateLogStore",
"log:GetLogStore",
"log:CreateMachineGroup",
"log:CreateConfig",
"log:GetConfig",
"log:ApplyConfigToGroup",
"log:GetAppliedConfigs",
"log:CreateIndex",
"log:TagResources"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"slb:DescribeLoadBalancers",
"slb:RemoveBackendServers"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "eci.aliyuncs.com"
}
}
}
]
}Exclusão da AliyunServiceRoleForECI
Antes de excluir a AliyunServiceRoleForECI, remova todos os recursos do Elastic Container Instance associados à função:
Exclua todas as instâncias de contêiner elásticas.
Exclua todos os caches de imagem.
Exclua esses recursos pelo console do Elastic Container Instance ou chame as operações de API correspondentes. Após remover todos os recursos, exclua a AliyunServiceRoleForECI. Para mais detalhes, consulte Excluir uma função do RAM.