本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 将服务相关角色用于 App Mesh
**重要**
终止支持通知：2026 年 9 月 30 日， AWS 将停止对的支持。 AWS App Mesh 2026 年 9 月 30 日之后，您将无法再访问 AWS App Mesh 控制台或 AWS App Mesh 资源。有关更多信息，请访问此博客文章[从迁移 AWS App Mesh 到 Amazon ECS Service Connect](https://aws.amazon.com/blogs/containers/migrating-from-aws-app-mesh-to-amazon-ecs-service-connect)。
AWS App Mesh 使用 AWS Identity and Access Management (IAM) [服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服务相关角色是一种独特类型的 IAM 角色，它与 App Mesh 直接相关。服务相关角色由 App Mesh 预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。
服务相关角色可让您更轻松地设置 App Mesh，因为您不必手动添加必要的权限。App Mesh 定义其服务相关角色的权限，除非另外定义，否则只有 App Mesh 可以代入该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其它 IAM 实体。
只有在首先删除服务相关角色的相关资源后，才能删除该角色。这将保护您的 App Mesh 资源，因为您不会无意中删除对资源的访问权限。
有关支持服务相关角色的其他服务的信息，请参阅[使用 IAM 的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并查找**服务相关角色**列中显示为**是**的服务。选择**是**和链接，查看该服务的服务关联角色文档。
## App Mesh 的服务相关角色权限
App Mesh 使用名为的服务相关角色 **AWSServiceRoleForAppMesh**——该角色允许 App Mesh 代表你调用 AWS 服务。
AWSServiceRoleForAppMesh 服务相关角色信任`appmesh.amazonaws.com`服务来代替该角色。
**权限详细信息**
+ `servicediscovery:DiscoverInstances`:允许 App Mesh 完成对所有 AWS 资源的操作。
+ `servicediscovery:DiscoverInstancesRevision`-允许 App Mesh 完成对所有 AWS 资源的操作。
### AWSServiceRoleForAppMesh
该策略包含以下权限：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CloudMapServiceDiscovery",
"Effect": "Allow",
"Action": [
"servicediscovery:DiscoverInstances",
"servicediscovery:DiscoverInstancesRevision"
],
"Resource": "*"
},
{
"Sid": "ACMCertificateVerification",
"Effect": "Allow",
"Action": [
"acm:DescribeCertificate"
],
"Resource": "*"
}
]
}
```
------
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅《IAM 用户指南》**中的[服务关联角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 为 App Mesh 创建服务相关角色
如果您在 2019 年 6 月 5 日之后在、或 AWS API 中创建了网格 AWS CLI，则 App Mesh 会为您创建服务相关角色。 AWS 管理控制台要为您创建服务相关角色，您用于创建网格的 IAM 账户必须已附加了 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSAppMeshFullAccess%24jsonEditor](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSAppMeshFullAccess%24jsonEditor)IAM 策略，或者附加了包含该`iam:CreateServiceLinkedRole`权限的策略。如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建网格时，App Mesh 将再次为您创建服务相关角色。如果您的账户仅包含 2019 年 6 月 5 日之前创建的网格，并且您想将服务相关角色用于这些网格，则可以使用 IAM 控制台创建角色。
您可以使用 IAM 控制台创建带**App Mesh** 用例的服务相关角色。在 AWS CLI 或 AWS API 中，使用服务名称创建服务相关角色。`appmesh.amazonaws.com`有关更多信息，请参阅《IAM 用户指南》**中的[创建服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。
## 编辑 App Mesh 的服务相关角色
App Mesh 不允许您编辑 AWSServiceRoleForAppMesh 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 删除 App Mesh 的服务相关角色
如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，必须先清除服务相关角色的资源，然后才能手动删除它。
**注意**
如果在您试图删除资源时，App Mesh 服务正在使用该角色，则删除操作可能会失败。如果发生这种情况，请等待几分钟后重试。
**删除使用的 App Mesh 资源 AWSService RoleForAppMesh**
1. 删除为网格中所有路由器定义的所有[路由](routes.md)。
1. 删除网格中的所有[虚拟路由器](virtual_routers.md)。
1. 删除网格中的所有[虚拟服务](virtual_services.md)。
1. 删除网格中的所有[虚拟节点](virtual_nodes.md)。
1. 删除[网格](meshes.md)。
为账户中的所有网格完成前面的步骤。
**使用 IAM 手动删除服务关联角色**
使用 IAM 控制台 AWS CLI、或 AWS API 删除 AWSServiceRoleForAppMesh 服务相关角色。有关更多信息，请参见《IAM 用户指南》**中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## App Mesh 服务相关角色的受支持区域
App Mesh 支持在服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅 [App Mesh 端点和配额](https://docs.aws.amazon.com/general/latest/gr/appmesh.html)。