A AliyunServiceRoleForVpn é uma função vinculada a service criada automaticamente pelo sistema na primeira criação de um gateway de VPN ou de uma conexão IPsec-VPN associada a um transit router. Essa função permite que o gateway de VPN acesse recursos da nuvem, como elastic network interfaces (ENIs) e grupos de segurança.
Informações básicas
O que é uma função vinculada a service
Uma função vinculada a service (SLR) é um tipo de função do RAM predefinida pelo Alibaba Cloud para permitir o acesso entre services. Ela possui as seguintes características:
Vinculada a um service específico da nuvem: A SLR é um tipo especial de função do RAM associada a um service específico do Alibaba Cloud.
Assumida apenas pelo service vinculado: Somente o service do Alibaba Cloud ao qual a SLR está vinculada pode assumi-la. Outras identidades não podem utilizá-la.
Predefinida pelo Alibaba Cloud: O próprio service do Alibaba Cloud define a função, suas permissões e a política de confiança, que especifica quais services da nuvem podem assumir a função.
Sem necessidade de manutenção: Não é necessário configure nem manter a SLR manualmente.
Por que usar uma função vinculada a service
Sem funções vinculadas a service, quando um service da nuvem precisa acessar outros services, você deve crie manualmente uma função do RAM e configure políticas de permissão e de confiança complexas. Esse processo é trabalhoso e propenso a exceções de service ou riscos de segurança decorrentes de configurações inadequadas. As funções vinculadas a service resolvem esses problemas de forma eficaz:
Resolve o acesso autorizado entre services no Alibaba Cloud. Por exemplo, o service Cloud Config precisa ler informações sobre seus recursos da nuvem, como listas e configurações de recursos, para gerar relatórios de conformidade. Isso exige permissões de acesso a outros services, como ECS e RDS. Ao criar e assumir uma função vinculada a service, o Cloud Config obtém as permissões necessárias para executar suas funcionalidades.
Reduz a complexidade de configuração e o risco de erros operacionais. O service do Alibaba Cloud predefine a política de permissões da função vinculada a service. Isso garante que cada service receba apenas as permissões mínimas necessárias para concluir suas tarefas, sem necessidade de configuração manual. Tal abordagem melhora a segurança da conta e assegura a operação estável dos services da nuvem.
Para mais informações, consulte Service-linked roles.
Crie AliyunServiceRoleForVpn
O sistema cria automaticamente a AliyunServiceRoleForVpn na primeira criação de um gateway de VPN ou de uma conexão IPsec-VPN associada a um transit router. Se essa função já existir, o sistema não a criará novamente.
Para saber mais sobre como crie um gateway de VPN, consulte VPN gateway.
Para crie uma conexão IPsec-VPN, consulte Create an IPsec-VPN connection ou Create a VPN connection.
A política AliyunServiceRolePolicyForVpn está anexada à AliyunServiceRoleForVpn e concede as seguintes permissões:
{
"Version": "1",
"Statement": [
{
"Action": [
"vpc:DescribeVSwitchAttributes",
"vpc:TagResources",
"vpc:DescribeRouteTableList"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ecs:CreateNetworkInterface",
"ecs:CreateSecurityGroup",
"ecs:AuthorizeSecurityGroup",
"ecs:RevokeSecurityGroup",
"ecs:DeleteSecurityGroup",
"ecs:JoinSecurityGroup",
"ecs:LeaveSecurityGroup",
"ecs:DescribeSecurityGroups",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:DeleteNetworkInterfacePermission",
"ecs:CreateSecurityGroupPermission",
"ecs:AuthorizeSecurityGroupPermission",
"ecs:RevokeSecurityGroupPermission",
"ecs:JoinSecurityGroupPermission",
"ecs:DeleteSecurityGroupPermission",
"ecs:LeaveSecurityGroupPermission",
"ecs:DescribeSecurityGroupPermissions",
"ecs:AttachNetworkInterfacePermissions",
"ecs:DetachNetworkInterfacePermissions",
"ecs:AssignPrivateIpAddresses",
"ecs:UnassignPrivateIpAddresses",
"ecs:DescribeNetworkInterfaceAttribute"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "vpn.aliyuncs.com"
}
}
}
]
}Exclua AliyunServiceRoleForVpn
Só é possível exclua a AliyunServiceRoleForVpn após remover todos os gateways de VPN e conexões IPsec-VPN da sua conta do Alibaba Cloud. Para mais detalhes, consulte as seções a seguir nos tópicos relacionados:
Perguntas frequentes
Por que um usuário do RAM não consegue crie a AliyunServiceRoleForVpn?
Por padrão, a conta do Alibaba Cloud tem autorização para crie a AliyunServiceRoleForVpn. Para permitir que um usuário do Resource Access Management (RAM) crie essa função, use a conta do Alibaba Cloud para conceder as permissões necessárias.
Crie uma política personalizada com o conteúdo de exemplo abaixo e anexe-a ao usuário do RAM. Para mais informações, consulte Create a custom policy e Gerencie permissions for a RAM role.
{
"Statement": [
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "vpn.aliyuncs.com"
}
}
}
],
"Version": "1"
}