本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Service-linked 弹性集群中的角色

亚马逊 DocumentDB 弹性集群使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特的 IAM 角色，直接链接到 Amazon DocumentDB 弹性集群。 Service-linked 角色由 Amazon DocumentDB 弹性集群预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。

服务关联角色使得可以更轻松地设置 Amazon DocumentDB 弹性集群，因为您不必手动添加必要的权限。Amazon DocumentDB 弹性集群定义了其服务关联角色的权限，除另有定义外，只有 Amazon DocumentDB 弹性集群可以担当该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。只有在首先删除角色的相关资源后，才能删除角色。这样可以保护您的 Amazon DocumentDB 弹性集群资源，因为您不会无意中移除访问资源所需的权限。

有关支持服务相关角色的其他服务的信息，请参阅与 IAM 配合使用的AWS 服务，并在 “Service-Linked 角色” 列中查找标有 “是” 的服务。请选择是与查看该服务的服务关联角色文档的链接。

Service-linked 弹性集群的角色权限

Amazon DocumentDB 弹性集群使用名为的服务相关角色AWS ServiceRoleForDocDB-Elastic来允许 Amazon DocumentDB 弹性集群代表您的集群调用 AWS 服务。

此服务相关角色附加了一个名为 AmazonDocDB-ElasticServiceRolePolicy 的权限策略，授予其在您的账户中操作的权限。角色权限策略允许 Amazon DocumentDB 弹性集群对指定资源完成以下操作：

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "AWS/DocDB-Elastic"
                    ]
                }
            }
        }
    ]
}
  

{
"Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/docdb-elastic.amazonaws.com/AWSServiceRoleForDocDB-Elastic",
    "Condition": {
"StringLike": {
"iam:AWSServiceName":"docdb-elastic.amazonaws.com"
        }
    }
}
   

有关更多信息，请参阅《Identity and A ccess Managem AWS ent 用户指南》中的Service-linked 角色权限。

创建 Amazon DocumentDB 弹性集群的服务关联角色

您无需手动创建服务关联角色。创建数据库实例时，Amazon DocumentDB 弹性集群将为您创建一个服务关联角色。

编辑 Amazon DocumentDB 弹性集群的服务关联角色

Amazon DocumentDB 弹性集群不允许您编辑 AWS ServiceRoleForDocDB-Elastic 服务关联角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅 AWS 身份和访问用户指南中的编辑服务关联角色。

删除 Amazon DocumentDB 弹性集群的服务关联角色

如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。但是，您必须先删除所有 集群，然后才能删除服务相关角色。

清除服务相关角色

必须先确认服务相关角色没有活动会话并删除该角色使用的任何资源，然后才能使用 IAM 删除服务相关角色。

在 IAM 控制台中检查服务相关角色是否具有活动会话

删除所有集群

在 Amazon DocumentDB 控制台删除集群