Create, view, and delete service-linked roles for NAS - File Storage NAS

Çalışma şekli

Hizmet bağlantılı rol, güvenilir varlığın bir Alibaba Cloud hizmeti olduğu Resource Access Management (RAM) rolü türüdür. NAS, bu rolü sizin adınıza diğer bulut hizmetlerine ve kaynaklara erişmek için kullanır; böylece izinleri manuel olarak yapılandırmanıza gerek kalmaz.

Genellikle NAS, gerektiğinde gerekli rolü sizin için oluşturur. Rolün otomatik olarak oluşturulması başarısız olursa veya NAS bu rol için otomatik oluşturmayı desteklemiyorsa rolü manuel olarak oluşturmanız gerekir.

Her hizmet bağlantılı rol, RAM tarafından yönetilen bir sistem ilkesiyle eşleşir. Bu ilkeyi değiştiremezsiniz. İlke içeriğini görüntülemek için RAM konsolundaki rol ayrıntıları sayfasına gidin.

Not

Daha fazla bilgi için bkz. hizmet bağlantılı roller.

Kullanım senaryoları

Kullandığınız özelliğe bağlı olarak NAS belirli bir hizmet bağlantılı rolünü otomatik olarak oluşturur:

Rol	Tetikleyici	Erişilen hizmetler
AliyunServiceRoleForNasStandard	Genel amaçlı bir NAS dosya sistemi için klasik ağda bir bağlama noktası oluşturduğunuzda.	ECS: Erişimi doğrulamak için kaynak listelerini sorgular.
AliyunServiceRoleForNasExtreme	Bir Extreme NAS dosya sistemi için bir bağlama noktası oluşturduğunuzda.	VPC ve ECS
AliyunServiceRoleForNasEncryption	KMS ile şifrelenmiş bir dosya sistemi oluşturduğunuzda.	KMS: Anahtar bilgilerini alır ve yanlışlıkla silinmeyi önlemek için etiketler ekler.
AliyunServiceRoleForNasLogDelivery	NAS günlük analizi özelliğini etkinleştirdiğinizde.	Log Service: Günlükleri depolamak için bir proje ve Logstore oluşturur.
AliyunServiceRoleForNasBackup	Genel amaçlı bir dosya sistemi için dosya yedekleme özelliğini etkinleştirdiğinizde.	Cloud Backup (HBR): Hizmeti etkinleştirir ve bir yedekleme planı oluşturur.
AliyunServiceRoleForNasEcsHandler	NAS konsolunda tek tıkla bağlama özelliğini kullandığınızda.	Cloud Assistant: Dosya sistemlerini bağlamak veya ayırmak ve bağlama durumunu sorgulamak için ECS örneklerinde komutlar çalıştırır.

Daha fazla bilgi için bkz. hizmet bağlantılı roller.

İzinler

NAS hizmet bağlantılı rolleri için izinler aşağıdaki gibidir:

AliyunServiceRoleForNasStandard

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "ecs:DescribeInstances" 
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}

AliyunServiceRoleForNasExtreme

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "vpc:DescribeVSwitchAttributes",
 "vpc:DescribeVpcs",
 "vpc:DescribeVSwitches"
 ],
 "Resource": "*",
 "Effect": "Allow"
 },
 {
 "Action": [
 "ecs:CreateSecurityGroup", 
 "ecs:DescribeSecurityGroups",
 "ecs:DescribeSecurityGroupAttribute",
 "ecs:DeleteSecurityGroup", 
 "ecs:AuthorizeSecurityGroup", 
 "ecs:CreateNetworkInterface", 
 "ecs:DeleteNetworkInterface",
 "ecs:DescribeNetworkInterfaces",
 "ecs:CreateNetworkInterfacePermission", 
 "ecs:DescribeNetworkInterfacePermissions",
 "ecs:DeleteNetworkInterfacePermission"
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}

AliyunServiceRoleForNasEncryption

{
 "Statement": [
 {
 "Effect": "Allow",
 "Action": [
 "kms:Listkeys", 
 "kms:Listaliases",
 "kms:ListResourceTags",
 "kms:DescribeKey", 
 "kms:TagResource", 
 "kms:UntagResource"
 ],
 "Resource": "acs:kms:*:*:*"
 },
 {
 "Effect": "Allow",
 "Action": [
 "kms:Encrypt",
 "kms:Decrypt",
 "kms:GenerateDataKey"
 ],
 "Resource": "acs:kms:*:*:*/*",
 "Condition": {
 "StringEqualsIgnoreCase": {
 "kms:tag/acs:nas:instance-encryption": "true"
 }
 }
 }
 ],
 "Version": "1"
}

AliyunServiceRoleForNasLogDelivery

{
 "Version": "1",
 "Statement": [
 {
 "Action": [
 "log:PostLogStoreLogs"
 ],
 "Resource": "*",
 "Effect": "Allow"
 }
 ]
}

AliyunServiceRoleForNasBackup

{
	"Version": "1",
	"Statement": [{
			"Action": [
				"hbr:OpenHbrService",
				"hbr:CreateTrialBackupPlan"
			],
			"Resource": "*",
			"Effect": "Allow"
		},
		{
			"Action": "ram:DeleteServiceLinkedRole",
			"Resource": "*",
			"Effect": "Allow",
			"Condition": {
				"StringEquals": {
					"ram:ServiceName": "backup.nas.aliyuncs.com"
				}
			}
		},
		{
			"Action": "ram:CreateServiceLinkedRole",
			"Resource": "*",
			"Effect": "Allow",
			"Condition": {
				"StringEquals": {
					"ram:ServiceName": "nasbackup.hbr.aliyuncs.com"
				}
			}
		}
	]
}

AliyunServiceRoleForNasEcsHandler

{
 "Version": "1",
 "Statement": [
 {
 "Action": "ram:DeleteServiceLinkedRole",
 "Resource": "*",
 "Effect": "Allow",
 "Condition": {
 "StringEquals": {
 "ram:ServiceName": "ecs-handler.nas.aliyuncs.com"
 }
 }
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:InvokeCommand"
 ],
 "Resource": [
 "acs:ecs:*:*:instance/*",
 "acs:ecs:*:*:command/cmd-ACS-NAS-ClickMount-*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:DescribeInstances",
 "ecs:DescribeCloudAssistantStatus"
 ],
 "Resource": [
 "acs:ecs:*:*:instance/*"
 ]
 },
 {
 "Effect": "Allow",
 "Action": [
 "ecs:DescribeInvocations",
 "ecs:DescribeInvocationResults"
 ],
 "Resource": [
 "*"
 ]
 }
 ]
}

RAM kullanıcıları için gereken izinler

Varsayılan olarak bir RAM kullanıcısı hizmet bağlantılı roller oluşturma veya silme iznine sahip değildir. Bu izinleri vermek için bir yöneticiyle iletişime geçerek AliyunNASFullAccess ilkesini RAM kullanıcısına eklemesini isteyin veya özel bir ilkedeki Action ifadesine aşağıdaki izinleri ekleyin:

Hizmet bağlantılı rol oluşturma: ram:CreateServiceLinkedRole
Hizmet bağlantılı rol silme: ram:DeleteServiceLinkedRole

İzinlerin nasıl verileceğine ilişkin ayrıntılı talimatlar için bkz. Hizmet bağlantılı rolü yönetmek için gereken izinler.

Hizmet bağlantılı rolü görüntüleme

RAM konsolunun Rolleri sayfasında AliyunServiceRoleForNasStandard gibi bir hizmet bağlantılı rolünü arayın. Rol ayrıntıları sayfası aşağıdaki bilgileri gösterir:

Temel bilgiler

Basic information bölümünde rolün adını, oluşturma zamanını, ARN'sini ve açıklamasını görüntüleyebilirsiniz.

İlke

Permissions sekmesinde ilke adını tıklayarak ilkeyi ve rolün erişebileceği bulut kaynaklarını görüntüleyin.

Güven ilkesi

Trust policy sekmesinde güven ilkesini görüntüleyin. Güven ilkesi, hangi güvenilir varlıkların rolü üstlenebileceğini tanımlar. Hizmet bağlantılı rol için güvenilir varlık bir Alibaba Cloud hizmetidir; bunu ilkedeki Service alanından belirleyebilirsiniz.

Hizmet bağlantılı rolün nasıl görüntüleneceğine ilişkin ayrıntılı talimatlar için bkz. RAM rolü hakkında bilgileri görüntüleme.

Hizmet bağlantılı rolü silme

Hizmet bağlantılı rol gerektiren bir özelliği artık kullanmıyorsanız bu rolü silmenizi öneririz. Örneğin, KMS ile şifrelenmiş dosya sistemleri artık oluşturmadıysanız AliyunServiceRoleForNasEncryption rolünü silebilirsiniz. Rolü silmeden önce ilişkili tüm dosya sistemi örneklerini öncelikle silmeniz gerekir. Daha fazla bilgi için bkz. Dosya sistemi silme ve Hizmet bağlantılı rol silme.

Önemli

Hizmet bağlantılı rolü sildikten sonra buna bağımlı özellikler çalışmaz. Dikkatli olun.

SSS

RAM kullanıcım neden NAS hizmet bağlantılı rolünü otomatik olarak oluşturamıyor?

Varsayılan olarak bir RAM kullanıcısı hizmet bağlantılı roller oluşturma iznine sahip değildir. Bu izni vermek için aşağıdaki ilkeyi RAM kullanıcısına ekleyin. İlkeye YOUR_ALIBABA_CLOUD_ACCOUNT_ID yerine Alibaba Cloud hesap kimliğinizi yazın. Ayrıntılı talimatlar için bkz. Özel ilke oluşturma.

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:YOUR_ALIBABA_CLOUD_ACCOUNT_ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "standard.nas.aliyuncs.com",
                        "extreme.nas.aliyuncs.com",
                        "encryption.nas.aliyuncs.com",
                        "logdelivery.nas.aliyuncs.com",
                        "ecs-handler.nas.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}