Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

对适用于 Redis 的 Amazon MemoryDB 使用服务相关角色

适用于 Redis 的 Amazon MemoryDB 使用 Amazon Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特的 IAM 角色，直接链接到 Amazon 服务，例如适用于 Redis 的 Amazon MemoryDB。适用于 Redis 的 Amazon MemoryDB 服务相关角色由适用于 Redis 的 Amazon MemoryDB 预定义。它们包含该服务代表您的集群调用 Amazon 服务所需的一切权限。

服务相关角色可让您更轻松地设置适用于 Redis 的 Amazon MemoryDB，因为您不必手动添加必要的权限。这些角色已存在于您的 Amazon 账户中，但已关联到 Amazon MemoryDB for Redis 用例，并且具有预定义的权限。只有适用于 Redis 的 Amazon MemoryDB 可以代入这些角色，并且只有这些角色可以使用预定义的权限策略。只有先删除角色的相关资源，才能删除角色。这将保护您的适用于 Redis 的 Amazon MemoryDB 资源，因为您不会无意中删除访问资源的必要权限。

有关支持服务相关角色的其它服务的信息，请参阅使用 IAM 的Amazon 服务并查找服务相关角色列中显示为是的服务。选择是，可转到查看该服务的服务相关角色文档的链接。

适用于 Redis 的 Amazon MemoryDB 的服务相关角色权限

适用于 Redis 的 Amazon MemoryDB 使用名为的服务相关角色 AWSServiceRoleForMemoryDB— 该策略允许 MemoryDB 在必要时代表您管理 Amazon 资源，以管理您的集群。

AWSServiceRoleForMemoryDB 服务相关角色权限策略允许 Amazon MemoryDB for Redis 对指定资源完成以下操作：

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateTags"
			],
			"Resource": "arn:aws-cn:ec2:*:*:network-interface/*",
			"Condition": {
				"StringEquals": {
					"ec2:CreateAction": "CreateNetworkInterface"
				},
				"ForAllValues:StringEquals": {
					"aws:TagKeys": [
						"AmazonMemoryDBManaged"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateNetworkInterface"
			],
			"Resource": [
				"arn:aws-cn:ec2:*:*:network-interface/*",
				"arn:aws-cn:ec2:*:*:subnet/*",
				"arn:aws-cn:ec2:*:*:security-group/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DeleteNetworkInterface",
				"ec2:ModifyNetworkInterfaceAttribute"
			],
			"Resource": "arn:aws-cn:ec2:*:*:network-interface/*",
			"Condition": {
				"StringEquals": {
					"ec2:ResourceTag/AmazonMemoryDBManaged": "true"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DeleteNetworkInterface",
				"ec2:ModifyNetworkInterfaceAttribute"
			],
			"Resource": "arn:aws-cn:ec2:*:*:security-group/*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeSecurityGroups",
				"ec2:DescribeNetworkInterfaces",
				"ec2:DescribeAvailabilityZones",
				"ec2:DescribeSubnets",
				"ec2:DescribeVpcs"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"cloudwatch:PutMetricData"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"cloudwatch:namespace": "AWS/MemoryDB"
				}
			}
		}
	]
}

有关更多信息，请参阅 Amazon托管策略：MemoryDBServiceRolePolicy。

允许 IAM 实体创建 AWSServiceRoleForMemoryDB 服务相关角色

向该 IAM 实体的权限中添加以下策略声明：

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws-cn:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:Amazon ServiceName": "memorydb.amazonaws.com"}}
}

允许 IAM 实体删除 AWSServiceRoleForMemoryDB 服务相关角色

向该 IAM 实体的权限中添加以下策略声明：

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws-cn:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB*",
    "Condition": {"StringLike": {"iam:Amazon ServiceName": "memorydb.amazonaws.com"}}
}

或者，您可以使用 Amazon 托管策略提供对 Amazon MemoryDB for Redis 的完全访问权限。

创建服务相关角色（IAM）

您可以使用 IAM 控制台、CLI 或 API 创建服务相关角色。

创建服务相关角色（IAM 控制台）

您可使用 IAM 控制台创建服务相关角色。

创建服务相关角色（IAM CLI）

您可以使用中的 IAM 操作 Amazon Command Line Interface 来创建服务相关角色。此角色可以包括服务代入角色时所需的信任策略和内联策略。

创建服务相关角色（CLI）

使用以下操作：

$ aws iam create-service-linked-role --aws-service-name memorydb.amazonaws.com

创建服务相关角色（IAM API）

您可以使用 IAM API 创建服务相关角色。此角色可以包括服务代入角色时所需的信任策略和内联策略。

创建服务相关角色（API）

使用 CreateServiceLinkedRole API 调用。在请求中，指定 memorydb.amazonaws.com 的服务名称。

编辑适用于 Redis 的 Amazon MemoryDB 的服务相关角色的描述

适用于 Redis 的 Amazon MemoryDB 不允许您编辑服务相关角色。 AWSServiceRoleForMemoryDB 创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。

编辑服务相关角色描述（IAM 控制台）

您可以使用 IAM 控制台编辑服务相关角色的描述。

编辑服务相关角色描述（IAM CLI）

您可以使用中的 IAM 操作 Amazon Command Line Interface 来编辑与服务相关的角色描述。

编辑服务相关角色描述（IAM API）

您可以使用 IAM API 编辑服务相关角色描述。

删除适用于 Redis 的 Amazon MemoryDB 的服务相关角色

如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除您的服务相关角色，然后才能将其删除。

适用于 Redis 的 Amazon MemoryDB不会删除您的服务相关角色。

清除服务相关角色

您必须先确认该角色没有与之关联的资源（集群），然后才能使用 IAM 删除服务相关角色。

删除服务相关角色（IAM 控制台）

您可以使用 IAM 控制台删除服务相关角色。

删除服务相关角色（IAM CLI）

您可以使用中的 IAM 操作 Amazon Command Line Interface 来删除服务相关角色。

删除服务相关角色（IAM API）

您可以使用 IAM API 删除服务相关角色。