Resource Access Management:Crie uma função do RAM para um service da Alibaba Cloud

Tipos de funções de service

• Função de service padrão: especifique um nome personalizado para a função, selecione um service confiável da Alibaba Cloud e anexe uma política de permissões personalizada.

• Função vinculada ao service: basta selecionar um service confiável da Alibaba Cloud. O service fornece um nome de função e uma política de permissões predefinidos. Geralmente, esse tipo de função é criado automaticamente quando você executa uma ação específica, como criar um recurso na cloud ou ativar um recurso. Também é possível criá-la manualmente no console do RAM. Para obter mais informações sobre funções vinculadas ao service, consulte Service-linked roles.

Crie uma função de service padrão

1. Faça login no console do RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Identities > Roles.

3. Na página Roles, clique em Create Role.

4. Na página Create Role, defina Principal Type como Cloud Service, selecione o service específico da Alibaba Cloud e clique em OK.

   Nota

   Os services disponíveis estão listados na lista suspensa Principal Name do console.

5. (Opcional) Caso precise confiar no acesso de outra conta na cloud ou de vários services da Alibaba Cloud, clique em Switch to Policy Editor para especificar os services.

   O editor oferece os modos Visual Editor e JSON Editor. O exemplo a seguir permite que o service ActionTrail de outra conta na cloud (ID: 177***6878) assuma esta função do RAM e execute operações na sua conta.

   • Visual Editor

     Na seção Principal, especifique o service da Alibaba Cloud.

     Defina Principal Type como Cloud Service. Em seguida, clique em Edit ao lado do campo Cloud Service exibido para especificar o service.

     Na caixa de diálogo Add Principal, em Cloud Account, selecione Other Account e insira o ID da conta na cloud de destino. Em Cloud Service, selecione o service desejado, como ActionTrail actiontrail.aliyuncs.com, e clique em OK.

   • JSON Editor

     Especifique o service da Alibaba Cloud no campo Service de Principal.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Service": "177*******6878@actiontrail.aliyuncs.com"
           },
           "Action": "sts:AssumeRole"
         }
       ]
     }

6. Na caixa de diálogo Create Role, insira um Role Name e clique em OK.

Por padrão, uma função do RAM recém-criada não possui permissões. É necessário conceder permissões à função. Para mais detalhes, consulte Grant permissions to a RAM role.

Crie uma função vinculada ao service

1. Faça login no console do RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Identities > Roles.

3. Na página Roles, clique em Create Role.

4. No canto superior direito da página Create Role, clique em Create Service Linked Role.

5. Na página Create Service Linked Role, selecione um service confiável e clique em Create Service Linked Role.

   Em Select Service, selecione Tag. As informações de pré-visualização indicam que o nome da função é AliyunServiceRoleForTag e o nome da política de permissões é AliyunServiceRolePolicyForTag.

   Nota

   Os services disponíveis constam na lista suspensa Select Service do console.

Como a função vinculada ao service possui um nome e uma política de permissões predefinidos pelo service na cloud, ela está pronta para uso imediatamente após a criação.