Este tópico descreve os cenários de uso das funções vinculadas a serviço do CloudOps Orchestration Service (OOS). As funções incluem AliyunServiceRoleForOOSBandwidthScheduler, AliyunServiceRoleForOOSInstanceScheduler, AliyunServiceRoleForOOSExecutionDelivery e AliyunServiceRoleForOOSAppliactionManager. Este tópico também explica como excluir as funções vinculadas a serviço do OOS.
Informações básicas
As funções vinculadas a serviço do OOS
AliyunServiceRoleForOOSInstanceScheduler
AliyunServiceRoleForOOSBandwidthScheduler
são funções do RAM que concedem ao OOS permissões de acesso a outros serviços da Alibaba Cloud para executar tarefas específicas.
A função AliyunServiceRoleForOOSExecutionDelivery é uma função do RAM que concede ao OOS permissões de acesso a outros serviços da Alibaba Cloud para entregar registros de execução.
A função AliyunServiceRoleForOOSAppliactionManager é uma função do RAM que concede ao OOS permissões de acesso a outros serviços da Alibaba Cloud para criar ou excluir recursos. Para mais informações, consulte Funções vinculadas a serviço.
Cenários
Para acessar recursos do Elastic Compute Service (ECS) e concluir as seguintes tarefas de O&M no OOS, utilize a função AliyunServiceRoleForOOSBandwidthScheduler ou AliyunServiceRoleForOOSInstanceScheduler. O OOS cria essa função automaticamente para obter as permissões de acesso ao ECS:
Para acessar recursos do Simple Log Service e do Object Storage Service (OSS) e entregar registros de execução do OOS, utilize a função AliyunServiceRoleForOOSExecutionDelivery. O OOS cria essa função automaticamente para obter as permissões de acesso ao Simple Log Service e ao OSS.
Para acessar recursos do CloudMonitor e criar ou excluir automaticamente grupos de aplicativos do CloudMonitor, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSAppliactionManager para obter as permissões de acesso ao CloudMonitor.OOS
AliyunServiceRoleForOOSInstanceScheduler
Caso a função do RAM necessária para iniciar ou desligar uma instância conforme agendamento não exista, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSInstanceScheduler. Além disso, o OOS anexa a política AliyunServiceRoleForOOSInstanceSchedulerPolicy à função vinculada a serviço. O OOS assume essa função para chamar as operações de API relacionadas e iniciar ou desligar a instância conforme agendado.
Política:
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:StartInstance",
"ecs:StopInstance",
"ecs:DescribeInstances"
],
"Resource": "*",
"Effect": "Allow"
}
]
}AliyunServiceRoleForOOSBandwidthScheduler
Se a função do RAM necessária para atualizar temporariamente a largura de banda de uma instância não existir, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSBandwidthScheduler. Adicionalmente, o OOS anexa a política AliyunServiceRoleForOOSBandwidthSchedulerPolicy à função vinculada a serviço. O OOS assume essa função para chamar as operações de API relacionadas e atualizar temporariamente a largura de banda.
Política:
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:ModifyInstanceNetworkSpec",
"ecs:DescribeInstances"
],
"Resource": "*",
"Effect": "Allow"
}
]
}AliyunServiceRoleForOOSExecutionScheduler
Quando a função do RAM necessária para executar tarefas agendadas não existe, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSExecutionScheduler. O OOS também anexa a política AliyunServiceRolePolicyForOOSExecutionScheduler à função vinculada a serviço. O OOS assume essa função para chamar as operações de API relacionadas e executar tarefas agendadas.
Política:
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:CreateSnapshot",
"ecs:DescribeCloudAssistantStatus",
"ecs:DescribeDisks",
"ecs:DescribeInstances",
"ecs:DescribeInvocationResults",
"ecs:DescribeInvocations",
"ecs:DescribeManagedInstances",
"ecs:DescribeSnapshots",
"ecs:RebootInstance",
"ecs:StartInstance",
"ecs:StopInstance",
"ecs:ModifyInstanceNetworkSpec",
"ecs:AcceptInquiredSystemEvent"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ecd:CreateSnapshot",
"ecd:DescribeCloudAssistantStatus",
"ecd:DescribeDesktops",
"ecd:DescribeInvocations",
"ecd:DescribeSnapshots",
"ecd:RebootDesktops"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"rds:StartDBInstance",
"rds:StopDBInstance",
"rds:DescribeDBInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "oos:ListInstancePatchStates",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "executionscheduler.oos.aliyuncs.com"
}
}
}
]AliyunServiceRolePolicyForOOSPatchManager
Na ausência da função do RAM necessária para verificar ou instalar patches, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSPatchManager. Além disso, o OOS anexa a política AliyunServiceRolePolicyForOOSPatchManager à função vinculada a serviço. O OOS assume essa função para verificar ou instalar patches.
Política:
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:CreateSnapshot",
"ecs:DescribeCloudAssistantStatus",
"ecs:DescribeDisks",
"ecs:DescribeInstances",
"ecs:DescribeInvocationResults",
"ecs:DescribeInvocations",
"ecs:DescribeManagedInstances",
"ecs:DescribeSnapshots",
"ecs:RebootInstance",
"ecs:RunCommand"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ecd:CreateSnapshot",
"ecd:DescribeCloudAssistantStatus",
"ecd:DescribeDesktops",
"ecd:DescribeInvocations",
"ecd:DescribeSnapshots",
"ecd:RebootDesktops",
"ecd:RunCommand"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"oos:ListInstancePatchStates"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "patchmanager.oos.aliyuncs.com"
}
}
}
]
}AliyunServiceRoleForOOSExecutionDelivery
Para acessar recursos do Simple Log Service e do OSS e entregar registros de execução do OOS, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSExecutionDelivery para obter as permissões de acesso ao Simple Log Service e ao OSS.
Política:
{
"Version": "1",
"Statement": [
{
"Action": [
"oss:PutObject",
"oss:GetBucketInfo",
"log:GetProject",
"log:GetLogStore",
"log:CreateLogStore",
"log:PostLogStoreLogs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "executiondelivery.oos.aliyuncs.com"
}
}
}
]
}AliyunServiceRoleForOOSApplicationManager
Para acessar recursos do CloudMonitor e criar ou excluir automaticamente grupos de aplicativos do CloudMonitor, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSAppliactionManager para obter as permissões de acesso ao CloudMonitor.OOS
Política:
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"cms:CreateDynamicTagGroup",
"cms:DescribeDynamicTagRuleList",
"cms:DescribeMonitorGroups",
"cms:DeleteDynamicTagGroup"
],
"Resource": "*"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "applicationmanager.oos.aliyuncs.com"
}
}
}
],
"Version": "1"
}AliyunServiceRoleForOOSSystemEventOperator
Se a função do RAM necessária para aceitar a operação padrão de um evento de sistema e autorizar o sistema a executar essa operação não existir, o OOS cria automaticamente a função vinculada a serviço AliyunServiceRoleForOOSSystemEventOperator. Além disso, o OOS anexa a política AliyunServiceRolePolicyForOOSSystemEventOperator à função vinculada a serviço. O OOS assume essa função para chamar as operações de API relacionadas, aceitar a operação padrão do evento de sistema e autorizar o sistema a executá-la.
Política:
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:AcceptInquiredSystemEvent",
"ecs:StopInstance",
"ecs:DescribeInstances",
"ecs:StartInstance"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "systemeventoperator.oos.aliyuncs.com"
}
}
}
]
}Excluir funções vinculadas a serviço do OOS
Antes de excluir a função AliyunServiceRoleForOOSBandwidthScheduler ou AliyunServiceRoleForOOSInstanceScheduler, cancele as execuções do OOS que dependem dessa função. É possível excluir diretamente as funções AliyunServiceRoleForOOSExecutionDelivery e AliyunServiceRoleForOOSAppliactionManager.
O exemplo a seguir mostra como excluir a função AliyunServiceRoleForOOSExecutionDelivery:
Se você entrega registros de execução do OOS e deseja excluir a função AliyunServiceRoleForOOSExecutionDelivery por motivos de segurança, compreenda o impacto dessa exclusão. Após a exclusão da função AliyunServiceRoleForOOSExecutionDelivery, os registros de execução do OOS na conta atual não poderão ser entregues ao OOS ou ao SLS.OOS
Faça login no console do Resource Access Management (RAM). No painel de navegação à esquerda, escolha Identities > Roles.
Na página Roles, insira AliyunServiceRoleForOOSExecutionDelivery na caixa de pesquisa e clique em no ícone de pesquisa. A função AliyunServiceRoleForOOSExecutionDelivery será exibida.
Na coluna Actions, clique em Delete Role.
Na mensagem Delete Role, clique em Delete Role.
Perguntas frequentes
Por que não consigo permitir que o OOS crie automaticamente a função vinculada a serviço AliyunServiceRoleForOOSExecutionDelivery ao fazer login como usuário do RAM?
Para que o OOS crie ou exclua automaticamente a função AliyunServiceRoleForOOSExecutionDelivery quando você faz login como usuário do RAM, conceda as permissões necessárias ao usuário do RAM. Nesse caso, anexe a seguinte política ao usuário do RAM:
{
"Statement": [
{
"Action": [
"ram:CreateServiceLinkedRole"
],
"Resource": "acs:ram:*:ID of your Alibaba Cloud account:role/*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": [
"executiondelivery.oos.aliyuncs.com"
]
}
}
}
],
"Version": "1"
}Referências
Para mais informações sobre como excluir funções vinculadas a serviço, consulte Funções vinculadas a serviço.