ApsaraMQ for RocketMQ:Hizmete bağlı roller

Arka plan bilgileri

Resource Access Management (RAM), her hizmete bağlı rol için bir sistem ilkesi sağlar. Bu ilkeyi değiştiremezsiniz. İlgili hizmete bağlı rolün ürün sayfasında sistem ilkesinin ayrıntılarını görüntüleyebilirsiniz. Daha fazla bilgi için bkz. Sistem ilkesi referansı.

Desteklenen hizmete bağlı roller

ApsaraMQ for RocketMQ aşağıdaki hizmete bağlı rolleri sağlar. İlgili özelliği ilk kez kullandığınızda sistem gerekli rolü otomatik olarak oluşturur.

Örneğin, ApsaraMQ for RocketMQ panosunu ilk kez kullandığınızda sistem AliyunServiceRoleForOns hizmete bağlı rolünü otomatik olarak oluşturur.

Serverless örneği oluştururken rol hatalarını giderme

Terraform veya OpenAPI kullanarak bir ApsaraMQ for RocketMQ 5.x Serverless örneği oluştururken EntityNotExist.Role hatası alabilir veya Container Service for Kubernetes (ACK) kümesi oluşturmadan önce hizmet rolü yetkilendirmesi gerektiğini belirten bir mesaj görebilirsiniz. Bu sorunu çözmek için aşağıdaki adımları uygulayın:

1. Resource Access Management (RAM) konsolu'nda oturum açın ve Roller sayfasında **AliyunServiceRoleForRMQ** öğesini arayın.

2. Rol mevcut değilse bir Alibaba Cloud hesabı kullanarak rolü oluşturmak için aşağıdaki komutu çalıştırın:

   aliyun ram CreateServiceLinkedRole --ServiceName rmq.aliyuncs.com --force --region cn-hangzhou

3. Alternatif olarak, rolün otomatik olarak oluşturulmasını tetiklemek için ApsaraMQ for RocketMQ konsolunun ana sayfasına gidin.

4. Rol oluşturulduktan sonra örnek oluşturma işlemini yeniden deneyin.

İlke İçeriği

• AliyunServiceRoleForOns

  Aşağıda, AliyunServiceRoleForOns hizmete bağlı rolüne verilen erişim ilkesi olan AliyunServiceRolePolicyForOns için ilke belgesi yer almaktadır:

  {
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "cms:DescribeMetricRuleList",
          "cms:DescribeMetricList",
          "cms:DescribeMetricData"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "arms:OpenVCluster",
          "arms:ListDashboards",
          "arms:CheckServiceStatus"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "ons.aliyuncs.com"
          }
        }
      }
    ]
  }

• AliyunServiceRoleForRMQMigration

  Aşağıda, AliyunServiceRoleForRMQMigration hizmete bağlı rolüne verilen erişim ilkesi olan AliyunServiceRolePolicyForRMQMigration için ilke belgesi yer almaktadır:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "privatelink:CreateVpcEndpoint",
          "privatelink:ListVpcEndpoints",
          "privatelink:GetVpcEndpointAttribute",
          "privatelink:AddZoneToVpcEndpoint",
          "privatelink:ListVpcEndpointZones",
          "privatelink:RemoveZoneFromVpcEndpoint",
          "privatelink:DeleteVpcEndpoint",
          "privatelink:AttachSecurityGroupToVpcEndpoint",
          "privatelink:ListVpcEndpointSecurityGroups",
          "privatelink:DetachSecurityGroupFromVpcEndpoint"
        ],
        "Resource": "*"
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "migration.rmq.aliyuncs.com"
          }
        }
      },
      {
        "Action": "ram:CreateServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "privatelink.aliyuncs.com"
          }
        }
      }
    ]
  }

• AliyunServiceRoleForRMQDisasterRecovery

  Aşağıda, AliyunServiceRoleForRMQDisasterRecovery hizmete bağlı rolüne verilen erişim ilkesi olan AliyunServiceRolePolicyForRMQDisasterRecovery için ilke belgesi yer almaktadır:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "eventbridge:ListEventStreamings",
          "eventbridge:DeleteEventStreaming",
          "eventbridge:CreateEventStreaming",
          "eventbridge:StartEventStreaming",
          "eventbridge:UpdateEventStreaming",
          "eventbridge:PauseEventStreaming",
          "eventbridge:GetEventStreaming",
          "Ecs:DescribeSecurityGroups"
        ],
        "Resource": "*"
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "disaster-recovery.rmq.aliyuncs.com"
          }
        }
      }
    ]
  }

• AliyunServiceRoleForRMQ

  Aşağıda, AliyunServiceRoleForRMQ hizmete bağlı rolüne verilen erişim ilkesi olan AliyunServiceRolePolicyForRMQ için ilke belgesi yer almaktadır:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "privatelink:CreateVpcEndpoint",
          "privatelink:ListVpcEndpoints",
          "privatelink:GetVpcEndpointAttribute",
          "privatelink:AddZoneToVpcEndpoint",
          "privatelink:ListVpcEndpointZones",
          "privatelink:RemoveZoneFromVpcEndpoint",
          "privatelink:DeleteVpcEndpoint",
          "privatelink:AttachSecurityGroupToVpcEndpoint",
          "privatelink:ListVpcEndpointSecurityGroups",
          "privatelink:DetachSecurityGroupFromVpcEndpoint",
          "privatelink:UpdateVpcEndpointZoneConnectionResourceAttribute",
          "Ecs:CreateSecurityGroup",
          "Ecs:DeleteSecurityGroup",
          "Ecs:DescribeSecurityGroupAttribute",
          "Ecs:DescribeSecurityGroups",
          "kms:DescribeRegions",
          "kms:GetKmsInstance",
          "kms:ListKeys",
          "kms:ListAliases",
          "kms:ListResourceTags",
          "kms:DescribeKey",
          "kms:TagResource",
          "kms:UntagResource"
        ],
        "Resource": "*"
      },
      {
        "Action": [
          "kms:Encrypt",
          "kms:Decrypt",
          "kms:GenerateDataKey"
        ],
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEqualsIgnoreCase": {
            "kms:tag/acs:rocketmq:instance-encryption": "true"
          }
        }
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "rmq.aliyuncs.com"
          }
        }
      },
      {
        "Action": "ram:CreateServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "privatelink.aliyuncs.com"
          }
        }
      }
    ]
  }

Hizmete bağlı rolü görüntüleme

Bir hizmete bağlı rol oluşturulduktan sonra rolle ilgili aşağıdaki bilgileri RAM konsolunun Roller sayfasında görüntüleyebilirsiniz:

• Temel bilgiler

  Rolün ürün sayfasındaki Basic Information bölümünde rol adı, oluşturma zamanı, ARN ve açıklama dahil olmak üzere rolle ilgili ayrıntıları görüntüleyebilirsiniz.

• Erişim ilkesi

  Rolün ürün sayfasındaki Permission Management sekmesinde ilke belgesini görüntülemek için ilke adına tıklayın.

  Not

  Hizmete bağlı rolün ilke belgesi yalnızca rolden görüntülenebilir. İlke, RAM konsolundaki Policies sayfasında listelenmez.

• Güven ilkesi

  Rolün ürün sayfasındaki Trust Policy sekmesinde güven ilkesi belgesini görüntüleyebilirsiniz. Güven ilkesi, bir RAM rolünün güvenilir varlıklarını tanımlar. Güvenilir varlık, RAM rolünü üstlenebilen bir varlıktır. Hizmete bağlı rolün güvenilir varlığı bir Alibaba Cloud hizmetidir. Hizmeti, güven ilkesindeki Service alanında görüntüleyebilirsiniz.

Hizmete bağlı rolü görüntüleme hakkında daha fazla bilgi için bkz. RAM rolünü görüntüleme.

Hizmete bağlı rolü silme

Artık Security Center'ı kullanmıyorsanız veya Alibaba Cloud hesabınızın kaydını silmeniz gerekiyorsa hizmete bağlı rolü Resource Access Management (RAM) konsolunda manuel olarak silebilirsiniz. Daha fazla bilgi için bkz. RAM rolünü silme.

SSS

RAM kullanıcım neden ApsaraMQ for RocketMQ için AliyunServiceRoleForOns hizmete bağlı rolünü otomatik olarak oluşturamıyor?

Alibaba Cloud hesabı hizmete bağlı rolü zaten oluşturmuşsa RAM kullanıcısı bu rolü hesaptan devralır. Rol devralınmazsa RAM konsoluna giriş yapın ve aşağıdaki erişim ilkesini RAM kullanıcısına ekleyin.

{
  "Statement": [
    {
      "Action": [
        "ram:CreateServiceLinkedRole"
      ],
      "Resource": "acs:ram:*:Alibaba Cloud account ID:role/*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName":  "ons.aliyuncs.com"
        }
      }
    }
  ],
  "Version": "1"
}

Yukarıdaki ilkeyi verdikten sonra RAM kullanıcınız hala hizmete bağlı rolü otomatik olarak oluşturamıyorsa RAM kullanıcısına aşağıdaki sistem ilkelerinden birini verin:

• AliyunMQFullAccess

• AliyunMQReadOnlyAccess

Daha fazla bilgi için bkz. Sistem ilkeleri.