将服务相关角色 (SLR) 用于 ACM
Amazon Certificate Manager 使用 Amazon Identity and Access Management (IAM) 服务相关角色以启用托管 ACM 证书的自动续订。服务相关角色是一种与 ACM 服务直接相关的 IAM 角色。SLR 由 ACM 预定义，并包含该服务代表您调用其他Amazon服务所需的一切权限。
SLR 可让您更轻松地设置 ACM，因为您无需手动添加必要的权限即可进行无人参与的证书签名。ACM 定义其 SLR 的权限，除非另外定义，否则只有 ACM 可以担任该角色。定义的权限包括信任策略和权限策略，以及不能附加到任何其它 IAM 实体的权限策略。
有关支持 SLR 的其他服务的信息，请参阅可与 IAM 配合使用的Amazon服务，并查找 Service-Linked Role（服务相关角色）列中为 Yes（是）的服务。选择带有链接的 Yes 可以查看该服务的 SLR 文档。
ACM 的 SLR 权限
ACM 使用名为 Amazon Certificate Manager 服务角色策略的 SLR。
AWSServiceRoleForCertificateManager SLR 信任以下服务以担任该角色：
-
acm.amazonaws.com
角色权限策略允许 ACM 对指定资源完成以下操作：
-
操作：对“*”执行
acm-pca:IssueCertificate、acm-pca:GetCertificate
您必须配置权限以允许 IAM 实体（例如，用户、组或角色）创建、编辑或删除 SLR。有关更多信息，请参阅 IAM 用户指南中的服务相关角色权限。
重要
ACM 可能会提示您，它无法确定您的账户中是否存在 SLR。如果所需的 iam:GetRole 权限已被授予您账户的 ACM SLR，则在创建 SLR 后不会再发出提示。如果提示再次发生，那么您或您的账户管理员可能需要授予 iam:GetRole 访问 ACM 的权限，或者将您的账户与 ACM 托管策略 AWSCertificateManagerFullAccess 关联。
为 ACM 创建 SLR
无需手动创建 ACM 使用的 SLR。当您使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon API 颁发 ACM 证书时，ACM 会在您首次选择私有 CA 对证书签名时为您创建 SLR。
如果您收到消息指示 ACM 无法确定您的账户上是否存在 SLR，则可能意味着您的账户尚未授予 Amazon 私有 CA 所需的读取权限。这不会阻止安装 SLR，您仍然可以颁发证书，但 ACM 将无法自动续订证书，直到您解决该问题。有关更多信息，请参阅ACM 服务关联角色 (SLR) 问题。
重要
如果您在使用此角色支持的功能的其他服务中完成某个操作，此 SLR 可以出现在您的账户中。此外，如果您在 2017 年 1 月 1 日（从此时开始支持 SLR）以前在使用 ACM 服务，则 ACM 已在您的账户中创建 AWSServiceRoleForCertificateManager 角色。要了解更多信息，请参阅我的 IAM 账户中出现新角色。
如果您删除此 SLR，然后需要再次创建它，则可以使用以下任一方法：
-
在 IAM 控制台中，选择 Role（角色）、Create role（创建角色）、Certificate Manager，以创建一个用于 CertificateManagerServiceRolePolicy 使用案例的新角色。
-
使用 IAM API CreateServiceLinkedRole 或相应的 Amazon CLI 命令 create-service-linked-role，创建一个具有
acm.amazonaws.com服务名称的 SLR。
有关更多信息，请参阅《IAM 用户指南》中的 创建服务相关角色。
编辑 ACM 的 SLR
ACM 不允许您编辑 AWSServiceRoleForCertificateManager 服务相关角色。在创建 SLR 以后，您无法更改该角色的名称，因为可能有不同的实体引用该角色。但是可以使用 IAM 编辑角色说明。有关更多信息，请参见 IAM 用户指南中的编辑服务相关角色。
删除 ACM 的 SLR
您一般不需要删除 AWSServiceRoleForCertificateManager SLR。但是，您可以使用 IAM 控制台、Amazon CLI 或 Amazon API 手动删除该角色。有关更多信息，请参见 IAM 用户指南中的删除服务相关角色。
ACM SLR 的支持区域
ACM 支持在同时提供 ACM 和 Amazon 私有 CA 的所有区域中使用 SLR。有关更多信息，请参阅 Amazon 区域和终端节点。
| 区域名称 | 区域标识 | ACM 中支持 |
|---|---|---|
| 美国东部（弗吉尼亚州北部） | us-east-1 | 是 |
| US East (Ohio) | us-east-2 | 是 |
| 美国西部（北加利福尼亚） | us-west-1 | 是 |
| 美国西部（俄勒冈州） | us-west-2 | 是 |
| 亚太地区（孟买） | ap-south-1 | 是 |
| 亚太地区（大阪） | ap-northeast-3 | 是 |
| 亚太地区（首尔） | ap-northeast-2 | 是 |
| 亚太地区（新加坡） | ap-southeast-1 | 是 |
| Asia Pacific (Sydney) | ap-southeast-2 | 是 |
| 亚太地区（东京) | ap-northeast-1 | 是 |
| Canada (Central) | ca-central-1 | 是 |
| 欧洲（法兰克福） | eu-central-1 | 是 |
| Europe (Ireland) | eu-west-1 | 是 |
| 欧洲（伦敦） | eu-west-2 | 是 |
| 欧洲（巴黎） | eu-west-3 | 是 |
| South America (São Paulo) | sa-east-1 | 是 |
| 中国（北京） | cn-north-1 | 否 |
| 中国（宁夏） | cn-northwest-1 | 否 |
| Amazon GovCloud（美国西部） | us-gov-west-1 | 是 |
| Amazon GovCloud (US-East) East | us-gov-east-1 | 是 |