本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 MemoryDB 的服务相关角色

MemoryDB 使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特的 IAM 角色，直接链接到 AWS 服务，例如 MemoryDB。MemoryDB 服务相关角色由 MemoryDB 预定义。它们包含该服务代表您的集群调用 AWS 服务所需的一切权限。

使用服务相关角色时，您不必手动添加必要的权限，所以您可以更轻松地设置 MemoryDB。这些角色已存在于您的 AWS 账户中，但已关联到 MemoryDB 用例并具有预定义的权限。只有 MemoryDB 可以代入这些角色，并且只有这些角色可以使用预定义的权限策略。只有先删除角色的相关资源，才能删除角色。这将保护您的 MemoryDB 资源，因为您不会无意中删除访问资源的必要权限。

有关支持服务链接角色的其他服务的信息，请参阅使用 IAM 的AWS 服务，并在服务链接角色列中查找是的服务。选择是和链接，查看该服务的服务相关角色文档。

MemoryDB 的服务相关角色权限

MemoryDB 使用名为 AWSServiceRoleForMemoryDB 的服务相关角色 — 此策略允许 MemoryDB 在必要时代表您管理管理集群的 AWS 资源。

AWSServiceRoleForMemory数据库服务相关角色权限策略允许 MemoryDB 对指定资源完成以下操作：

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateTags"
			],
			"Resource": "arn:aws-cn:ec2:*:*:network-interface/*",
			"Condition": {
				"StringEquals": {
					"ec2:CreateAction": "CreateNetworkInterface"
				},
				"ForAllValues:StringEquals": {
					"aws:TagKeys": [
						"AmazonMemoryDBManaged"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateNetworkInterface"
			],
			"Resource": [
				"arn:aws-cn:ec2:*:*:network-interface/*",
				"arn:aws-cn:ec2:*:*:subnet/*",
				"arn:aws-cn:ec2:*:*:security-group/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DeleteNetworkInterface",
				"ec2:ModifyNetworkInterfaceAttribute"
			],
			"Resource": "arn:aws-cn:ec2:*:*:network-interface/*",
			"Condition": {
				"StringEquals": {
					"ec2:ResourceTag/AmazonMemoryDBManaged": "true"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DeleteNetworkInterface",
				"ec2:ModifyNetworkInterfaceAttribute"
			],
			"Resource": "arn:aws-cn:ec2:*:*:security-group/*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeSecurityGroups",
				"ec2:DescribeNetworkInterfaces",
				"ec2:DescribeAvailabilityZones",
				"ec2:DescribeSubnets",
				"ec2:DescribeVpcs"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"cloudwatch:PutMetricData"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"cloudwatch:namespace": "AWS/MemoryDB"
				}
			}
		}
	]
}

有关更多信息，请参阅 AWS 托管策略：内存 DBService RolePolicy。

允许 IAM 实体创建 AWSServiceRoleForMemory数据库服务相关角色

向该 IAM 实体的权限中添加以下策略声明：

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

允许 IAM 实体删除 AWSServiceRoleForMemory数据库服务相关角色

向该 IAM 实体的权限中添加以下策略声明：

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

或者，您可以使用 AWS 托管策略来提供对 MemoryDB 的完全访问权限。

创建服务相关角色（IAM）

您可以使用 IAM 控制台、CLI 或 API 创建服务相关角色。

创建服务相关角色（IAM 控制台）

您可使用 IAM 控制台创建服务相关角色。

创建服务相关角色（IAM CLI）

您可以使用中的 IAM 操作 AWS Command Line Interface 来创建服务相关角色。此角色可以包括服务代入角色时所需的信任策略和内联策略。

创建服务相关角色（CLI）

使用以下操作：

$ aws iam create-service-linked-role --aws-service-name memorydb.amazonaws.com

创建服务相关角色（IAM API）

您可以使用 IAM API 创建服务相关角色。此角色可以包括服务代入角色时所需的信任策略和内联策略。

创建服务相关角色（API）

使用 CreateServiceLinkedRole API 调用。在请求中，指定 memorydb.amazonaws.com 的服务名称。

编辑 MemoryDB 的服务相关角色的描述

MemoryDB 不允许您编辑 AWSServiceRoleForMemory数据库服务相关角色。创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。

编辑服务相关角色描述（IAM 控制台）

您可以使用 IAM 控制台编辑服务相关角色的描述。

编辑服务相关角色描述（IAM CLI）

您可以使用中的 IAM 操作 AWS Command Line Interface 来编辑与服务相关的角色描述。

编辑服务相关角色描述（IAM API）

您可以使用 IAM API 编辑服务相关角色描述。

删除 MemoryDB 的服务相关角色

如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除您的服务相关角色，然后才能将其删除。

MemoryDB 不会删除您的服务相关角色。

清除服务相关角色

您必须先确认该角色没有与之关联的资源（集群），然后才能使用 IAM 删除服务相关角色。

删除服务相关角色（IAM 控制台）

您可以使用 IAM 控制台删除服务相关角色。

删除服务相关角色（IAM CLI）

您可以使用中的 IAM 操作 AWS Command Line Interface 来删除服务相关角色。

删除服务相关角色（IAM API）

您可以使用 IAM API 删除服务相关角色。