本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为 MemoryDB 使用服务相关角色

MemoryDB 使用 AWS Identity and Access Management (IAM) 与服务相关的角色。服务相关角色是一种独特的IAM角色类型，直接链接到 AWS 服务，例如 MemoryDB。MemoryDB 服务相关角色由 MemoryDB 预定义。它们包含该服务代表您的集群调用 AWS 服务所需的一切权限。

服务相关角色使设置 MemoryDB 变得更加容易，因为您不必手动添加必要的权限。这些角色已存在于您的 AWS 账户中，但已关联到 MemoryDB 用例并具有预定义的权限。只有 MemoryDB 可以担任这些角色，并且只有这些角色才能使用预定义的权限策略。只有先删除角色的相关资源，才能删除角色。这样可以保护您的 MemoryDB 资源，因为您不能无意中删除访问资源的必要权限。

有关支持服务相关角色的其他服务的信息，请参阅与之配合使用的AWS 服务，IAM并在 “服务相关角色” 列中查找标有 “是” 的服务。选择是和链接，查看该服务的服务相关角色文档。

MemoryDB 的服务相关角色权限

MemoryDB 使用名为的服务相关角色 AWSServiceRoleForMemoryDB— 此策略允许 MemoryDB 在必要时代表您管理 AWS 资源以管理集群。

AWSServiceRoleForMemoryDB 服务相关角色权限策略允许 MemoryDB 对指定资源完成以下操作：

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateTags"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:CreateAction": "CreateNetworkInterface"
                    },
                    "ForAllValues:StringEquals": {
                        "aws:TagKeys": [
                            "AmazonMemoryDBManaged"
                        ]
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateNetworkInterface"
                ],
                "Resource": [
                    "arn:aws:ec2:*:*:network-interface/*",
                    "arn:aws:ec2:*:*:subnet/*",
                    "arn:aws:ec2:*:*:security-group/*"
                ]
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:ResourceTag/AmazonMemoryDBManaged": "true"
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:security-group/*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DescribeSecurityGroups",
                    "ec2:DescribeNetworkInterfaces",
                    "ec2:DescribeAvailabilityZones",
                    "ec2:DescribeSubnets",
                    "ec2:DescribeVpcs"
                ],
                "Resource": "*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "cloudwatch:PutMetricData"
                ],
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "cloudwatch:namespace": "AWS/MemoryDB"
                    }
                }
            }
        ]
    }

有关更多信息，请参阅 AWS 托管策略：M emoryDBService RolePolicy。

允许IAM实体创建 AWSServiceRoleForMemoryDB 服务相关角色

将以下策略声明添加到该IAM实体的权限中：

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

允许IAM实体删除 AWSServiceRoleForMemoryDB 服务相关角色

将以下策略声明添加到该IAM实体的权限中：

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:AWS ServiceName": "memorydb.amazonaws.com"}}
}

或者，您可以使用 AWS 托管策略提供对 MemoryDB 的完全访问权限。

创建服务相关角色 () IAM

您可以使用IAM控制台CLI、或API创建服务相关角色。

创建服务相关角色（IAM控制台）

您可以使用IAM控制台创建服务相关角色。

创建服务相关角色 () IAM CLI

您可以使用中的IAM操作 AWS Command Line Interface 来创建服务相关角色。此角色可以包括服务代入角色时所需的信任策略和内联策略。

创建服务相关角色 () CLI

使用以下操作：

$ aws iam create-service-linked-role --aws-service-name memorydb.amazonaws.com

创建服务相关角色 () IAM API

您可以使用IAMAPI来创建服务相关角色。此角色可以包括服务代入角色时所需的信任策略和内联策略。

创建服务相关角色 () API

使用 CreateServiceLinkedRole API打电话。在请求中，指定 memorydb.amazonaws.com 的服务名称。

编辑 MemoryDB 服务相关角色的描述

MemoryDB 不允许您编辑 AWSServiceRoleForMemoryDB 服务相关角色。创建服务相关角色后，将无法更改角色名称，因为可能有多个实体引用该角色。但是，您可以使用编辑角色的描述IAM。

编辑服务相关角色描述（IAM控制台）

您可以使用IAM控制台编辑与服务相关的角色描述。

编辑服务相关角色描述 () IAM CLI

您可以使用中的IAM操作 AWS Command Line Interface 来编辑与服务相关的角色描述。

编辑服务相关角色描述 () IAM API

您可以使用IAMAPI来编辑与服务相关的角色描述。

删除 MemoryDB 的服务相关角色

如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除您的服务相关角色，然后才能将其删除。

MemoryDB 不会为您删除服务相关角色。

清除服务相关角色

在使用IAM删除服务相关角色之前，请先确认该角色没有与之关联的资源（集群）。

删除服务相关角色（IAM控制台）

您可以使用IAM控制台删除服务相关角色。

删除服务相关角色 () IAM CLI

您可以使用中的IAM操作 AWS Command Line Interface 来删除服务相关角色。

删除服务相关角色 () IAM API

您可以使用删除服务相关角色。IAM API