本文介绍云消息队列 RocketMQ 版服务关联角色的背景信息、策略内容、注意事项和常见问题。
背景信息
服务关联角色是某个云服务在某些情况下,为了完成自身的某个功能,需要获取其他云服务的访问权限而提供的RAM角色。您在该云服务的控制台首次使用该功能时,系统会提示您完成服务关联角色的自动创建。更多关于服务关联角色的信息,请参见服务关联角色。
云消息队列 RocketMQ 版提供以下服务关联角色:
AliyunServiceRoleForOns:云消息队列 RocketMQ 版通过扮演该RAM角色,可获得如下权限:
如果您在云消息队列 RocketMQ 版控制台首次使用监控报警或仪表盘功能,系统会提示您完成AliyunServiceRoleForOns角色的自动创建。
策略内容
AliyunServiceRoleForOns服务关联角色AliyunServiceRoleForOns被授予的权限策略AliyunServiceRolePolicyForOns的策略内容如下:
{
"Version": "1",
"Statement": [
{
"Action": [
"cms:DescribeMetricRuleList",
"cms:DescribeMetricList",
"cms:DescribeMetricData"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"arms:OpenVCluster",
"arms:ListDashboards",
"arms:CheckServiceStatus"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "ons.aliyuncs.com"
}
}
}
]
}
注意事项
如果您删除了自动创建的服务关联角色,该服务关联角色相关的功能由于权限不足将无法再被使用,请谨慎操作。如需重新创建该服务关联角色并为其授权,请参见创建可信实体为阿里云服务的RAM角色和为RAM角色授权。
删除服务关联角色的更多信息,请参见删除服务关联角色。
常见问题
为什么我的RAM用户无法自动创建消息队列RocketMQ版服务关联角色AliyunServiceRoleForOns?
如果阿里云账号已经创建了服务关联角色,RAM用户就会继承该阿里云账号的服务关联角色。如果没有继承,请登录RAM控制台为其添加以下权限策略。
{
"Statement": [
{
"Action": [
"ram:CreateServiceLinkedRole"
],
"Resource": "acs:ram:*:阿里云账号ID:role/*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "ons.aliyuncs.com"
}
}
}
],
"Version": "1"
}
说明 请将
阿里云账号ID
替换为您实际的阿里云账号ID。如果您的RAM用户被授予该权限策略后,仍然无法自动创建服务关联角色,请为该RAM用户授予以下任一权限策略:
- AliyunMQFullAccess
- AliyunMQPubOnlyAccess
- AliyunMQSubOnlyAccess
以上权限策略的更多信息,请参见系统策略。