Secure Access Service Edge:SASE'in cloud kaynaklarına erişimini yetkilendirin

Ön koşullar

• SASE hizmetini etkinleştirdiniz.

• Service-linked rolleri oluşturma ve silme iznine sahip bir Alibaba Cloud hesabı veya RAM kullanıcısı kullanıyorsunuz.

Arka plan bilgileri

SASE hizmetini ilk kez kullandığınızda, Alibaba Cloud sizin adınıza diğer Alibaba Cloud hizmetlerine erişmesine olanak tanıyan service-linked role adlı AliyunServiceRoleForCsas rolünü otomatik olarak oluşturur. Manuel oluşturma veya değiştirme gerekmez. Daha fazla bilgi için bkz. Service-linked roles.

Yordam

1. Secure Access Service Edge konsolu içinde oturum açın.

2. Welcome to SASE iletişim kutusunda Confirm Authorization seçeneğine tıklayın.

   secure access service edge hizmetini etkinleştirdikten sonra, konsola ilk kez oturum açtığınızda secure access service edge size bir service-linked role oluşturma konusunda rehberlik eder.

   Confirm Creation seçeneğine tıkladığınızda, Alibaba Cloud SASE için AliyunServiceRoleForCsas adlı service-linked role'ü otomatik olarak oluşturur. Bu rolü RAM konsolu üzerindeki Roles sayfasında görüntüleyebilirsiniz. SASE örneğiniz, bu rol oluşturulduktan sonra IDaaS ve SAG gibi cloud hizmetlerine erişebilir.

SASE service-linked role

secure access service edge service-linked role aşağıdaki niteliklere sahiptir:

• Rol adı: AliyunServiceRoleForCsas

• İlke adı: AliyunServiceRolePolicyForCsas

  Not

  Bu bir sistem ilkesidir. İlke adını veya içeriğini değiştiremezsiniz.

• İlke örneği:

  {
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "ecs:DescribeInstances",
          "ecs:CreateSecurityGroup",
          "ecs:DeleteSecurityGroup",
          "ecs:AuthorizeSecurityGroup",
          "ecs:DescribeSecurityGroups",
          "ecs:DescribeSecurityGroupReferences",
          "ecs:ModifySecurityGroupPolicy",
          "ecs:ModifySecurityGroupRule",
          "ecs:ModifySecurityGroupEgressRule",
          "ecs:CreateNetworkInterface",
          "ecs:DeleteNetworkInterface",
          "ecs:DescribeNetworkInterfaces",
          "ecs:CreateNetworkInterfacePermission",
          "ecs:DescribeNetworkInterfacePermissions",
          "ecs:DeleteNetworkInterfacePermission",
          "ecs:AttachNetworkInterface",
          "ecs:DetachNetworkInterface",
          "ecs:RevokeSecurityGroup"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "rds:DescribeDBInstances",
          "rds:DescribeSecurityGroupConfiguration",
          "rds:ModifySecurityGroupConfiguration",
          "rds:DescribeDBInstanceIPArrayList",
          "rds:ModifySecurityIps"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "kvstore:DescribeInstances",
          "kvstore:DescribeGlobalDistributeCache",
          "kvstore:DescribeSecurityIps",
          "kvstore:ModifySecurityIps",
          "kvstore:DescribeSecurityGroupConfiguration",
          "kvstore:ModifySecurityGroupConfiguration"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "dds:DescribeDBInstances",
          "dds:DescribeSecurityIps",
          "dds:ModifySecurityIps",
          "dds:DescribeSecurityGroupConfiguration",
          "dds:ModifySecurityGroupConfiguration"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "polardb:DescribeDBClusters",
          "polardb:DescribeDBClusterAccessWhitelist",
          "polardb:ModifyDBClusterAccessWhitelist"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "vpc:DescribeVpcs",
          "vpc:DescribeVSwitches",
          "vpc:CreateVpc",
          "vpc:DeleteVpc",
          "vpc:CreateVSwitch",
          "vpc:DeleteVSwitch",
          "vpc:DescribeZones",
          "vpc:DescribePhysicalConnections",
          "vpc:DescribeVirtualBorderRouters",
          "vpc:DescribeVirtualBorderRoutersForPhysicalConnection",
          "vpc:DescribeVpnGateways",
          "vpc:DescribeVpnGateway",
          "vpc:DescribeCustomerGateways",
          "vpc:DescribeVpnConnections",
          "vpc:DescribeVpcAttribute",
          "vpc:DescribeRouteTables",
          "vpc:DescribeRouteTableList",
          "vpc:DescribeRouteEntryList"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "cen:DescribeCens",
          "cen:DescribeCenAttachedChildInstances",
          "cen:DescribeCenAttachedChildInstanceAttribute",
          "cen:AttachCenChildInstance",
          "cen:DetachCenChildInstance",
          "cen:GrantInstanceToCen",
          "cen:RevokeInstanceFromCen"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "smartag:CreateSmartAGTrafficService",
          "smartag:UpdateSmartAGTrafficService",
          "smartag:DeleteSmartAGTrafficSerivce",
          "smartag:ListSmartAGTrafficService",
          "smartag:DescribeSmartAccessGateways",
          "smartag:DescribeCloudConnectNetworks",
          "smartag:CreateCloudConnectNetwork",
          "smartag:ModifyCloudConnectNetwork",
          "smartag:DeleteCloudConnectNetwork",
          "smartag:CreateSmartAccessGatewaySoftware",
          "smartag:UpgradeSmartAccessGatewaySoftware",
          "smartag:DowngradeSmartAccessGatewaySoftware",
          "smartag:BindSmartAccessGateway",
          "smartag:UnbindSmartAccessGateway"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "log:PostLogStoreLogs",
          "log:GetProject",
          "log:ListProject",
          "log:GetLogStore",
          "log:ListLogStores",
          "log:CreateLogStore",
          "log:CreateProject",
          "log:GetIndex",
          "log:CreateIndex",
          "log:UpdateIndex",
          "log:CreateDashboard",
          "log:ClearLogStoreStorage",
          "log:UpdateLogStore",
          "log:UpdateDashboard",
          "log:CreateSavedSearch",
          "log:UpdateSavedSearch",
          "log:DeleteLogStore",
          "log:DeleteSavedSearch",
          "log:GetSavedSearch",
          "log:ListSavedSearch",
          "log:DeleteDashboard",
          "log:GetDashboard",
          "log:ListDashboard"
        ],
        "Resource": "acs:log:*:*:project/csas-project-*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "pvtz:DescribeZones",
          "pvtz:DescribeZoneInfo",
          "pvtz:DescribeZoneRecords"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "csas.aliyuncs.com"
          }
        }
      }
    ]
  }

Service-linked role'ü silin

SASE hizmetine artık ihtiyacınız yoksa, SASE service-linked role'ü AliyunServiceRoleForCsas silebilirsiniz. Önce mevcut tüm SASE örneklerini serbest bırakın, ardından rolü RAM konsolunda silin.

1. RAM konsolu içinde oturum açın.

2. Sol gezinme bölmesinde Identities > Roles seçeneğini seçin.

3. Arama kutusunu kullanarak SASE service-linked role'ü AliyunServiceRoleForCsas bulun ve ardından İşlemler sütunundaki Delete Role seçeneğine tıklayın.

4. Delete Role iletişim kutusunda OK seçeneğine tıklayın.

SSS

Bir RAM kullanıcısı kullanırken SASE service-linked role'ü neden otomatik olarak oluşturamıyorum?

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:ACCOUNT_ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "csas.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}