用ECS前，您需要先进行跨服务访问授权以允许ECS访问其他服务（如VPC、TOS等）。本文介绍跨服务访问授权的相关操作步骤。

背景信息

火山引擎访问控制（IAM）支持策略管理功能，您可以为ECS账号关联 ServiceRoleForECS 角色，并将该角色关联 ServicePolicyForECS策略来访问其他服务。ServicePolicyForECS 访问策略的定义语句如下：

{​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Action": [​
        "tos:GetObject",​
        "tos:HeadObject",​
        "tos:PutObject",​
        "tos:HeadBucket",​
        "tos:CreateMultipartUpload",​
        "tos:CompleteMultipartUpload",​
        "vpc:DescribeNetworkInterfaces",​
        "vpc:DescribeNetworkInterfaceAttributes",​
        "vpc:DeleteNetworkInterface",​
        "vpc:DescribeVpcAttributes",​
        "vpc:DescribeSubnetAttributes",​
        "vpc:DescribeSecurityGroupAttributes",​
        "vpc:DescribeEipAddresses",​
        "vpc:AllocateEipAddress",​
        "vpc:AssociateEipAddress",​
        "vpc:ModifyEipAddressAttributes",​
        "vpc:DisassociateEipAddress",​
        "vpc:ReleaseEipAddress",​
        "vpc:DescribeVpcs",​
        "vpc:CreateVpc",​
        "vpc:DescribeSubnets",​
        "vpc:CreateSubnet",​
        "vpc:ModifyNetworkInterfaceAttributes",​
        "vpc:CreateSecurityGroup",​
        "vpc:DescribeSecurityGroups",​
        "vpc:AuthorizeSecurityGroupEgress",​
        "vpc:DescribeEipAddressAttributes"​
      ],​
      "Resource": [​
        "*"​
      ]​
    },​
    {​
      "Effect": "Allow",​
      "Action": [​
        "Volc_InfluxDB_Proxy:Write",​
        "cloudmonitor:Write"​
      ],​
      "Resource": [​
        "*"​
      ]​
    }​
  ]​
}​

注意事项

如果您需要使用子账号进行跨服务授权，子账号必须拥有IAMFullAccess权限，否则授权时会产生相应错误，为子账号授权的具体步骤，请参见管理用户。

授权方式

使用控制台授权

登录ECS控制台。

在弹出的“跨服务访问请求”页面，确认访问角色和关联策略信息，单击“立即授权”按钮，完成操作。

根据授权链接直接授权

登录ECS控制台。

单击ServiceRoleForECS链接，单击“立即授权”按钮，完成操作。

使用API授权

您可以调用访问控制的CreateServiceLinkedRole接口完成跨服务授权，授权时ServiceName为ecs。

云服务器