本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 弹性集群中的服务关联角色
亚马逊 DocumentDB 弹性集群使用 AWS Identity and Access Management (IAM) [服务相关](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)角色。服务关联角色是一种独特类型的 IAM 角色，它与 Amazon DocumentDB 弹性集群直接相关。服务相关角色由 Amazon DocumentDB 弹性集群预定义，包括该服务代表您调用 AWS 其他服务所需的所有权限。
服务关联角色使得可以更轻松地设置 Amazon DocumentDB 弹性集群，因为您不必手动添加必要的权限。Amazon DocumentDB 弹性集群定义了其服务关联角色的权限，除另有定义外，只有 Amazon DocumentDB 弹性集群可以担当该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。只有在首先删除角色的相关资源后，才能删除角色。这样可以保护您的 Amazon DocumentDB 弹性集群资源，因为您不会无意中移除访问资源所需的权限。
有关支持服务关联角色的其他服务的信息，请参阅[与 IAM 配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，并查找**服务关联角色**列中标记为**是**的服务。请选择是与查看该服务的服务关联角色文档的链接。
## 弹性集群的服务关联角色权限
Amazon DocumentDB 弹性集群使用名为的服务相关角色`AWS ServiceRoleForDocDB-Elastic`来允许 Amazon DocumentDB 弹性集群代表您的集群调用 AWS 服务。
此服务相关角色附加了一个名为 `AmazonDocDB-ElasticServiceRolePolicy` 的权限策略，授予其在您的账户中操作的权限。角色权限策略允许 Amazon DocumentDB 弹性集群对指定资源完成以下操作：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudwatch:PutMetricData"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"cloudwatch:namespace": [
"AWS/DocDB-Elastic"
]
}
}
}
]
}
```
------
**注意**
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。如果您遇到以下错误消息：**“不能创建资源。Verify that you have permission to create service linked role。否则，请等待并稍后再试。”**确保您已启用以下权限：
```
{
"Action": "iam:CreateServiceLinkedRole",
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/aws-service-role/docdb-elastic.amazonaws.com/AWSServiceRoleForDocDB-Elastic",
"Condition": {
"StringLike": {
"iam:AWSServiceName":"docdb-elastic.amazonaws.com"
}
}
}
```
有关更多信息，请参阅 *AWS 身份和访问用户指南*中的[服务关联角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
### 创建 Amazon DocumentDB 弹性集群的服务关联角色
您无需手动创建服务关联角色。创建数据库实例时，Amazon DocumentDB 弹性集群将为您创建一个服务关联角色。
### 编辑 Amazon DocumentDB 弹性集群的服务关联角色
Amazon DocumentDB 弹性集群不允许您编辑 `AWS ServiceRoleForDocDB-Elastic` 服务关联角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅 *AWS 身份和访问用户指南*中的[编辑服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
#### 删除 Amazon DocumentDB 弹性集群的服务关联角色
如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。但是，您必须先删除所有 集群，然后才能删除服务相关角色。
##### 清除服务相关角色
必须先确认服务相关角色没有活动会话并删除该角色使用的任何资源，然后才能使用 IAM 删除服务相关角色。
在 IAM 控制台中检查服务相关角色是否具有活动会话
1. 登录到 [AWS 管理控制台](https://console.aws.amazon.com/iam/) 并打开 IAM 控制台。
1. 在 IAM 控制台的导航窗格中，选择**角色**。然后选择 `AWS ServiceRoleForDocDB-Elastic` 角色的名称（不是复选框）。
1. 在所选角色的 **Summary (摘要)** 页面上，选择 **Access Advisor (访问顾问)** 选项卡。
**注意**
如果您不确定 Amazon DocumentDB 弹性集群是否在使用 `AWS ServiceRoleForDocDB-Elastic` 角色，可以尝试删除该角色。如果服务正在使用该角色，则删除将失败，您可以查看该角色的使用 AWS 区域 位置。如果该角色已被使用，则您必须等待会话结束，然后才能删除该角色。您无法撤销服务相关角色对会话的权限。
如果您要删除 `AWS ServiceRoleForDocDB-Elastic` 角色，则必须先删除您的所有集群。
##### 删除所有集群
在 Amazon DocumentDB 控制台删除集群
1. 登录 [AWS 管理控制台](https://console.aws.amazon.com/docdb) 并打开 Amazon DocumentDB 控制台。
1. 在导航窗格中，选择**集群**。
1. 选择要删除的集群。
1. 对于**操作**，选择**删除**。
1. 如果系统提示您**是否创建最终快照？**，请选择**是**或**否**。
1. 如果您在上一步中选择了 **Yes (是)**，请为 **Final snapshot name (最终快照名称)** 输入最终快照的名称。
1. 选择**删除**。
**注意**
您可以使用 IAM 控制台、IAM CLI 或 IAM API 来删除 `AWS ServiceRoleForDocDB-Elastic` 服务关联角色。有关更多信息，请参阅 *AWS 身份和访问用户指南*中的[删除服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。