本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将 Service-Linked 角色用于 Amazon Route 53 Resolver

Route 53 VPC 解析器使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特的 IAM 角色，直接关联到 VPC 解析器。 Service-linked 角色由 VPC 解析器预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。

服务相关角色可以更轻松地设置 VPC 解析器，因为您无需手动添加必要的权限。VPC 解析器定义其服务相关角色的权限，除非另有定义，否则只有 VPC 解析器可以代入其角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。

只有在先删除相关资源后，才能删除服务相关角色。这可以保护您的 VPC 解析器资源，因为您无法无意中删除访问资源的权限。

有关支持服务相关角色的其他服务的信息，请参阅与 IAM 合作的AWS 服务，并在 “Service-Linked 角色” 列中查找 “是” 的服务。请选择是与查看该服务的服务关联角色文档的链接。

Service-Linked VPC 解析器的角色权限

VPC 解析器使用AWSServiceRoleForRoute53Resolver服务相关角色代表您传送查询日志。

角色权限策略允许 VPC 解析器对您的资源完成以下操作：

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Action": [
        "logs:CreateLogDelivery",
        "logs:GetLogDelivery",
        "logs:UpdateLogDelivery",
        "logs:DeleteLogDelivery",
        "logs:ListLogDeliveries",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "s3:GetBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 IAM 用户指南中的Service-Linked 角色权限。

为 VPC 解析器创建 Service-Linked 角色

您无需手动创建服务关联角色。当您在 Amazon Route 53 控制台、或 AWS API 中创建解析器查询日志配置关联时，VPC 解析器会为您创建服务相关角色。 AWS CLI

如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建一个新的 Resolver 查询日志配置关联时，将再次为您创建 AWSServiceRoleForRoute53Resolver 服务相关角色。

编辑 VPC 解析器的 Service-Linked 角色

VPC 解析器不允许您编辑AWSServiceRoleForRoute53Resolver服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅 IAM 用户指南中的编辑 Service-Linked 角色。

删除 VPC 解析器的 Service-Linked 角色

如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，必须先清除服务相关角色的资源，然后才能手动删除它。

使用 IAM 手动删除服务关联角色

使用 IAM 控制台 AWS CLI、或 AWS API 删除AWSServiceRoleForRoute53Resolver服务相关角色。有关更多信息，请参阅 IAM 用户指南中的删除 Service-Linked 角色。

VPC 解析器角色 Service-Linked 支持的区域

VPC 解析器不支持在提供服务的每个区域中使用服务相关角色。您可以在以下区域中使用 AWSServiceRoleForRoute53Resolver 角色。