A função vinculada a serviço AliyunServiceRoleForNis permite que o Network Intelligence Service (NIS) acesse recursos no ECS, VPC, SLB, NLB, ALB, CEN, GA, PrivateLink, Express Connect Router, DTS, CloudMonitor e Quota Center para diagnóstico de rede, análise e gerenciamento de flow logs.
Para obter informações gerais sobre funções vinculadas a serviço, consulte Funções vinculadas a serviço.
Permissões concedidas
A política AliyunServiceRolePolicyForNis está anexada a esta função e contém quatro instruções com as seguintes permissões:
Instrução 1: Operações do Cloud Assistant
Essas permissões permitem que o NIS execute comandos de diagnóstico em instâncias do ECS por meio do Cloud Assistant.
|
Action |
Descrição |
|
|
Executa comandos do Cloud Assistant em instâncias do ECS |
|
|
Interrompe um comando do Cloud Assistant em execução |
|
|
Verifica se o Cloud Assistant Agent está instalado nas instâncias e exibe estatísticas de execução de comandos |
|
|
Lista os comandos disponíveis do Cloud Assistant |
|
|
Consulta registros de invocação de comandos |
|
|
Recupera resultados da execução de comandos |
Escopo de recursos: Todas as instâncias do ECS (acs:ecs:*:*:instance/*) e comandos correspondentes ao padrão acs:ecs:*:*:command/cmd-ACS-SLB-Diagnosis*.
Instrução 2: Acesso de leitura entre serviços e gerenciamento de flow logs
Estas permissões habilitam o NIS a consultar recursos em vários serviços de rede e infraestrutura, além de gerenciar flow logs.
|
Action |
Descrição |
|
|
Consulta tarefas do DTS e respectivos detalhes de execução |
|
|
Consulta recursos e configurações de VPC |
|
|
Crie um flow log de VPC |
|
|
Exclua um flow log de VPC |
|
|
Modifique o nome e a descrição de um flow log de VPC |
|
|
Consulta o histórico de diagnóstico de conexões IPsec-VPN |
|
|
Atualiza a versão de firmware de um gateway VPN |
|
|
Consulta cotas de um produto de nuvem especificado |
|
|
Consulta os dados de monitoramento mais recentes de uma métrica |
|
|
Consulta o status de ativação do CloudMonitor |
|
|
Consulta recursos de monitoramento relacionados ao Prometheus |
|
|
Consulta instâncias disponíveis dos serviços da Alibaba Cloud |
|
|
Consulta instâncias do ECS |
|
|
Consulta grupos de segurança |
|
|
Consulta regras de grupo de segurança |
|
|
Consulta referências cruzadas de grupos de segurança |
|
|
Consulta Elastic Network Interfaces (ENIs) |
|
|
Consulta instâncias do Application Load Balancer (ALB) |
|
|
Consulta detalhes de instância do ALB |
|
|
Consulta recursos do Classic Load Balancer (CLB) |
|
|
Consulta instâncias do Network Load Balancer (NLB) |
|
|
Consulta detalhes de listener do NLB |
|
|
Consulta grupos de servidores do NLB |
|
|
Consulta servidores em um grupo de servidores do NLB |
|
|
Consulta listeners do NLB |
|
|
Consulta recursos da Cloud Enterprise Network (CEN) |
|
|
Crie um flow log do CEN |
|
|
Exclua um flow log do CEN |
|
|
Consulta recursos do PrivateLink |
|
|
Consulta recursos do Global Accelerator (GA) |
|
|
Consulta recursos do Express Connect Router (ECR) |
Escopo de recursos: Todos os recursos (*).
Instrução 3: Autoexclusão
|
Action |
Descrição |
|
|
Exclua esta função vinculada a serviço |
Condição: Restrita a ram:ServiceName = nis.aliyuncs.com.
Instrução 4: Criação de função vinculada a serviço para flow log do CEN
|
Action |
Descrição |
|
|
Crie a função vinculada a serviço para Flow Log do CEN |
Condição: Restrita a ram:ServiceName = flowlog.cen.aliyuncs.com.
JSON completo da política (v17)
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:InvokeCommand",
"ecs:StopInvocation",
"ecs:DescribeCloudAssistantStatus",
"ecs:DescribeCommands",
"ecs:DescribeInvocations",
"ecs:DescribeInvocationResults"
],
"Resource": [
"acs:ecs:*:*:instance/*",
"acs:ecs:*:*:command/cmd-ACS-SLB-Diagnosis*"
],
"Effect": "Allow"
},
{
"Action": [
"dts:DescribeDtsJobs",
"vpc:UpgradeVpnGatewayFirmware",
"quotas:ListProductQuotas",
"cms:DescribeMetricLast",
"cms:GetCmsService",
"cms:GetPrometheus*",
"bssapi:QueryAvailableInstances",
"ecs:DescribeInstances",
"ecs:DescribeSecurityGroups",
"ecs:DescribeSecurityGroupAttribute",
"ecs:DescribeSecurityGroupReferences",
"ecs:DescribeNetworkInterfaces",
"alb:ListLoadBalancers",
"alb:GetLoadBalancerAttribute",
"slb:Describe*",
"nlb:ListLoadBalancers",
"nlb:GetListenerAttribute",
"nlb:ListServerGroups",
"nlb:ListServerGroupServers",
"nlb:ListListeners",
"vpc:Describe*",
"vpc:List*",
"vpc:Get*",
"vpc:CreateFlowlog",
"vpc:DeleteFlowLog",
"vpc:UpgradeVpnGatewayFirmware",
"vpc:DiagnoseVpnConnectionsHistory",
"vpc:ModifyFlowLogAttribute",
"cen:Describe*",
"cen:List*",
"cen:CreateFlowlog",
"cen:DeleteFlowlog",
"privatelink:List*",
"privatelink:Get*",
"ga:Describe*",
"ga:List*",
"ga:Get*",
"ga:Check*",
"ga:Query*",
"expressconnectrouter:Describe*",
"expressconnectrouter:List*"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "nis.aliyuncs.com"
}
}
},
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "flowlog.cen.aliyuncs.com"
}
}
}
]
}Criação da função
O sistema cria a função AliyunServiceRoleForNis automaticamente no primeiro uso do NIS. Se a função não existir, ela será criada e a política AliyunServiceRolePolicyForNis será anexada.
Nenhuma ação manual é necessária.
Exclusão da função vinculada a serviço
Para excluir a função AliyunServiceRoleForNis:
Faça logon no console do RAM.
No painel de navegação à esquerda, escolha Identities > Roles.
Na página Roles, localize AliyunServiceRoleForNis. Na coluna Actions, clique em Delete Role.
Na caixa de diálogo exibida, insira o nome da função e clique em Delete Role.
Após a exclusão desta função, o sistema a recria automaticamente na próxima vez que você utilizar o recurso de diagnóstico no NIS.
Perguntas frequentes
Por que a criação automática da função falha para um usuário do RAM?
O usuário do RAM não possui a permissão ram:CreateServiceLinkedRole. Para conceder essa permissão, anexe a seguinte política personalizada ao usuário do RAM. Para obter instruções, consulte Criar políticas personalizadas.
{
"Statement": [
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "nis.aliyuncs.com"
}
}
}
],
"Version": "1"
}