Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation des rôles liés aux services pour CloudWatch

Amazon CloudWatch utilise des rôles AWS Identity and Access Management liés à un service (IAM). Un rôle lié à un service est un type unique de rôle IAM directement lié à. CloudWatch Les rôles liés au service sont prédéfinis par CloudWatch et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom.

Un rôle lié au service CloudWatch permet de configurer des CloudWatch alarmes qui peuvent mettre fin à, arrêter ou redémarrer une instance Amazon EC2 sans que vous ayez à ajouter manuellement les autorisations nécessaires. Un autre rôle lié à un service permet à un compte de surveillance d'accéder aux CloudWatch données d'autres comptes que vous spécifiez, afin de créer des tableaux de bord inter-comptes interrégionaux.

CloudWatch définit les autorisations de ces rôles liés aux services et, sauf indication contraire, seul CloudWatch peut assumer le rôle. Les autorisations définies comprennent la politique d’approbation et la politique d’autorisation. De plus, cette politique d’autorisation ne peut pas être attachée à une autre entité IAM.

Vous pouvez supprimer les rôles uniquement après la suppression préalable de leurs ressources connexes. Cette restriction protège vos CloudWatch ressources car vous ne pouvez pas supprimer par inadvertance les autorisations d'accès aux ressources.

Pour plus d'informations sur les autres services qui prennent en charge les rôles liés aux services, consultez Services AWS fonctionnant avec IAM et recherchez les services où Oui figure dans la colonne Rôle lié à un service. Choisissez un Yes (oui) ayant un lien permettant de consulter les détails du rôle pour ce service.

Autorisations de rôle liées au service pour les actions d' CloudWatch alarme EC2

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchEvents— CloudWatch utilise ce rôle lié au service pour effectuer des actions d'alarme Amazon EC2.

Le rôle AWSServiceRoleForCloudWatchEvents lié au service fait confiance au service CloudWatch Events pour assumer ce rôle. CloudWatch Les événements invoquent les actions de fin, d'arrêt ou de redémarrage de l'instance lorsque l'alarme l'appelle.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchEvents liés au service permet à CloudWatch Events d'effectuer les actions suivantes sur les instances Amazon EC2 :

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchCrossAccountliés au service permet d' CloudWatch effectuer les actions suivantes :

Autorisations de rôle liées au service pour les signaux d'application CloudWatch

CloudWatch Application Signals utilise le rôle lié à un service nommé AWSServiceRoleForCloudWatchApplicationSignals: CloudWatch utilise ce rôle lié à un service pour collecter les données des journaux, les CloudWatch données de suivi X-Ray, les données CloudWatch métriques et les données de balisage à partir des applications que vous avez activées pour Application Signals. CloudWatch

Le rôle AWSServiceRoleForCloudWatchApplicationSignalslié au service fait confiance à CloudWatch Application Signals pour assumer le rôle. Application Signals collecte les données des journaux, des suivis, des métriques et des balises de votre compte.

Une politique IAM y est attachée, et cette politique est nommée CloudWatchApplicationSignalsServiceRolePolicy. AWSServiceRoleForCloudWatchApplicationSignals Cette politique autorise CloudWatch Application Signals à collecter des données de surveillance et de marquage auprès d'autres AWS services pertinents. Elle inclut les autorisations qui permettent à Application Signals d’effectuer les actions suivantes :

Le contenu complet de CloudWatchApplicationSignalsServiceRolePolicyest le suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "XRayPermission",
            "Effect": "Allow",
            "Action": [
                "xray:GetServiceGraph"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWLogsPermission",
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:GetQueryResults"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
                "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWListMetricsPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWGetMetricDataPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "TagsPermission",
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

Autorisations de rôle liées au service pour les actions d' CloudWatch alarmes Systems Manager OpsCenter

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchAlarms_ActionSSM— CloudWatch utilise ce rôle lié au service pour exécuter les OpsCenter actions de Systems Manager lorsqu'une CloudWatch alarme passe à l'état ALARM.

Le rôle AWSServiceRoleForCloudWatchAlarms_ActionSSM lié au service fait confiance au CloudWatch service pour assumer le rôle. CloudWatch les alarmes invoquent les OpsCenter actions de Systems Manager lorsqu'elles sont déclenchées par l'alarme.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchAlarms_ActionSSMliés au service permet à Systems Manager d'effectuer les actions suivantes :

Autorisations de rôle liées au service pour les CloudWatch alarmes (actions de Systems Manager Incident Manager)

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents: CloudWatch utilise ce rôle lié au service pour déclencher des incidents Incident Manager lorsqu'une CloudWatch alarme passe à l'état ALARM.

Le rôle AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidentslié au service fait confiance au CloudWatch service pour assumer le rôle. CloudWatch les alarmes appellent l'action Systems Manager Incident Manager lorsqu'elles sont déclenchées par l'alarme.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidentsliés au service permet à Systems Manager d'effectuer les actions suivantes :

Autorisations de rôle liées à un service pour CloudWatch plusieurs comptes et entre régions

CloudWatch utilise le rôle lié au service nommé AWSServiceRoleForCloudWatchCrossAccount: CloudWatch utilise ce rôle pour accéder aux CloudWatch données des autres AWS comptes que vous spécifiez. Le SLR fournit uniquement l'autorisation d'assumer le rôle pour permettre au CloudWatch service d'assumer le rôle dans le compte de partage. C'est le rôle de partage qui fournit l'accès aux données.

La politique d'autorisation des rôles AWSServiceRoleForCloudWatchCrossAccountliés au service permet d' CloudWatch effectuer les actions suivantes :

Le rôle AWSServiceRoleForCloudWatchCrossAccountlié au service fait confiance au CloudWatch service pour assumer le rôle.

Autorisations de rôle liées à un service pour la base de CloudWatch données Performance Insights

CloudWatch utilise le rôle lié au service nommé. AWSServiceRoleForCloudWatchMetrics_DbPerfInsights — CloudWatch utilise ce rôle pour récupérer les métriques Performance Insights afin de créer des alarmes et de créer des instantanés.

La politique AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy IAM est AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsattachée au rôle lié au service. Le contenu de cette politique est le suivant :

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Le rôle AWSServiceRoleForCloudWatchMetrics_DbPerfInsightslié au service fait confiance au CloudWatch service pour assumer le rôle.

Création d'un rôle lié à un service pour CloudWatch

Vous n'avez pas besoin de créer manuellement l'un ou l'autre de ces rôles liés à un service. La première fois que vous créez une alarme dans le AWS Management Console, l'IAM CLI, ou l'API IAM, CloudWatch crée AWSServiceRoleForCloudWatchEvents et AWSServiceRoleForCloudWatchAlarms_ActionSSMpour vous.

La première fois que vous activez la découverte de services et de topologies, Application Signals crée AWSServiceRoleForCloudWatchApplicationSignalspour vous.

Lorsque vous activez pour la première fois un compte comme compte de surveillance pour la fonctionnalité inter-comptes interrégionaux, il CloudWatch crée AWSServiceRoleForCloudWatchCrossAccountpour vous.

Lorsque vous créez pour la première fois une alarme qui utilise la fonction mathématique DB_PERF_INSIGHTS métrique, CloudWatch elle le fait AWSServiceRoleForCloudWatchMetrics_DbPerfInsightspour vous.

Pour plus d'informations, consultez Création d'un rôle lié à un service dans le Guide de l'utilisateur IAM.

Modification d'un rôle lié à un service pour CloudWatch

CloudWatch ne vous permet pas de modifier les AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsrôles AWSServiceRoleForCloudWatchEventsAWSServiceRoleForCloudWatchAlarms_ActionSSMAWSServiceRoleForCloudWatchCrossAccount,, ou. Après avoir créé ces rôles, vous ne pouvez pas modifier leurs noms, car diverses entités peuvent y faire référence. Néanmoins, vous pouvez modifier la description du rôle à l'aide d'IAM.

Modification de la description d'un rôle lié à un service (console IAM)

Vous pouvez utiliser la console IAM, pour modifier la description d'un rôle lié à un service.

Modification de la description d'un rôle lié à un service (AWS CLI)

Vous pouvez utiliser les commandes IAM depuis le AWS Command Line Interface pour modifier la description d'un rôle lié à un service.

Modification de la description d'un rôle lié à un service (API IAM)

Vous pouvez utiliser l'API IAM pour modifier la description d'un rôle lié à un service.

Supprimer un rôle lié à un service pour CloudWatch

Si vous n'avez plus d'alarmes qui arrêtent, mettent fin ou redémarrent automatiquement les instances EC2, nous vous recommandons de supprimer le AWSServiceRoleForCloudWatchEvents rôle.

Si vous n'avez plus d'alarmes qui exécutent des OpsCenter actions de Systems Manager, nous vous recommandons de supprimer le AWSServiceRoleForCloudWatchAlarms_ActionSSM rôle.

Si vous supprimez toutes les alarmes qui utilisent la fonction mathématique DB_PERF_INSIGHTS métrique, nous vous recommandons de supprimer le rôle AWSServiceRoleForCloudWatchMetrics_DbPerfInsightslié au service.

De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez nettoyer votre rôle lié à un service avant de pouvoir le supprimer.

Nettoyage d'un rôle lié à un service

Avant de pouvoir utiliser IAM pour supprimer un rôle lié à un service, vous devez d'abord vérifier qu'aucune session n'est active pour le rôle et supprimer toutes les ressources utilisées par le rôle.

Suppression d'un rôle lié à un service (console IAM)

Vous pouvez utiliser la console IAM pour supprimer un rôle lié à un service.

Suppression d'un rôle lié à un service (AWS CLI)

Vous pouvez utiliser les commandes IAM depuis le AWS Command Line Interface pour supprimer un rôle lié à un service.

Suppression d'un rôle lié à un service (API IAM)

Vous pouvez utiliser l'API IAM pour supprimer un rôle lié à un service.

CloudWatch mises à jour des rôles AWS liés aux services

Consultez les détails des mises à jour des politiques AWS gérées CloudWatch depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS sur la page Historique du CloudWatch document.