本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 将服务相关角色用于 Amazon Route 53 Resolver
<a name="using-service-linked-roles"></a>

Route 53 VPC 解析器使用 AWS Identity and Access Management (IAM) [服务相关](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)角色。服务相关角色是一种独特的 IAM 角色，直接关联到 VPC 解析器。服务相关角色由 VPC Resolver 预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。

服务相关角色使设置 VPC Resolver 变得更加容易，因为您不必手动添加必要的权限。VPC 解析器定义其服务相关角色的权限，除非另有定义，否则只有 VPC 解析器可以担任其角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。

只有在先删除相关资源后，才能删除服务相关角色。这可以保护您的 VPC 解析器资源，因为您不会无意中移除访问这些资源的权限。

有关支持服务相关角色的其它服务的信息，请参阅[与 IAM 配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，并查找 **Service-linked Role（服务相关角色）**列中为 **Yes（是）**的服务。选择**是**和链接，查看该服务的服务关联角色文档。

**Topics**
+ [VPC 解析器的服务相关角色权限](#slr-permissions)
+ [为 VPC 解析器创建服务相关角色](#create-slr)
+ [编辑 VPC 解析器的服务相关角色](#edit-slr)
+ [删除 VPC 解析器的服务相关角色](#delete-slr)
+ [VPC 解析器服务相关角色支持的区域](#slr-regions)

## VPC 解析器的服务相关角色权限
<a name="slr-permissions"></a>

VPC Resolver 使用**`AWSServiceRoleForRoute53Resolver`**服务相关角色代表您传送查询日志。

角色权限策略允许 VPC Resolver 对您的资源完成以下操作：

------
#### [ JSON ]

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Action": [
        "logs:CreateLogDelivery",
        "logs:GetLogDelivery",
        "logs:UpdateLogDelivery",
        "logs:DeleteLogDelivery",
        "logs:ListLogDeliveries",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "s3:GetBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}
```

------

您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅《IAM 用户指南》**中的[服务关联角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。

## 为 VPC 解析器创建服务相关角色
<a name="create-slr"></a>

您无需手动创建服务关联角色。当您在 Amazon Route 53 控制台、或 AWS API 中创建解析器查询日志配置关联时，VPC 解析器会为您创建服务相关角色。 AWS CLI

**重要**  
如果您在其他使用此角色支持的功能的服务中完成某个操作，此服务关联角色可以出现在您的账户中。此外，如果您在 2020 年 8 月 12 日开始支持服务相关角色之前使用 VPC 解析器服务，那么 VPC Resolver 会在您的账户中创建该`AWSServiceRoleForRoute53Resolver`角色。要了解更多信息，请参阅[我的 IAM 账户中的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。

如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建一个新的 Resolver 查询日志配置关联时，将再次为您创建 `AWSServiceRoleForRoute53Resolver` 服务相关角色。

## 编辑 VPC 解析器的服务相关角色
<a name="edit-slr"></a>

VPC 解析器不允许您编辑`AWSServiceRoleForRoute53Resolver`服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。

## 删除 VPC 解析器的服务相关角色
<a name="delete-slr"></a>

如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，必须先清除服务相关角色的资源，然后才能手动删除它。

**注意**  
如果您尝试删除资源时 VPC 解析器服务正在使用该角色，则删除可能会失败。如果发生这种情况，请等待几分钟后重试。

**删除使用的 VPC 解析器资源 `AWSServiceRoleForRoute53Resolver`**

1. 登录 AWS 管理控制台 并打开 Route 53 控制台，网址为[https://console.aws.amazon.com/route53/](https://console.aws.amazon.com/route53/)。

1. 展开 Route 53 控制台菜单。在控制台的左上角，选择三个水平条 (![\[Menu icon\]](http://docs.aws.amazon.com/zh_cn/Route53/latest/DeveloperGuide/images/menu-icon.png)) 图标。

1. 在 **Resolver **菜单中，选择 **Query logging（查询日志记录）**。

1. 选择查询日志记录配置名称旁边的复选框，然后选择 **Delete（删除）**。

1. 在 **Delete query logging configuration（删除查询日志记录配置）**文本框中，选择 **Stop logging queries（停止日志记录查询）**。

   这将解除配置与 VPC 的关联。您还可以通过编程方式解除查询日志记录配置的关联。有关更多信息，请参阅 [disassociate-resolver-query-log-config](https://docs.aws.amazon.com//cli/latest/reference/route53resolver/disassociate-resolver-query-log-config.html)。

1. 日志记录查询停止后，您可以选择在字段中键入 **delete**，然后选择 **Delete（删除）**以删除查询日志记录配置。但是，这对于删除 `AWSServiceRoleForRoute53Resolver` 使用的资源并非必需。

**使用 IAM 手动删除服务关联角色**

使用 IAM 控制台 AWS CLI、或 AWS API 删除`AWSServiceRoleForRoute53Resolver`服务相关角色。有关更多信息，请参见《IAM 用户指南》**中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。

## VPC 解析器服务相关角色支持的区域
<a name="slr-regions"></a>

VPC Resolver 不支持在提供服务的每个区域中使用服务相关角色。您可以在以下区域中使用 `AWSServiceRoleForRoute53Resolver` 角色。


****  

|  区域名称 | 区域标识 | VPC 解析器中的 Support | 
| --- | --- | --- | 
| 美国东部（弗吉尼亚州北部） | us-east-1 | 是 | 
| 美国东部（俄亥俄州） | us-east-2 | 是 | 
| 美国西部（北加利福尼亚） | us-west-1 | 是 | 
| 美国西部（俄勒冈州） | us-west-2 | 是 | 
| 亚太地区（孟买） | ap-south-1 | 是 | 
| 亚太地区（大阪） | ap-northeast-3 | 是 | 
| 亚太地区（首尔） | ap-northeast-2 | 是 | 
| 亚太地区（新加坡） | ap-southeast-1 | 是 | 
| 亚太地区（悉尼） | ap-southeast-2 | 是 | 
| 亚太地区（东京） | ap-northeast-1 | 是 | 
| 加拿大（中部） | ca-central-1 | 是 | 
| 欧洲地区（法兰克福） | eu-central-1 | 是 | 
| 欧洲地区（爱尔兰） | eu-west-1 | 是 | 
| 欧洲地区（伦敦） | eu-west-2 | 是 | 
| 欧洲地区（巴黎） | eu-west-3 | 是 | 
| 南美洲（圣保罗） | sa-east-1 | 是 | 
| 中国（北京） | cn-north-1 | 是 | 
| 中国（宁夏） | cn-northwest-1 | 是 | 
| AWS GovCloud (US) | us-gov-east-1 | 是 | 
| AWS GovCloud (US) | us-gov-west-1 | 是 |