View a markdown version of this page

了解服务相关角色 - Amazon DocumentDB
Service-linked 角色权限创建服务相关角色修改服务相关角色删除服务相关角色Amazon DocumentDB 服务相关角色支持的区域

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

了解服务相关角色

亚马逊 DocumentDB（兼容 MongoDB）使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特的 IAM 角色，直接链接到 Amazon DocumentDB。 Service-linked 角色由 Amazon DocumentDB 预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。

服务关联角色使得可以更轻松地设置 Amazon DocumentDB，因为您不必手动添加必要的权限。Amazon DocumentDB 定义其服务相关角色的权限，除非另外定义，否则只有 Amazon DocumentDB 可以代入该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。

只有在首先删除角色的相关资源后，才能删除角色。这将保护您的 Amazon DocumentDB 资源，因为您不会无意中删除对资源的访问权限。

有关支持服务相关角色的其它服务的信息，请参阅使用 IAM 的AWS 服务并查找Service-Linked 角色列中显示为是的服务。请选择是与查看该服务的服务关联角色文档的链接。

Amazon DocumentDB 的服务相关角色权限

亚马逊 DocumentDB（兼容 MongoDB）使用名为的服务相关角色来允许 AWSServiceRoleForRDSAmazon DocumentDB 代表您的集群调用服务。 AWS

AWSServiceRoleForRDS 服务相关角色信任以下服务来代入该角色：

  • docdb.amazonaws.com

角色权限策略允许 Amazon DocumentDB 对指定资源完成以下操作：

  • 对 ec2 的操作：

    • AssignPrivateIpAddresses

    • AuthorizeSecurityGroupIngress

    • CreateNetworkInterface

    • CreateSecurityGroup

    • DeleteNetworkInterface

    • DeleteSecurityGroup

    • DescribeAvailabilityZones

    • DescribeInternetGateways

    • DescribeSecurityGroups

    • DescribeSubnets

    • DescribeVpcAttribute

    • DescribeVpcs

    • ModifyNetworkInterfaceAttribute

    • RevokeSecurityGroupIngress

    • UnassignPrivateIpAddresses

  • 对 sns 的操作：

    • ListTopic

    • Publish

  • 对 cloudwatch 的操作：

    • PutMetricData

    • GetMetricData

    • CreateLogStream

    • PullLogEvents

    • DescribeLogStreams

    • CreateLogGroup

注意

您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。您可能会遇到以下错误消息：

Unable to create the resource. Verify that you have permission to create service linked role。Otherwise wait and try again later.

如果您看到此错误，请确保您已启用以下权限：

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName":"rds.amazonaws.com"
        }
    }
}

有关更多信息，请参阅 IAM 用户指南中的Service-Linked 角色权限。

创建 Amazon DocumentDB 服务相关角色

您无需手动创建服务关联角色。当您创建集群时，Amazon DocumentDB 将为您创建服务相关角色。

如果删除此服务相关角色然后需要再次创建它，则可以使用相同的流程在您的账户中重新创建此角色。当您创建集群时，Amazon DocumentDB 将再次为您创建服务相关角色。

修改 Amazon DocumentDB 服务关联角色

Amazon DocumentDB 不允许您修改 AWSServiceRoleForRDS 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。不过，您可以使用 IAM 修改角色的说明。有关更多信息，请参阅 IAM 用户指南中的编辑 Service-Linked 角色。

删除 Amazon DocumentDB 服务相关角色

如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先删除所有 集群，然后才能删除服务相关角色。

清除 Amazon DocumentDB 服务相关角色

必须先确认服务相关角色没有活动会话并删除该角色使用的任何资源，然后才能使用 IAM 删除服务相关角色。

要使用控制台检查服务相关角色是否具有活动会话

  1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在 IAM 控制台的导航窗格中，选择角色，然后选择AWSServiceRoleForRDS角色的名称（不是复选框）。

  3. 在所选角色的 Summary 页面上，选择 Access Advisor 选项卡。

  4. 在 Access Advisor (访问顾问) 选项卡上，查看服务相关角色的近期活动。

    注意

    如果您不确定 Amazon DocumentDB 是否 AWSServiceRoleForRDS 在使用该角色，可以尝试删除该角色。如果服务正在使用该角色，则删除操作会失败，并且您可以查看正在使用该角色的 区域。如果该角色已被使用，则您必须等待会话结束，然后才能删除该角色。您无法撤销服务相关角色对会话的权限。

如果要移除该 AWSServiceRoleForRDS 角色，则必须先删除所有实例和集群。有关删除实例和集群的信息，请参阅以下主题：

Amazon DocumentDB 服务相关角色支持的区域

Amazon DocumentDB 支持在该服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅 https://docs.aws.amazon.com/documentdb/latest/devguide/regions-and-azs.html#regions-and-azs-availability。