本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 使用 Amazon FSx 的服务关联角色
Amazon FSx 使用 AWS Identity and Access Management (IAM) [服务相关](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)角色。服务相关角色是一种独特的 IAM 角色，直接关联到 Amazon FSx。 Service-linked 角色由 Amazon FSx 预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。
服务关联角色可让您更轻松地设置 Amazon FSx，因为您不必手动添加必要的权限。Amazon FSx 定义其服务关联角色的权限，除非另外定义，否则只有 Amazon FSx 可以代入该角色。定义的权限包括信任策略和权限策略，以及不能附加到任何其他 IAM 实体的权限策略。
只有在首先删除相关资源后，您才能删除服务关联角色。这将保护您的 Amazon FSx 资源，因为您不会无意中删除对资源的访问权限。
有关支持服务相关角色的其它服务的信息，请参阅[使用 IAM 的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并查找**Service-Linked 角色**列中显示为**是**的服务。请选择**是**与查看该服务的服务关联角色文档的链接。
## Service-linked 亚马逊 FSx 的角色权限
Amazon FSx 使用名为 **AWSServiceRoleForAmazonFSx**— 的服务相关角色在您的账户中执行某些操作，例如在 VPC 中为文件系统创建弹性网络接口，并在中发布文件系统和卷指标。 CloudWatch
有关此策略的更新，请参阅 [AmazonFSxServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AmazonFSxServiceRolePolicy)。
**权限详细信息**
AWSServiceRoleForAmazonFSx 角色权限由 AmazonFSxServiceRolePolicy AWS 托管策略定义。 AWSServiceRoleForAmazonFSx 具有以下权限：
**注意**
所有 Amazon FSx 文件系统类型都使用；列出的某些权限不适用于适用于 ONTAP 的 FSx。 AWSServiceRoleForAmazonFSx
+ `ds`— 允许 Amazon FSx 查看、授权和取消对您目录中的应用程序的授权。 Directory Service
+ `ec2`：允许 Amazon FSx 执行以下操作：
+ 查看、创建与 Amazon FSx 文件系统关联的网络接口以及取消关联。
+ 查看一个或多个与 Amazon FSx 文件系统关联的弹性 IP 地址。
+ 查看与 Amazon FSx 文件系统关联的 Amazon VPC、安全组和子网。
+ 为带有 `AmazonFSx.FileSystemId` 标签的客户网络接口分配 IPv6 地址。
+ 从带有 `AmazonFSx.FileSystemId` 标签的客户网络接口取消分配 IPv6 地址。
+ 为可以与 VPC 配合使用的所有安全组提供增强的安全组验证。
+ 为 AWS授权用户创建在网络接口上执行某些操作的权限。
+ `cloudwatch`— 允许 Amazon FSx 在 AWS/fsX 命名空间 CloudWatch 下发布指标数据点。
+ `route53` – 允许 Amazon FSx 将 Amazon VPC 与私有托管区关联。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateFileSystem",
"Effect": "Allow",
"Action": [
"ds:AuthorizeApplication",
"ds:GetAuthorizedApplicationDetails",
"ds:UnauthorizeApplication",
"ec2:CreateNetworkInterface",
"ec2:CreateNetworkInterfacePermission",
"ec2:DeleteNetworkInterface",
"ec2:DescribeAddresses",
"ec2:DescribeDhcpOptions",
"ec2:DescribeNetworkInterfaces",
"ec2:DescribeRouteTables",
"ec2:DescribeSecurityGroups",
"ec2:DescribeSubnets",
"ec2:DescribeVPCs",
"ec2:DisassociateAddress",
"ec2:GetSecurityGroupsForVpc",
"route53:AssociateVPCWithHostedZone"
],
"Resource": "*"
},
{
"Sid": "PutMetrics",
"Effect": "Allow",
"Action": [
"cloudwatch:PutMetricData"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "AWS/FSx"
}
}
},
{
"Sid": "TagResourceNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:CreateTags"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateNetworkInterface"
},
"ForAllValues:StringEquals": {
"aws:TagKeys": "AmazonFSx.FileSystemId"
}
}
},
{
"Sid": "ManageNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:AssignPrivateIpAddresses",
"ec2:ModifyNetworkInterfaceAttribute",
"ec2:UnassignPrivateIpAddresses"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonFSx.FileSystemId": "false"
}
}
},
{
"Sid": "ManageRouteTable",
"Effect": "Allow",
"Action": [
"ec2:CreateRoute",
"ec2:ReplaceRoute",
"ec2:DeleteRoute"
],
"Resource": [
"arn:aws:ec2:*:*:route-table/*"
],
"Condition": {
"StringEquals": {
"aws:ResourceTag/AmazonFSx": "ManagedByAmazonFSx"
}
}
}
]
}
```
------
[亚马逊 FSx 更新了托管政策 AWS](security-iam-awsmanpol.md#security-iam-awsmanpol-updates) 中介绍了本政策的所有更新。
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 IAM 用户指南中的[Service-Linked 角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 为 Amazon FSx 创建服务关联角色
您无需手动创建服务关联角色。当您在 AWS 管理控制台、IAM CLI 或 IAM API 中创建文件系统时，Amazon FSx 会为您创建服务相关角色。
**重要**
如果您在其他使用此角色支持的功能的服务中完成某个操作，此服务关联角色可以出现在您的账户中。要了解更多信息，请参阅[我的 IAM 账户中的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建文件系统时，Amazon FSx 会再次为您创建服务关联角色。
## 为 Amazon FSx 编辑服务关联角色
Amazon FSx 不允许您编辑 AWSServiceRoleForAmazonFSx 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅 *IAM 用户指南*中的[编辑 Service-Linked 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 删除 Amazon FSx 的服务关联角色
如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先删除所有文件系统和备份，然后才能手动删除服务关联角色。
**注意**
如果当您试图删除资源时 Amazon FSx 服务正在使用该角色，则删除操作可能会失败。如果发生这种情况，请等待几分钟后重试。
**使用 IAM 手动删除服务关联角色**
使用 IAM 控制台、IAM CLI 或 IAM API 删除 AWSServiceRoleForAmazonFSx 服务相关角色。有关更多信息，请参阅 *IAM 用户指南*中的[删除 Service-Linked 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon FSx 服务关联角色支持的区域
Amazon FSx 支持在该服务可用的所有区域中使用服务关联角色。有关更多信息，请参阅 [AWS 区域和端点](https://docs.aws.amazon.com/general/latest/gr/rande.html)。