为 DataSync 使用角色

AWS DataSync 使用 AWS Identity and Access Management（IAM）服务相关角色。服务相关角色是一种独特类型的 IAM 角色，它与 DataSync 直接相关。服务相关角色由 DataSync 预定义，并包含服务代表您调用其他 AWS 服务所需的所有权限。

服务相关角色可让您更轻松地设置 DataSync，因为您不必手动添加必要的权限。DataSync 定义其服务相关角色的权限，除非另外定义，否则只有 DataSync 可以代入该角色。定义的权限包括信任策略和权限策略，以及不能附加到任何其他 IAM 实体的权限策略。

只有在首先删除相关资源后，您才能删除服务相关角色。这将保护您的 DataSync 资源，因为您不会无意中删除对资源的访问权限。

有关支持服务相关角色的其他服务的信息，请参阅使用 IAM 的 AWS 服务，并查找服务相关角色列中显示为是的服务。选择是和链接，查看该服务的服务相关角色文档。

DataSync 的服务相关角色权限

DataSync 使用名为 AWSServiceRoleForDataSync 的服务相关角色：允许 DataSync 执行传输任务执行的基本操作，包括从 AWS Secrets Manager 读取密钥，以及创建 CloudWatch 日志组和事件。

AWSServiceRoleForDataSync 服务相关角色信任以下服务可以代入该角色：

该服务相关角色使用名为 AWSDataSyncServiceRolePolicy 的 AWS 托管策略，使 DataSync 能够对指定资源完成以下操作：

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [{
            "Sid": "DataSyncCloudWatchLogCreateAccess",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream"
            ],
            "Resource": [
                "arn:*:logs:*:*:log-group:/aws/datasync*"
            ]
        },
        {
            "Sid": "DataSyncCloudWatchLogStreamUpdateAccess",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:*:logs:*:*:log-group:/aws/datasync*:log-stream:*"
            ]
        },
        {
            "Sid": "DataSyncSecretsManagerReadAccess",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DescribeSecret",
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:*:secretsmanager:*:*:secret:aws-datasync!*"
            ],
            "Condition": {
                "StringEquals": {
                    "secretsmanager:ResourceTag/aws:secretsmanager:owningService": "aws-datasync",
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

您必须配置使用户、组或角色能够创建、编辑或删除服务相关角色的权限。有关更多信息，请参阅《IAM 用户指南》中的服务相关角色权限。

为 DataSync 创建服务相关角色

您无需手动创建服务相关角色。当您在 AWS 管理控制台、AWS CLI 或 AWS API 中添加 DataSync 任务时，DataSync 会为您创建服务相关角色。

在 AWS CLI 或 AWS API 中，可使用 datasync.amazonaws.com 服务名称创建服务相关角色。有关更多信息，请参阅 IAM 用户指南 中的创建服务相关角色。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。

如果您删除该服务相关角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建 DataSync 任务时，DataSync 会再次为您创建服务相关角色。

如果删除该服务相关角色，您可以使用相同的 IAM 过程再次创建该角色。

编辑 DataSync 的服务相关角色

DataSync 不允许您编辑 AWSServiceRoleForDataSync 服务相关角色。创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅《IAM 用户指南》中的编辑服务相关角色。

删除 DataSync 的服务相关角色

如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除您的服务相关角色，然后才能手动删除它。

清除服务相关角色

必须先删除服务相关角色使用的所有资源，然后才能使用 IAM 删除该角色。

手动删除服务相关角色

使用 IAM 控制台、AWS CLI 或 AWS API 删除 AWSServiceRoleForDataSync 服务相关角色。有关更多信息，请参阅《IAM 用户指南》中的删除服务相关角色。

DataSync 服务相关角色的受支持区域

DataSync 支持在服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅 AWS 区域和端点。