将服务相关角色用于容量预留实例集
按需容量预留机群将使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特类型的 IAM 角色,它与容量预留机群直接相关。服务相关角色由容量预留机群预定义,并包含该服务代表您调用其它 AWS 服务所需的一切权限。
服务相关角色可让您更轻松地设置容量预留机群,因为您不必手动添加必要的权限。容量预留机群定义其服务相关角色的权限,除非另外定义,否则只有容量预留机群可以代入其角色。定义的权限包括信任策略和权限策略,以及不能附加到任何其他 IAM 实体的权限策略。
只有在首先删除相关资源后,您才能删除服务相关角色。这将保护您的容量预留机群资源,因为您不会无意中删除对资源的访问权限。
容量预留实例集的服务相关角色权限
容量预留机群使用名为 Amazon Web Services ServiceRoleForEC2CapacityReservationFleet 的服务相关角色创建、描述、修改和取消以前由容量预留机群代表您创建的容量预留。
Amazon Web Services ServiceRoleForEC2CapacityReservationFleet 服务相关角色信任以下实体来代入角色:capacity-reservation-fleet.amazonaws.com
。
该角色使用 AWSEC2CapacityReservationFleetRolePolicy 策略,其中包含以下权限:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeCapacityReservations", "ec2:DescribeInstances" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "ec2:CreateCapacityReservation", "ec2:CancelCapacityReservation", "ec2:ModifyCapacityReservation" ], "Resource": [ "arn:aws:ec2:*:*:capacity-reservation/*" ], "Condition": { "StringLike": { "ec2:CapacityReservationFleet": "arn:aws:ec2:*:*:capacity-reservation-fleet/crf-*" } } }, { "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": [ "arn:aws:ec2:*:*:capacity-reservation/*" ], "Condition": { "StringEquals": { "ec2:CreateAction": "CreateCapacityReservation" } } } ] }
您必须配置权限,允许 IAM 实体(如用户、组或角色)创建、编辑或删除服务相关角色。有关更多信息,请参阅《IAM 用户指南》中的服务相关角色权限。
创建容量预留实例集的服务相关角色
您无需手动创建服务相关角色。使用 create-capacity-reservation-fleet
AWS CLI 命令或 CreateCapacityReservationFleet
API 创建容量预留机群时,系统将自动为您创建服务相关角色。
如果您删除该服务相关角色,然后需要再次创建,您可以使用相同流程在账户中重新创建此角色。创建容量预留机群时,容量预留机群会再次为您创建服务相关角色。
编辑容量预留实例集的服务相关角色
容量预留机群不允许您编辑 Amazon Web Services ServiceRoleForEC2CapacityReservationFleet 服务相关角色。创建服务相关角色后,您将无法更改角色的名称,因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息,请参阅《IAM 用户指南》中的编辑服务相关角色。
删除容量预留实例集的服务相关角色
如果不再需要使用某个需要服务相关角色的功能或服务,我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是,您必须先删除服务相关角色的资源,然后才能手动删除它。
注意
如果在您试图删除资源时容量预留机群服务正在使用该角色,则删除操作可能会失败。如果发生这种情况,请等待几分钟后重试。
要删除 Amazon Web Services ServiceRoleForEC2CapacityReservationFleet 服务相关角色
-
使用
delete-capacity-reservation-fleet
AWS CLI 命令或DeleteCapacityReservationFleet
API 删除您的账户中的容量预留机群。 -
使用 IAM 控制台、AWS CLI 或 AWS API 删除 Amazon Web Services ServiceRoleForEC2CapacityReservationFleet 服务相关角色。有关更多信息,请参阅《IAM 用户指南》中的删除服务相关角色。
容量预留实例集服务相关角色支持的区域
容量预留机群支持在服务可用的所有区域中使用服务相关角色。有关更多信息,请参阅 AWS 区域和端点。