本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 的服务相关角色 Direct Connect
AWS Direct Connect 使用 AWS Identity and Access Management (IAM) [服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服务相关角色是一种与之直接关联的 IAM 角色的独特类型。 Direct Connect服务相关角色由服务预定义 Direct Connect ，包括该服务代表您调用其他 AWS 服务所需的所有权限。
服务相关角色使设置变得 Direct Connect 更加容易，因为您不必手动添加必要的权限。 Direct Connect 定义其服务相关角色的权限，除非另有定义，否则 Direct Connect 只能担任其角色。定义的权限包括信任策略和权限策略，以及不能附加到任何其他 IAM 实体的权限策略。
只有在首先删除相关资源后，您才能删除服务关联角色。这可以保护您的 Direct Connect 资源，因为您不会无意中删除访问资源的权限。
有关支持服务相关角色的其他服务的信息，请参阅[使用 IAM 的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并查找**服务相关角色**列中显示为**是**的服务。选择**是**和链接，查看该服务的服务关联角色文档。
## 的服务相关角色权限 Direct Connect
Direct Connect 使用名`AWSServiceRoleForDirectConnect`为的服务相关角色。这样 Direct Connect 就可以代表您检索存储 AWS Secrets Manager 在中的 MACSec 密钥。
`AWSServiceRoleForDirectConnect` 服务相关角色信任以下服务代入该角色：
+ `directconnect.amazonaws.com`
`AWSServiceRoleForDirectConnect` 服务相关角色使用托管策略 `AWSDirectConnectServiceRolePolicy`。
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。为了成功创建 `AWSServiceRoleForDirectConnect` 服务相关角色，用于 Direct Connect 的 IAM 身份必须具有所需的权限。要授予所需的权限，请将以下策略附加到 IAM 身份。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": "iam:CreateServiceLinkedRole",
"Condition": {
"StringLike": {
"iam:AWSServiceName": "directconnect.amazonaws.com"
}
},
"Effect": "Allow",
"Resource": "*"
},
{
"Action": "iam:GetRole",
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
有关更多信息，请参阅*《IAM 用户指南》*中的[服务关联角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 为创建服务相关角色 Direct Connect
您无需手动创建服务相关角色。 AWS Direct Connect 为您创建服务相关角色。运行`associate-mac-sec-key`命令时， AWS 会创建一个服务相关角色，该角色 Direct Connect 允许在 AWS 管理控制台 AWS CLI、或 AWS API 中 AWS Secrets Manager 代表您检索存储在中的 MACsec 机密。
**重要**
如果您在其他使用此角色支持的功能的服务中完成某个操作，此服务关联角色可以出现在您的账户中。要了解更多信息，请参阅[我的 IAM 账户中的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
如果您删除了此服务相关角色，然后需要重新创建它，则可以使用相同的过程在您的账户中重新创建该角色。 Direct Connect 再次为您创建服务相关角色。
您也可以使用 IAM 控制台为 AWS Direct Connect 用例创建服务相关角色。在 AWS CLI 或 AWS API 中，使用服务名称创建服务相关角色。`directconnect.amazonaws.com`有关更多信息，请参阅 *IAM 用户指南* 中的[创建服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。
## 编辑的服务相关角色 Direct Connect
Direct Connect 不允许您编辑`AWSServiceRoleForDirectConnect`服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 删除的服务相关角色 Direct Connect
无需手动删除 `AWSServiceRoleForDirectConnect` 角色。删除服务关联角色时，必须删除存储在 AWS Secrets Manager Web 服务中的所有关联资源。 AWS 管理控制台 AWS CLI、或 AWS API 会 Direct Connect 清理资源并为您删除服务相关角色。
您还可以使用 IAM 控制台删除服务相关角色。为此，必须先手动清理服务相关角色的资源，然后才能将其删除。
**注意**
如果您尝试删除资源时 Direct Connect 服务正在使用该角色，则删除可能会失败。如果发生这种情况，请等待几分钟，然后再次尝试操作。
**删除使用的 Direct Connect 资源 `AWSServiceRoleForDirectConnect`**
1. 移除所有 MACsec 按键和连接之间的关联。有关更多信息，请参阅 [删除 MacSec 密钥和连接之间的关联 Direct Connect](disassociate-key-connection.md)。
1. 移除所有 MACsec 密钥和之间的关联 LAGs。有关更多信息，请参阅 [移除 MACsec 密钥和 Direct Connect 端点 LAG 之间的关联](disassociate-key-lag.md)。
**使用 IAM 手动删除服务关联角色**
使用 IAM 控制台 AWS CLI、或 AWS API 删除`AWSServiceRoleForDirectConnect`服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Direct Connect 服务相关角色支持的区域
Direct Connect 支持在所有提供 MAC 安全功能 AWS 区域 的地方使用服务相关角色。有关更多信息，请参阅 [AWS Direct Connect 地点](https://aws.amazon.com/directconnect/locations/)。