Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation de rôles liés à des services pour CloudWatch

Amazon CloudWatch utilise des Gestion des identités et des accès AWS rôles liés aux services (IAM). Un rôle lié à un service est un type unique de rôle IAM directement lié à. CloudWatch Service-linked les rôles sont prédéfinis CloudWatch et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom.

L'un des rôles liés aux services CloudWatch permet de configurer CloudWatch des alarmes qui peuvent mettre fin à, arrêter ou redémarrer une instance Amazon EC2 sans que vous ayez à ajouter manuellement les autorisations nécessaires. Un autre rôle lié au service permet à un compte de surveillance d'accéder aux données CloudWatch d'autres comptes que vous spécifiez et de créer des tableaux de bord entre régions et comptes.

CloudWatch définit les autorisations de ces rôles liés à des services et, sauf indication contraire, seul CloudWatch peut assumer le rôle. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.

Vous pouvez supprimer les rôles uniquement après la suppression préalable de leurs ressources connexes. Cette restriction protège vos CloudWatch ressources car vous ne pouvez pas supprimer par inadvertance les autorisations d'accès aux ressources.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés aux services, consultez la section AWS Services qui fonctionnent avec IAM et recherchez les services pour lesquels la mention Oui apparaît dans la Service-Linked colonne Rôle. Choisissez un Oui ayant un lien permettant de consulter les détails du rôle pour ce service.

Service-linked autorisations de rôle pour les CloudWatch actions d'alarme EC2

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchEvents  : CloudWatch utilise ce rôle lié au service pour effectuer des actions d'alarme Amazon EC2.

Le rôle AWSServiceRoleForCloudWatchEvents lié à un service fait confiance au service CloudWatch Events pour assumer le rôle. CloudWatch Events invoque les actions d'arrêt, d'arrêt ou de redémarrage de l'instance lorsque l'alarme le demande.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchEvents liés aux services permet à CloudWatch Events d'effectuer les actions suivantes sur les instances Amazon EC2 :

La politique d'autorisation des rôles de ServiceRoleForCloudWatchCrossAccountV2 service CloudWatch permet d'effectuer les actions suivantes :

Service-linked autorisations de rôle pour la configuration de la CloudWatch télémétrie

CloudWatch L'administrateur d'observabilité crée et utilise un rôle lié à un service nommé AWSServiceRoleForObservabilityAdmin — CloudWatch utilise ce rôle lié à un service pour prendre en charge la découverte des configurations de ressources et de télémétrie pour les organisations. AWS Lorsqu'un compte de gestion crée une règle au niveau de l'organisation, le rôle lié au service est automatiquement créé dans tous les comptes de membres et dans le compte d'administrateur délégué de l'organisation. Toutefois, lorsqu'un compte d'administrateur délégué crée une règle au niveau de l'organisation, le rôle lié au service est automatiquement créé dans tous les comptes membres, mais pas automatiquement dans le compte de gestion. Si un compte d'administrateur délégué crée la règle au niveau de l'organisation, vous devez créer manuellement le rôle lié au service dans le compte de gestion.

Le rôle AWSServiceRoleForObservabilityAdmin lié à un service fait confiance à Observability Admin pour assumer le rôle. L’administrateur d’observabilité gère les enregistreurs de configuration liés au service AWS Config et l’agrégateur de configuration lié au service dans les comptes de vos Organisations.

Le rôle AWSServiceRoleForObservabilityAdmin lié à un service est associé à une politique AWSObservabilityAdminServiceRolePolicy, appelée, qui autorise CloudWatch Observability Admin à effectuer les actions suivantes :

Le contenu complet de la AWSObservabilityAdminServiceRolePolicy politique est le suivant :

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Service-linked autorisations de rôle pour l'activation de la CloudWatch télémétrie

La AWSObservabilityAdminTelemetryEnablementServiceRolePolicy accorde les autorisations nécessaires pour activer et gérer les configurations de télémétrie pour les ressources AWS en fonction des règles de télémétrie.

Cette politique accorde des autorisations pour :

La politique renforce les limites de sécurité par le biais de conditions qui :

Le contenu complet de la AWSObservabilityAdminTelemetryEnablementServiceRolePolicy politique se trouve ici : AWSObservabilityAdminTelemetryEnablementServiceRolePolicy.

Service-linked autorisations de rôle pour les signaux CloudWatch d'application

CloudWatch Application Signals utilise le rôle lié à un service nommé AWSServiceRoleForCloudWatchApplicationSignals  : CloudWatch utilise ce rôle lié à un service pour collecter des données de CloudWatch journaux, des données de X-Ray suivi, des données de CloudWatch métriques et des données de balisage à partir des applications que vous avez activées pour Application Signals. CloudWatch

Le rôle AWSServiceRoleForCloudWatchApplicationSignals lié à un service fait confiance à CloudWatch Application Signals pour assumer le rôle. Application Signals collecte les données des journaux, des suivis, des métriques et des balises de votre compte.

Une politique IAM est associée, et cette stratégie est nommée CloudWatchApplicationSignalsServiceRolePolicy. AWSServiceRoleForCloudWatchApplicationSignals Cette politique autorise CloudWatch Application Signals à collecter des données de surveillance et de balisage auprès d'autres AWS services concernés. Elle inclut les autorisations qui permettent à Application Signals d’effectuer les actions suivantes :

Le contenu complet de CloudWatchApplicationSignalsServiceRolePolicy est le suivant :

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Service-linked autorisations de rôle pour les OpsCenter actions d' CloudWatch alarmes Systems Manager

CloudWatch utilise le rôle lié à un service nommé AWSServiceRoleForCloudWatchAlarms _ActionSSM  : CloudWatch utilise ce rôle lié à un service pour effectuer des OpsCenter actions de Systems Manager lorsqu'une alarme passe en état ALARME. CloudWatch

Le rôle lié au service AWSServiceRoleForCloudWatchAlarms _ActionSSM fait confiance au CloudWatch service pour assumer le rôle. CloudWatch les alarmes invoquent les OpsCenter actions du gestionnaire de systèmes lorsqu'elles sont sollicitées par l'alarme.

La politique d'autorisation des rôles liés au service AWSServiceRoleForCloudWatchAlarms _ActionSSM permet à Systems Manager d'effectuer les actions suivantes :

Service-linked autorisations de rôle pour les actions d' CloudWatch alarme Systems Manager Incident Manager

CloudWatch utilise le rôle lié à un service nommé AWSServiceRoleForCloudWatchAlarms _ActionSSMIncidents  : CloudWatch utilise ce rôle lié à un service pour démarrer les incidents du gestionnaire d'incidents lorsqu'une alarme passe en état ALARME. CloudWatch

Le rôle lié au service AWSServiceRoleForCloudWatchAlarms _ActionSSMIncidents fait confiance au service pour assumer le rôle. CloudWatch CloudWatch les alarmes invoquent l'action Systems Manager Incident Manager lorsqu'elles sont sollicitées par l'alarme.

La politique d'autorisation des rôles liés au service AWSServiceRoleForCloudWatchAlarms _ActionSSMIncidents permet à Systems Manager d'effectuer les actions suivantes :

Autorisations de rôle de service pour CloudWatch plusieurs comptes entre régions

CloudWatch utilise le rôle de service nommé ServiceRoleForCloudWatchCrossAccountV2  : CloudWatch utilise ce rôle pour accéder aux CloudWatch données des autres AWS comptes que vous spécifiez. Le SLR fournit uniquement l'autorisation d'assumer le rôle pour permettre au CloudWatch service d'assumer le rôle dans le compte de partage. C'est le rôle de partage qui fournit l'accès aux données.

La politique d'autorisation des rôles de ServiceRoleForCloudWatchCrossAccountV2 service CloudWatch permet d'effectuer les actions suivantes :

Le rôle ServiceRoleForCloudWatchCrossAccountV2 de service fait confiance au CloudWatch service pour assumer le rôle.

Service-linked autorisations de rôle pour la CloudWatch base de données Performance Insights

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights  : CloudWatch utilise ce rôle pour récupérer les métriques Performance Insights afin de créer des alarmes et des instantanés.

La AWSServiceRoleForCloudWatchMetrics politique AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy IAM DbPerfInsights est associée au rôle _ lié au service. Le contenu de cette politique est le suivant :

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Le rôle DbPerfInsights lié au service AWSServiceRoleForCloudWatchMetrics _ fait confiance au CloudWatch service pour assumer le rôle.

Service-linked autorisations de rôle pour la CloudWatch centralisation des journaux

Les pièces AWSObservabilityAdminLogsCentralizationServiceRolePolicy jointes à l'entité IAM appropriée de votre compte de gestion central, telle que le rôle de CloudWatch service —, pour accorder les autorisations nécessaires à la configuration et à la gestion de la collecte centralisée des journaux. CloudWatch utilise ce rôle pour accéder aux données de télémétrie provenant d'autres AWS comptes que vous spécifiez pour créer des groupes de CloudWatch journaux, des flux de journaux et des événements de journalisation dans le compte de surveillance de votre organisation. Le SLR fournit uniquement l'autorisation d'assumer le rôle pour permettre au CloudWatch service d'assumer le rôle dans le compte de surveillance. Cette politique est automatiquement associée si vous configurez la collecte centralisée des journaux à l'aide du Console de gestion AWS. Si vous utilisez l'API AWS CLI or pour configurer la centralisation des journaux, vous devez associer cette politique manuellement au rôle IAM qui sera utilisé pour les tâches d'administration de l'observabilité.

La politique d'autorisation des rôles AWSObservabilityAdminLogsCentralizationServiceRolePolicy liés aux services permet d' CloudWatch effectuer les actions suivantes :

Le rôle lié à un service AWSObservabilityAdminLogsCentralizationServiceRolePolicy fait confiance au service logs-centralization.observabilityadmin.amazonaws.com pour endosser le rôle.

Création d'un rôle lié à un service pour CloudWatch

Vous n'avez pas besoin de créer manuellement l'un ou l'autre de ces rôles liés à un service. La première fois que vous créez une alarme dans le Console de gestion AWS, l'interface de ligne de commande IAM ou l'API IAM CloudWatch crée un AWSServiceRoleForCloudWatchEvents AWSServiceRoleForCloudWatchAlarms _ActionSSM pour vous.

La première fois que vous activez la découverte de services et de topologies, Application Signals crée AWSServiceRoleForCloudWatchApplicationSignals pour vous.

Lorsque vous activez pour la première fois un compte en tant que compte de surveillance pour les fonctionnalités interrégionales entre comptes, il est CloudWatch créé ServiceRoleForCloudWatchCrossAccountV2 pour vous.

Lorsque vous créez pour la première fois une alarme qui utilise la fonction mathématique DB_PERF_INSIGHTS métrique, CloudWatch crée AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights pour vous.

Pour plus d'informations, consultez la section Création d'un Service-Linked rôle dans le guide de l'utilisateur IAM.

Modifier un rôle lié à un service pour CloudWatch

CloudWatch ne vous permet pas de modifier les rôles AWSServiceRoleForCloudWatchEvents, AWSServiceRoleForCloudWatchAlarms _ActionSSM ou AWSServiceRoleForCloudWatchMetrics _. ServiceRoleForCloudWatchCrossAccountV2 DbPerfInsights Après avoir créé ces rôles, vous ne pouvez pas modifier leurs noms, car diverses entités peuvent y faire référence. Néanmoins, vous pouvez modifier la description du rôle à l'aide d'IAM.

Modification de la description d'un rôle lié à un service (console IAM)

Vous pouvez utiliser la console IAM, pour modifier la description d'un rôle lié à un service.

Modifier la description d'un rôle lié à un service (AWS CLI)

Vous pouvez utiliser les commandes IAM du AWS Command Line Interface pour modifier la description d'un rôle lié à un service.

Modification de la description d'un rôle lié à un service (API IAM)

Vous pouvez utiliser l'API IAM pour modifier la description d'un rôle lié à un service.

Supprimer un rôle lié à un service pour CloudWatch

Si vous ne disposez plus d'alarmes qui arrêtent, interrompent ou redémarrent automatiquement les instances EC2, nous vous recommandons de supprimer le AWSServiceRoleForCloudWatchEvents rôle.

Si vous ne disposez plus d'alarmes qui exécutent des OpsCenter actions de Systems Manager, nous vous recommandons de supprimer le rôle AWSServiceRoleForCloudWatchAlarms _ActionSSM.

Si vous supprimez toutes les alarmes qui utilisent la fonction mathématique DB_PERF_INSIGHTS métrique, nous vous recommandons de supprimer le rôle DbPerfInsights lié au service AWSServiceRoleForCloudWatchMetrics _.

De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez nettoyer votre rôle lié à un service avant de pouvoir le supprimer.

Nettoyage d’un rôle lié à un service

Avant de pouvoir utiliser IAM pour supprimer un rôle lié à un service, vous devez d’abord vérifier qu’aucune session n’est active pour le rôle et supprimer toutes les ressources utilisées par le rôle.

Suppression d'un rôle lié à un service (console IAM)

Vous pouvez utiliser la console IAM pour supprimer un rôle lié à un service.

Supprimer un rôle lié à un service (AWS CLI)

Vous pouvez utiliser les commandes IAM du AWS Command Line Interface pour supprimer un rôle lié à un service.

Suppression d'un rôle lié à un service (API IAM)

Vous pouvez utiliser l'API IAM pour supprimer un rôle lié à un service.

CloudWatch mises à jour de AWS Rôles liés à un service

Consultez les détails des mises à jour apportées aux politiques AWS gérées CloudWatch depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au fil RSS sur la page Historique des CloudWatch documents.