使用 vePFS 前，您需要先进行跨服务访问授权以允许 vePFS 访问其他服务（如 VPC、TOS 等）。本文介绍跨服务访问授权的相关操作步骤。

背景信息

火山引擎访问控制（IAM）支持策略管理功能，您可以为 vePFS 账号关联 ServiceRoleForVEPFS 角色，并将该角色关联 ServiceRoleForVEPFS 策略来访问其他服务。ServiceRoleForVEPFS 访问策略的定义语句如下：

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "vpc:Describe*",
                "vpc:CreateNetworkInterface",
                "vpc:DeleteNetworkInterface",
                "vpc:ModifyNetworkInterfaceAttributes",
                "vpc:AttachNetworkInterface",
                "vpc:DetachNetworkInterface",
                "vpc:CreateNetworkInterfacePermission",
                "vpc:DeleteNetworkInterfacePermission",
                "vpc:DescribeNetworkInterfacePermissions",
                "vpc:CreateSecurityGroup",
                "vpc:AuthorizeSecurityGroupIngress",
                "vpc:AuthorizeSecurityGroupEgress",
                "vpc:RevokeSecurityGroupIngress",
                "vpc:RevokeSecurityGroupEgress",
                "vpc:ModifySecurityGroupAttributes",
                "vpc:DeleteSecurityGroup",
                "vpc:CreateHaVip",
                "vpc:DeleteHaVip",
                "vpc:AssociateHaVip",
                "vpc:DisassociateHaVip",
                "ecs:Describe*",
                "ecs:RunInstances",
                "ecs:CreateInstances",
                "ecs:DeleteInstance",
                "ecs:AcceptHpcPeeringConnection",
                "tos:List*",
                "tos:Get*",
                "tos:HeadBucket",
                "tos:PutBucketPolicy",
                "tos:DeleteBucketPolicy",
                "tos:CopyObject",
                "tos:DeleteObject",
                "tos:DeleteMultiObjects",
                "tos:DeleteObjectVersion",
                "tos:HeadObject",
                "tos:AppendObject",
                "tos:PutObject",
                "tos:PutObjectAcl",
                "tos:SetObjectMeta",
                "tos:CreateMultipartUpload",
                "tos:UploadPart",
                "tos:CompleteMultipartUpload",
                "tos:AbortMultipartUpload",
                "tos:UploadPartCopy",
                "tos:PutBucketNotification",
                "tos:GetBucketNotification",
                "private_zone:List*",
                "private_zone:Query*",
                "private_zone:CreatePrivateZone",
                "private_zone:DeletePrivateZone",
                "private_zone:BatchCreateRecord",
                "private_zone:BatchDeleteRecord",
                "private_zone:UpdateRecordSet"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

访问控制角色和策略的更多信息，请参见角色管理和策略管理。

注意事项

如果您需要使用子账号进行跨服务授权，子账号必须拥有 IAMFullAccess 权限，否则授权时会产生相应错误，为子账号授权的具体步骤，请参见管理用户。

授权方式

使用控制台授权

1. 登录 vePFS 控制台。
2. 在弹出的跨服务访问请求页面，确认访问角色和关联策略信息，单击立即授权。

根据授权链接直接授权

1. 登录 vePFS 控制台。
2. 单击 ServiceRoleForVEPFS 链接，单击立即授权。

使用 API 授权

您可以调用访问控制的 CreateServiceLinkedRole 接口完成跨服务授权，授权时 ServiceName 为 vepfs。

后续步骤

完成服务授权后，您可以继续完成 vePFS 的其他操作。