Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation des rôles liés aux services pour CloudWatch

Amazon CloudWatch utilise AWS Identity and Access Management (IAM) des rôles liés à un service. Un rôle lié à un service est un type unique de IAM rôle directement lié à. CloudWatch Les rôles liés au service sont prédéfinis par CloudWatch et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom.

Un rôle lié au service CloudWatch permet de configurer des CloudWatch alarmes qui peuvent mettre fin à, arrêter ou redémarrer une EC2 instance Amazon sans que vous ayez à ajouter manuellement les autorisations nécessaires. Un autre rôle lié à un service permet à un compte de surveillance d'accéder aux CloudWatch données d'autres comptes que vous spécifiez, afin de créer des tableaux de bord inter-comptes interrégionaux.

CloudWatch définit les autorisations de ces rôles liés aux services et, sauf indication contraire, seul CloudWatch peut assumer le rôle. Les autorisations définies incluent la politique de confiance et la politique d'autorisations, et cette politique d'autorisations ne peut être attachée à aucune autre IAM entité.

Vous pouvez supprimer les rôles uniquement après la suppression préalable de leurs ressources connexes. Cette restriction protège vos CloudWatch ressources car vous ne pouvez pas supprimer par inadvertance les autorisations d'accès aux ressources.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés à un service, consultez la section AWS Services compatibles avec IAM et recherchez les services dont la valeur est Oui dans la colonne Rôle lié au service. Choisissez un Oui ayant un lien permettant de consulter les détails du rôle pour ce service.

Autorisations de rôle liées au service pour les actions d'alarme CloudWatch EC2

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchEvents— CloudWatch utilise ce rôle lié au service pour effectuer des actions d'alarme Amazon. EC2

Le rôle AWSServiceRoleForCloudWatchEvents lié au service fait confiance au service CloudWatch Events pour assumer ce rôle. CloudWatch Les événements invoquent les actions de fin, d'arrêt ou de redémarrage de l'instance lorsque l'alarme l'appelle.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchEvents liés au service permet à CloudWatch Events d'effectuer les actions suivantes sur les instances Amazon EC2 :

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchCrossAccountliés au service permet d' CloudWatch effectuer les actions suivantes :

Autorisations de rôle liées au service pour les signaux d'application CloudWatch

CloudWatch Application Signals utilise le rôle lié à un service nommé AWSServiceRoleForCloudWatchApplicationSignals: CloudWatch utilise ce rôle lié à un service pour collecter les données des journaux, les CloudWatch données de suivi X-Ray, les données CloudWatch métriques et les données de balisage à partir des applications que vous avez activées pour Application Signals. CloudWatch

Le rôle AWSServiceRoleForCloudWatchApplicationSignalslié au service fait confiance à CloudWatch Application Signals pour assumer le rôle. Application Signals collecte les données des journaux, des suivis, des métriques et des balises de votre compte.

Une IAM politique AWSServiceRoleForCloudWatchApplicationSignalsest attachée, et cette politique est nommée CloudWatchApplicationSignalsServiceRolePolicy. Cette politique autorise CloudWatch Application Signals à collecter des données de surveillance et de marquage auprès d'autres AWS services pertinents. Elle inclut les autorisations qui permettent à Application Signals d’effectuer les actions suivantes :

Le contenu complet de CloudWatchApplicationSignalsServiceRolePolicyest le suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "XRayPermission",
            "Effect": "Allow",
            "Action": [
                "xray:GetServiceGraph"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWLogsPermission",
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:GetQueryResults"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
                "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWListMetricsPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWGetMetricDataPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "TagsPermission",
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

Autorisations de rôle liées au service pour les actions d' CloudWatch alarmes Systems Manager OpsCenter

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchAlarms_Action SSM : CloudWatch utilise ce rôle lié au service pour exécuter les OpsCenter actions de Systems Manager lorsqu'une CloudWatch alarme se déclenche. ALARM

Le rôle AWSServiceRoleForCloudWatchAlarms_ActionSSM lié au service fait confiance au CloudWatch service pour assumer le rôle. CloudWatch les alarmes invoquent les OpsCenter actions de Systems Manager lorsqu'elles sont déclenchées par l'alarme.

La politique d'autorisation des rôles SSM liés au service AWSServiceRoleForCloudWatchAlarms_Action permet à Systems Manager d'effectuer les actions suivantes :

Autorisations de rôle liées au service pour les CloudWatch alarmes (actions de Systems Manager Incident Manager)

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchAlarms_A ctionSSMIncidents : CloudWatch utilise ce rôle lié au service pour déclencher des incidents Incident Manager lorsqu'une CloudWatch alarme se déclenche. ALARM

Le rôle ctionSSMIncidents lié au service AWSServiceRoleForCloudWatchAlarms_A fait confiance au CloudWatch service pour assumer le rôle. CloudWatch les alarmes appellent l'action Systems Manager Incident Manager lorsqu'elles sont déclenchées par l'alarme.

La politique AWSServiceRoleForCloudWatchAlarmsd'autorisation des rôles ctionSSMIncidents liés au service _A permet à Systems Manager d'effectuer les actions suivantes :

Autorisations de rôle liées à un service pour CloudWatch plusieurs comptes et entre régions

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchCrossAccount: CloudWatch utilise ce rôle pour accéder aux CloudWatch données des autres AWS comptes que vous spécifiez. Le SLR seul fournit l'autorisation d'assumer le rôle pour permettre au CloudWatch service d'assumer le rôle dans le compte de partage. C'est le rôle de partage qui fournit l'accès aux données.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchCrossAccountliés au service permet d' CloudWatch effectuer les actions suivantes :

Le rôle AWSServiceRoleForCloudWatchCrossAccountlié au service fait confiance au CloudWatch service pour assumer le rôle.

Autorisations de rôle liées à un service pour la base de CloudWatch données Performance Insights

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchMetrics _. DbPerfInsights — CloudWatch utilise ce rôle pour récupérer les métriques Performance Insights afin de créer des alarmes et de créer des instantanés.

La AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy IAM politique est DbPerfInsights attachée au rôle AWSServiceRoleForCloudWatchMetrics_ lié au service. Le contenu de cette politique est le suivant :

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Le rôle DbPerfInsights lié au service AWSServiceRoleForCloudWatchMetrics_ fait confiance au CloudWatch service pour assumer le rôle.

Création d'un rôle lié à un service pour CloudWatch

Vous n'avez pas besoin de créer manuellement l'un ou l'autre de ces rôles liés à un service. La première fois que vous créez une alarme dans le AWS Management Console, le IAMCLI, ou le IAMAPI, CloudWatch create AWSServiceRoleForCloudWatchEvents et AWSServiceRoleForCloudWatchAlarms_Action SSM pour vous.

La première fois que vous activez la découverte de services et de topologies, Application Signals crée AWSServiceRoleForCloudWatchApplicationSignalspour vous.

Lorsque vous activez pour la première fois un compte en tant que compte de surveillance pour la fonctionnalité inter-comptes interrégionaux, il CloudWatch crée AWSServiceRoleForCloudWatchCrossAccountpour vous.

Lorsque vous créez pour la première fois une alarme qui utilise la fonction mathématique DB_PERF_INSIGHTS métrique, elle CloudWatch crée AWSServiceRoleForCloudWatchMetrics_ DbPerfInsights pour vous.

Pour plus d'informations, consultez la section Création d'un rôle lié à un service dans le guide de l'IAMutilisateur.

Modification d'un rôle lié à un service pour CloudWatch

CloudWatch ne vous permet pas de modifier les DbPerfInsights rôles AWSServiceRoleForCloudWatchEventsSSMAWSServiceRoleForCloudWatchCrossAccount, AWSServiceRoleForCloudWatchAlarms_Action ou AWSServiceRoleForCloudWatchMetrics_. Après avoir créé ces rôles, vous ne pouvez pas modifier leurs noms, car diverses entités peuvent y faire référence. Toutefois, vous pouvez modifier la description de ces rôles à l'aide deIAM.

Modification de la description d'un rôle lié à un service (console) IAM

Vous pouvez utiliser la IAM console pour modifier la description d'un rôle lié à un service.

Modification de la description d'un rôle lié à un service (AWS CLI)

Vous pouvez utiliser IAM les commandes du AWS Command Line Interface pour modifier la description d'un rôle lié à un service.

Modification de la description d'un rôle lié à un service () IAM API

Vous pouvez utiliser le IAM API pour modifier la description d'un rôle lié à un service.

Supprimer un rôle lié à un service pour CloudWatch

Si vous n'avez plus d'alarmes qui arrêtent, mettent fin ou redémarrent automatiquement EC2 les instances, nous vous recommandons de supprimer le AWSServiceRoleForCloudWatchEvents rôle.

Si vous n'avez plus d'alarmes qui exécutent des OpsCenter actions de Systems Manager, nous vous recommandons de supprimer le AWSServiceRoleForCloudWatchAlarms_ActionSSM rôle.

Si vous supprimez toutes les alarmes qui utilisent la fonction mathématique DB_PERF_INSIGHTS métrique, nous vous recommandons de supprimer le rôle DbPerfInsights lié au service AWSServiceRoleForCloudWatchMetrics_.

De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez nettoyer votre rôle lié à un service avant de pouvoir le supprimer.

Nettoyer un rôle lié à un service

Avant de pouvoir supprimer un rôle lié IAM à un service, vous devez d'abord confirmer que le rôle n'a aucune session active et supprimer toutes les ressources utilisées par le rôle.

Supprimer un rôle lié à un service (console) IAM

Vous pouvez utiliser la IAM console pour supprimer un rôle lié à un service.

Suppression d'un rôle lié à un service (AWS CLI)

Vous pouvez utiliser IAM les commandes du AWS Command Line Interface pour supprimer un rôle lié à un service.

Supprimer un rôle lié à un service () IAM API

Vous pouvez utiliser le IAM API pour supprimer un rôle lié à un service.

CloudWatch mises à jour des rôles AWS liés aux services

Consultez les détails des mises à jour des politiques AWS gérées CloudWatch depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au RSS fil sur la page Historique du CloudWatch document.