Global Accelerator:AliyunServiceRoleForGaVpcEndpoint

AliyunServiceRoleForGaVpcEndpoint é uma função vinculada a service do Global Accelerator. Para especifique uma instância do ECS, uma instância do ALB, uma instância do NLB, uma instância do CLB, uma ENI ou um endereço IP privado personalizado como endpoint do Global Accelerator, você deve atribuir essa função vinculada a service ao Global Accelerator.

Por padrão, uma conta da Alibaba Cloud possui autorização para crie a função vinculada a service AliyunServiceRoleForGaVpcEndpoint. Usuários ram precisam receber as seguintes permissões para crie essa função:

{
      "Action": "ram:CreateServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "vpcendpoint.ga.aliyuncs.com"
        }
      }
}

Você pode autorizar um usuário ram a crie a função vinculada a service por meio de um dos seguintes métodos:

• Anexe a política de administrador AliyunGlobalAccelerationFullAccess ao usuário ram. Para obter mais informações, consulte gerencie permissions for a ram role.

  Nota

  Na maioria dos casos, as permissões para crie a função vinculada a service AliyunServiceRoleForGaVpcEndpoint do Global Accelerator já estão incluídas na política de administrador AliyunGlobalAccelerationFullAccess. Se o usuário ram tiver permissões de administrador no Global Accelerator, ele poderá crie essa função para o Global Accelerator.

• Anexe uma política personalizada ao usuário ram. A política personalizada deve conter o seguinte conteúdo:

  {
        "Action": "ram:CreateServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "vpcendpoint.ga.aliyuncs.com"
          }
        }
  }

  Para obter mais informações, consulte crie a custom policy e gerencie permissions for a ram role.

Ao especifique uma instância do ECS, uma instância do ALB, uma instância do NLB, uma instância do CLB, uma ENI ou um endereço IP privado personalizado como endpoint do Global Accelerator, o sistema verifica se o Global Accelerator possui a função vinculada a service AliyunServiceRoleForGaVpcEndpoint:

• Se a função vinculada a service AliyunServiceRoleForGaVpcEndpoint não estiver atribuída ao Global Accelerator, o sistema cria automaticamente a função e anexa uma política chamada AliyunServiceRoleForGaVpcEndpoint. Essa política concede ao Global Accelerator acesso a instâncias do ECS, ALB, NLB, CLB, ENIs e endereços IP privados personalizados. A política contém o seguinte conteúdo:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Resource": "*",
        "Action": [
          "ecs:CreateNetworkInterface",
          "ecs:DeleteNetworkInterface",
          "ecs:DescribeNetworkInterfaces",
          "ecs:ModifyNetworkInterfaceAttribute",
          "ecs:DescribeSecurityGroups",
          "ecs:CreateSecurityGroup",
          "ecs:AuthorizeSecurityGroup",
          "ecs:AuthorizeSecurityGroupEgress",
          "ecs:RevokeSecurityGroup",
          "ecs:RevokeSecurityGroupEgress",
          "ecs:JoinSecurityGroup",
          "ecs:LeaveSecurityGroup",
          "ecs:DeleteSecurityGroup",
          "ecs:DescribeSecurityGroupAttribute",
          "ecs:DescribeSecurityGroups",
          "ecs:DescribeSecurityGroupReferences",
          "ecs:ModifySecurityGroupAttribute",
          "ecs:ModifySecurityGroupEgressRule",
          "ecs:ModifySecurityGroupPolicy",
          "ecs:ModifySecurityGroupRule",
          "vpc:DescribeVSwitches"
        ]
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "vpcendpoint.ga.aliyuncs.com"
          }
        }
      }
    ]
  }

• Se a função vinculada a service AliyunServiceRoleForGaVpcEndpoint já estiver atribuída ao Global Accelerator, o sistema não a recria.

O sistema não exclua automaticamente a função vinculada a service AliyunServiceRoleForGaVpcEndpoint do Global Accelerator. Para exclua essa função, primeiro exclua a instância do ECS, a instância do ALB, a instância do NLB, a instância do CLB, a ENI ou o endereço IP privado personalizado que serve como endpoint. Para obter mais informações, consulte os seguintes tópicos:

1. exclua an endpoint

2. Service-linked roles