Resource Access Management:Service-linked role

Visão geral

A função vinculada a serviço (SLR) é um tipo de função do RAM predefinida pela Alibaba Cloud para habilitar o acesso entre serviços. Ela possui as seguintes características:

• Vinculada a um service de cloud específico: A SLR é um tipo especial de função do RAM associada a um service específico da Alibaba Cloud.

• Assumida apenas pelo service vinculado: Somente o service da Alibaba Cloud ao qual a SLR está vinculada pode assumi-la. Nenhuma outra identidade tem permissão para usá-la.

• Predefinida pela Alibaba Cloud: O service de cloud associado predefine a função, suas permissões e sua política de confiança (que especifica qual service pode assumir a função).

• Sem necessidade de manutenção: Não é necessário configure ou manter uma SLR manualmente.

Benefícios

Sem as SLRs, seria necessário crie funções do RAM e configure políticas de permissão e de confiança manualmente sempre que um service de cloud precisasse acessar outro. Esse processo é propenso a erros e pode causar falhas no service ou riscos de segurança. As SLRs resolvem esses problemas:

• Simplifica a autorização entre serviços. Por exemplo, o Cloud Config precisa de permissão para ler informações sobre seus recursos de cloud, como listas e configurações, a fim de gerar relatórios de conformidade. Isso exige acesso a outros serviços, como ECS e RDS. Ao crie e assumir uma SLR, o Cloud Config obtém as permissões necessárias.

• Reduz a complexidade de configuração e o risco operacional. O service de cloud associado predefine a política de permissão da SLR para conceder apenas o mínimo de permissões exigidas. Isso elimina a configuração manual de permissões, aumentando a segurança e a estabilidade operacional.

Como funciona

O exemplo a seguir utiliza o Cloud Config para demonstrar o funcionamento das SLRs:

1. A Alibaba Cloud predefine a função vinculada a serviço: A Alibaba Cloud predefine uma função vinculada a serviço para o Cloud Config, chamada AliyunServiceRoleForConfig. Essa função inclui:

   • Uma política de confiança que permite apenas ao config.aliyuncs.com assumir a função, garantindo que somente o service Cloud Config possa usá-la.

   • Uma política de permissão que concede permissões para ler informações de recursos de serviços de cloud como ECS e RDS.

2. O Cloud Config assume a função: Quando o Cloud Config precisa ler informações sobre seus recursos de cloud para gerar um relatório de conformidade, ele assume sua função vinculada a serviço para obter credenciais de segurança temporárias.

3. O Cloud Config acessa outros serviços de cloud: O Cloud Config usa a identidade e as permissões da função vinculada a serviço para acessar com segurança outros serviços, como ECS e RDS, e ler listas e configurações de recursos.

4. Conclusão da tarefa: Após obter as informações necessárias sobre os recursos de cloud, o Cloud Config gera o relatório de conformidade.

Dessa forma, o Cloud Config acessa outros serviços com segurança sem exigir configuração manual de políticas de permissão.

Funções vinculadas a serviço versus funções de serviço

Assim como as funções de serviço, as SLRs são assumidas por um service de cloud para obter as permissões necessárias. No entanto, elas diferem na forma de uso:

Permissões necessárias

Um usuário do RAM precisa de permissões específicas para crie ou exclua uma SLR. Essas permissões geralmente estão incluídas na política de administrador do service de cloud correspondente, como AliyunResourceDirectoryFullAccess. Se um usuário do RAM tiver permissões de administrador para um service de cloud, normalmente poderá crie uma SLR para esse service.

Também é possível crie uma política personalizada para conceder a um usuário do RAM permissões para gerencie SLRs de um service específico. O valor para ram:ServiceName está listado na coluna Cloud Service Identifier em Serviços de cloud compatíveis com funções vinculadas a serviço.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
      }
    }
  ]
}

Criação de uma função vinculada a serviço

• Criação por um service de cloud: Na maioria dos casos, um service de cloud cria automaticamente uma função vinculada a serviço quando você executa uma ação específica, como crie um recurso de cloud ou ative um recurso. Alternativamente, o service pode solicitar autorização a um administrador para crie a função. Para detalhes sobre a criação automática de SLRs, consulte a documentação do service de cloud correspondente em Serviços de cloud compatíveis com funções vinculadas a serviço.

• Criação manual: Também é possível crie uma função vinculada a serviço manualmente. Para instruções, consulte Criar uma função vinculada a serviço.

Exclusão de uma função vinculada a serviço

• Exclusão por um service de cloud: Um service de cloud exclui automaticamente sua função vinculada a serviço associada quando você executa uma ação específica, como exclua todos os recursos relacionados ou desativar um recurso.

• Exclusão manual: Você também pode exclua uma função vinculada a serviço manualmente. Para instruções, consulte Excluir uma função do RAM. Antes de exclua uma SLR manualmente, o Resource Access Management (RAM) verifica se a função ainda está em uso por algum recurso de cloud:

  • Se a função não estiver em uso, a exclusão será bem-sucedida.

  • Caso a função ainda esteja em uso, a exclusão falhará. A mensagem de erro indicará quais recursos de cloud estão usando a função. É necessário remover esses recursos antes de exclua a função. As condições de exclusão para SLRs variam conforme o service de cloud. Para detalhes, consulte a documentação do service de cloud específico em Serviços de cloud compatíveis com funções vinculadas a serviço.

Assunção de uma função vinculada a serviço

Apenas o service de cloud vinculado pode assumir uma função vinculada a serviço. Outras identidades, como usuários do RAM ou outras funções do RAM, não podem assumir a SLR.

Monitoramento de funções vinculadas a serviço

Use o ActionTrail para auditar o ciclo de vida e o uso das SLRs.

• Consulta por nome do evento:

  • CreateServiceLinkedRole: Consulta eventos de criação de SLRs.

  • DeleteServiceLinkedRole: Consulta eventos de exclusão de SLRs.

  • AssumeRole: Localiza eventos em que um service de cloud assumiu uma SLR. Nos detalhes do evento, a seção userIdentity contém o nome do service de cloud, e requestParameters contém o ARN da SLR assumida. Por exemplo:

    {
      ...
      "requestParameters": {
        ...
        "RoleArn": "acs:ram::ACCOUNT_ID:role/aliyunservicerolefortag",
        "RoleSessionName": "tag_operate",
      },
      ...
      "userIdentity": {
        ...
        "principalId": "tag.aliyuncs.com",
        "userName": "tag.aliyuncs.com"
      },
      "eventName": "AssumeRole"
    }
    

• Consulta por tipo de evento:

  Defina o tipo de evento como AliyunServiceEvent e filtre por Operator Name usando o nome de uma SLR. Isso exibe as operações realizadas por essa SLR.

FAQ