本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# Amazon ECS 的服务相关角色
[适用于 Apache Airflow 的亚马逊托管工作流程 AWS Identity and Access Management 使用 (IAM) 服务相关角色。](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)服务相关角色是一种独特类型的 IAM 角色，与 Amazon MWAA 直接相关。服务相关角色由 Amazon MWAA 预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。
服务相关角色可让您更轻松地设置 Amazon MWAA，因为您不必手动添加所需权限。Amazon MWAA 定义其服务相关角色的权限，除非另外定义，否则只有 Amazon MWAA 可以担任该角色。定义的权限包括信任策略和权限策略，以及不能附加到任何其他 IAM 实体的权限策略。
只有在首先删除相关资源后，您才能删除服务关联角色。这将保护 Amazon MWAA 资源，因为您不会无意中删除对资源的访问权限。
有关支持服务相关角色的其他服务的信息，请参阅[与 IAM 配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，并搜索**服务相关角色**列中显示为**是**的服务。选择**是**和链接，访问该服务的服务相关角色文档。
## Amazon MWAA 的服务相关角色权限
Amazon MWAA 使用名为的服务相关角色 `AWSServiceRoleForAmazonMWAA` — 在您的账户中创建的服务相关角色授予亚马逊 MWAA 访问以下服务的权限： AWS
+ 亚马逊 CloudWatch 日志（日CloudWatch 志）-为 Apache Airflow 日志创建日志组。
+ Amazon CloudWatch (CloudWatch)-向您的账户发布与您的环境及其底层组件相关的指标。
+ Amazon Elastic Compute Cloud（Amazon EC2）— 创建以下资源：
+ 您的 VPC 中的亚马逊 VPC 终端节点，用于 AWS托管的 Amazon Aurora PostgreSQL 数据库集群，供 Apache Airflow 计划程序和工作人员使用。
+ 如果您为 Apache Airflow Web 服务器选择[私有网络](configuring-networking.md)选项，则需要一个额外的 Amazon VPC 端点，用于允许对 Web 服务器进行网络访问。
+ 您的 Amazon VPC 中的@@ [弹性网络接口 (ENIs)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_ElasticNetworkInterfaces.html)，用于通过网络访问您的亚马逊 VPC 中托管的 AWS 资源。
以下信任策略允许服务主体担任服务相关角色。Amazon MWAA 的服务主体是 `airflow.amazonaws.com`，如策略所示。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "airflow.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
名为 `AmazonMWAAServiceRolePolicy` 的角色权限策略允许 Amazon MWAA 对指定资源完成以下操作：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"logs:CreateLogStream",
"logs:CreateLogGroup",
"logs:DescribeLogGroups"
],
"Resource": "arn:aws:logs:*:*:log-group:airflow-*:*"
},
{
"Effect": "Allow",
"Action": [
"ec2:AttachNetworkInterface",
"ec2:CreateNetworkInterface",
"ec2:CreateNetworkInterfacePermission",
"ec2:DeleteNetworkInterface",
"ec2:DeleteNetworkInterfacePermission",
"ec2:DescribeDhcpOptions",
"ec2:DescribeNetworkInterfaces",
"ec2:DescribeSecurityGroups",
"ec2:DescribeSubnets",
"ec2:DescribeVpcEndpoints",
"ec2:DescribeVpcs",
"ec2:DetachNetworkInterface"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "ec2:CreateVpcEndpoint",
"Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:TagKeys": "AmazonMWAAManaged"
}
}
},
{
"Effect": "Allow",
"Action": [
"ec2:ModifyVpcEndpoint",
"ec2:DeleteVpcEndpoints"
],
"Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonMWAAManaged": false
}
}
},
{
"Effect": "Allow",
"Action": [
"ec2:CreateVpcEndpoint",
"ec2:ModifyVpcEndpoint"
],
"Resource": [
"arn:aws:ec2:*:*:vpc/*",
"arn:aws:ec2:*:*:security-group/*",
"arn:aws:ec2:*:*:subnet/*"
]
},
{
"Effect": "Allow",
"Action": "ec2:CreateTags",
"Resource": "arn:aws:ec2:*:*:vpc-endpoint/*",
"Condition": {
"StringEquals": {
"ec2:CreateAction": "CreateVpcEndpoint"
},
"ForAnyValue:StringEquals": {
"aws:TagKeys": "AmazonMWAAManaged"
}
}
},
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringEquals": {
"cloudwatch:namespace": [
"AWS/MWAA"
]
}
}
}
]
}
```
------
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅*《IAM 用户指南》*中的[服务相关角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 为 Amazon MWAA 创建服务相关角色
您无需手动创建服务关联角色。当您使用 AWS 管理控制台、或 AWS API 创建新的 Amazon MWAA 环境时 AWS CLI，Amazon MWAA 会为您创建服务相关角色。
如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建另一个环境时，Amazon MWAA 会再次为您创建服务相关角色。
## 编辑 Amazon MWAA 的服务相关角色
Amazon MWAA 不允许编辑 AWSService RoleForAmazon MWAA 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅*《IAM 用户指南》* 中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 删除 Amazon MWAA 的服务相关角色
如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。
当您删除 Amazon MWAA 环境时，Amazon MWAA 会删除其作为服务一部分使用的所有关联资源。但是，您必须等到 Amazon MWAA 完成环境删除之前，然后才能尝试删除服务相关角色。如果您在 Amazon MWAA 删除环境之前删除服务相关角色，则 Amazon MWAA 可能无法删除该环境的所有关联资源。
**使用 IAM 手动删除服务关联角色**
使用 IAM 控制台 AWS CLI、或 AWS API 删除 AWSService RoleForAmazon MWAA 服务相关角色。有关更多信息，请参阅*《IAM 用户指南》*中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon ECS 服务相关角色支持的区域
Amazon ECS 支持在服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅 [Amazon MWAA 端点和配额](https://docs.aws.amazon.com/general/latest/gr/mwaa.html)。
## 策略更新
| 更改 | 描述 | 日期 |
| --- | --- | --- |
| Amazon MWAA 更新了其服务相关角色权限策略 | [`AmazonMWAAServiceRolePolicy`](#mwaa-slr-iam-policy) — Amazon MWAA 更新了其服务相关角色的权限策略，授予 Amazon MWAA 向客户账户发布与该服务底层资源相关的其他指标的权限。这些新指标发布在 `AWS/MWAA` 中 | 2022 年 11 月 18 日 |
| Amazon MWAA 已开始跟踪更改 | Amazon MWAA 开始跟踪其 AWS托管服务相关角色权限策略的更改。 | 2022 年 11 月 18 日 |