Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan peran terkait layanan untuk CloudWatch

Amazon CloudWatch menggunakan peran AWS Identity and Access Management terkait layanan (IAM). Peran terkait layanan adalah jenis peran IAM unik yang ditautkan langsung ke. CloudWatch Service-linked peran telah ditentukan sebelumnya oleh CloudWatch dan menyertakan semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.

Satu peran terkait layanan CloudWatch membuat pengaturan CloudWatch alarm yang dapat menghentikan, menghentikan, atau me-reboot instans Amazon EC2 tanpa mengharuskan Anda menambahkan izin yang diperlukan secara manual. Peran lain terkait layanan memungkinkan akun pemantauan untuk mengakses CloudWatch data dari akun lain yang Anda tentukan, untuk membangun dasbor lintas Wilayah.

CloudWatch mendefinisikan izin dari peran terkait layanan ini, dan kecuali ditentukan lain, hanya CloudWatch dapat mengambil peran tersebut. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin, serta bahwa kebijakan izin tidak dapat dilampirkan ke entitas IAM lainnya.

Anda dapat menghapus peran hanya setelah terlebih dahulu menghapus sumber daya terkaitnya. Pembatasan ini melindungi CloudWatch sumber daya Anda karena Anda tidak dapat menghapus izin untuk mengakses sumber daya secara tidak sengaja.

Untuk informasi tentang layanan lain yang mendukung peran terkait layanan, lihat AWS Layanan yang Bekerja dengan IAM dan cari layanan yang memiliki Ya di kolom Peran Service-Linked . Pilih Ya dengan sebuah tautan untuk melihat dokumentasi peran terkait layanan untuk layanan tersebut.

Service-linked izin peran untuk tindakan CloudWatch alarm EC2

CloudWatch menggunakan peran terkait layanan bernama AWSServiceRoleForCloudWatchEvents — CloudWatch menggunakan peran terkait layanan ini untuk melakukan tindakan alarm Amazon EC2.

Per AWSServiceRoleForCloudWatchEvents an terkait layanan mempercayai layanan Acara CloudWatch untuk mengambil peran tersebut. CloudWatch Events memanggil tindakan instance akhiri, berhenti, atau reboot saat dipanggil oleh alarm.

Kebijakan AWSServiceRoleForCloudWatchEvents izin peran terkait layanan memungkinkan Acara CloudWatch menyelesaikan tindakan berikut pada instans Amazon EC2:

Kebijakan izin peran ServiceRoleForCloudWatchCrossAccountV2 layanan memungkinkan CloudWatch untuk menyelesaikan tindakan berikut:

Service-linked izin peran untuk konfigurasi CloudWatch telemetri

CloudWatch admin observabilitas membuat dan menggunakan peran terkait layanan bernama AWSServiceRoleForObservabilityAdmin — CloudWatch menggunakan peran terkait layanan ini untuk mendukung penemuan konfigurasi sumber daya dan telemetri untuk Organisasi. AWS Saat akun manajemen membuat aturan tingkat organisasi, peran terkait layanan secara otomatis dibuat di semua akun anggota dan akun administrator yang didelegasikan di organisasi. Namun, ketika akun administrator yang didelegasikan membuat aturan tingkat organisasi, peran terkait layanan secara otomatis dibuat di semua akun anggota tetapi tidak dibuat secara otomatis di akun manajemen. Jika akun administrator yang didelegasikan membuat aturan tingkat organisasi, Anda harus membuat peran terkait layanan secara manual di akun manajemen.

Peran AWSServiceRoleForObservabilityAdmin terkait layanan mempercayai Admin Observability untuk mengambil peran tersebut. Admin Observability mengelola Perek AWS am Konfigurasi Tertaut Layanan Konfigurasi dan Agregator Konfigurasi Tertaut Layanan di akun Organisasi Anda.

Per AWSServiceRoleForObservabilityAdmin an terkait layanan memiliki kebijakan, disebut AWSObservabilityAdminServiceRolePolicy, dilampirkan dan kebijakan ini memberikan izin kepada Admin CloudWatch Observability untuk menyelesaikan tindakan berikut:

Isi lengkap dari AWSObservabilityAdminServiceRolePolicy kebijakan tersebut adalah sebagai berikut:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Service-linked izin peran untuk pengaktifan CloudWatch telemetri

Mem AWSObservabilityAdminTelemetryEnablementServiceRolePolicy berikan izin yang diperlukan untuk mengaktifkan dan mengelola konfigurasi telemetri untuk AWS sumber daya berdasarkan aturan telemetri.

Kebijakan ini memberikan izin untuk:

Kebijakan ini memberlakukan batas-batas keamanan melalui kondisi yang:

Isi lengkap AWSObservabilityAdminTelemetryEnablementServiceRolePolicy kebijakan dapat ditemukan di sini: AWSObservabilityAdminTelemetryEnablementServiceRolePolicy.

Service-linked izin peran untuk Sin CloudWatch yal Aplikasi

CloudWatch Sinyal Aplikasi menggunakan peran terkait layanan bernama AWSServiceRoleForCloudWatchApplicationSignals — CloudWatch menggunakan peran terkait layanan ini untuk mengumpulkan data CloudWatch Log, X-Ray melacak data, data CloudWatch metrik, dan menandai data dari aplikasi yang telah Anda aktifkan untuk Sinyal Aplikasi. CloudWatch

Peran AWSServiceRoleForCloudWatchApplicationSignals terkait layanan mempercayai Sinyal CloudWatch Aplikasi untuk mengambil peran tersebut. Sinyal Aplikasi mengumpulkan data log, jejak, metrik, dan tanda dari akun yang Anda miliki.

Ini AWSServiceRoleForCloudWatchApplicationSignals memiliki kebijakan IAM terlampir, dan kebijakan ini dinam CloudWatchApplicationSignalsServiceRolePolicy ai. Kebijakan ini memberikan izin kepada Sinyal CloudWatch Aplikasi untuk mengumpulkan data pemantauan dan penandaan dari AWS layanan terkait lainnya. Ini mencakup izin untuk Sinyal Aplikasi untuk menyelesaikan tindakan berikut:

Isi lengkapnya CloudWatchApplicationSignalsServiceRolePolicy adalah sebagai berikut:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Service-linked izin peran untuk CloudWatch alarm OpsCenter tindakan Manajer Sistem

CloudWatch menggunakan peran terkait layanan bernama AWSServiceRoleForCloudWatchAlarms _actionsSM — CloudWatch menggunakan peran terkait layanan ini untuk melakukan OpsCenter tindakan Manajer Sistem saat alarm masuk ke status ALARM. CloudWatch

Peran AWSServiceRoleForCloudWatchAlarms tertaut layanan _actionsSM mempercayai layanan untuk mengambil peran tersebut. CloudWatch CloudWatch alarm memanggil OpsCenter tindakan Manajer Sistem saat dipanggil oleh alarm.

AWSServiceRoleForCloudWatchAlarms_ActionSSM kebijakan izin peran terkait layanan memungkinkan Pengelola Sistem menyelesaikan tindakan berikut:

Service-linked izin peran untuk CloudWatch alarm tindakan Manajer Insiden Manajer Sistem

CloudWatch menggunakan peran terkait layanan bernama AWSServiceRoleForCloudWatchAlarms _ActionsSMincidents — CloudWatch menggunakan peran terkait layanan ini untuk memulai insiden Manajer Insiden saat alarm masuk ke status ALARM. CloudWatch

Peran AWSServiceRoleForCloudWatchAlarms tertaut layanan _ActionsSMincidents mempercayai layanan untuk mengambil peran tersebut. CloudWatch CloudWatch alarm memanggil tindakan Manajer Insiden Manajer Sistem saat dipanggil oleh alarm.

Kebijakan izin peran terkait AWSServiceRoleForCloudWatchAlarms layanan _ActionsSMincidents memungkinkan Manajer Sistem menyelesaikan tindakan berikut:

Izin peran layanan untuk CloudWatch lintas akun Lintas wilayah

CloudWatch menggunakan peran layanan bernama ServiceRoleForCloudWatchCrossAccountV2 — CloudWatch menggunakan peran ini untuk mengakses CloudWatch data di AWS akun lain yang Anda tentukan. SLR hanya memberikan izin asumsi peran untuk mengiz CloudWatch inkan layanan mengambil peran dalam akun berbagi. Peran berbagi yang menyediakan akses ke data.

Kebijakan izin peran ServiceRoleForCloudWatchCrossAccountV2 layanan memungkinkan CloudWatch untuk menyelesaikan tindakan berikut:

Per ServiceRoleForCloudWatchCrossAccountV2 an layanan mempercayai CloudWatch layanan untuk mengambil peran tersebut.

Service-linked izin peran untuk CloudWatch database Performance Insights

CloudWatch menggunakan peran terkait layanan bernama AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights — CloudWatch menggunakan peran ini untuk mengambil metrik Performance Insights untuk membuat alarm dan snapshotting.

Peran AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights service-link memiliki kebijakan AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy IAM yang terlampir. Isi kebijakan tersebut adalah sebagai berikut:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Per AWSServiceRoleForCloudWatchMetrics an _ DbPerfInsights service-link mempercayai CloudWatch layanan untuk mengambil peran tersebut.

Service-linked izin peran untuk sentr CloudWatch alisasi Log

Mel AWSObservabilityAdminLogsCentralizationServiceRolePolicy ampirkan ke entitas IAM yang sesuai di akun manajemen pusat Anda, seperti peran CloudWatch layanan —, untuk memberikan izin yang diperlukan untuk menyiapkan dan mengelola pengumpulan log terpusat. CloudWatch menggunakan peran ini untuk mengakses data telemetri dari AWS akun lain yang Anda tentukan untuk membuat CloudWatch grup log, aliran log, dan peristiwa log di akun pemantauan organisasi Anda. SLR hanya memberikan izin asumsi peran untuk mengizinkan CloudWatch layanan mengambil peran dalam akun pemantauan. Kebijakan ini dilampirkan secara otomatis jika Anda mengatur pengumpulan log terpusat menggunakan Konsol Manajemen AWS. Jika Anda menggunakan API AWS CLI or untuk mengonfigurasi sentralisasi log, Anda harus melampirkan kebijakan ini secara manual ke peran IAM yang akan digunakan untuk tugas administrasi pengamatan.

Kebijakan AWSObservabilityAdminLogsCentralizationServiceRolePolicy izin peran terkait layanan memungkinkan CloudWatch untuk menyelesaikan tindakan berikut:

Peran terkait layanan AWSObservabilityAdminLogsCentralizationServiceRolePolicy memercayai layanan logs-centralization.observabilityadmin.amazonaws.com untuk menjalankan peran.

Membuat peran terkait layanan untuk CloudWatch

Anda tidak perlu membuat peran terkait layanan ini secara manual. Pertama kali Anda membuat alarm di, IAM CLI Konsol Manajemen AWS, atau IAM API, membuat AWSServiceRoleForCloudWatchEvents dan AWSServiceRoleForCloudWatchAlarms _ actionsSM CloudWatch untuk Anda.

Pertama kali Anda mengaktifkan layanan dan penemuan topologi, Sinyal Aplikasi membuat AWSServiceRoleForCloudWatchApplicationSignals untuk Anda.

Saat pertama kali mengaktifkan akun untuk menjadi akun pemantauan untuk fungsionalitas lintas wilayah lintas akun, dibuat ServiceRoleForCloudWatchCrossAccountV2 untuk CloudWatch Anda.

Ketika Anda pertama kali membuat alarm yang menggunakan fungsi matematika DB_PERF_INSIGHTS metrik, CloudWatch membuat AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights untuk Anda.

Untuk informasi selengkapnya, lihat Membuat Service-Linked Per an di Panduan Pengguna IAM.

Mengedit peran terkait layanan untuk CloudWatch

CloudWatch tidak mengizinkan Anda untuk mengedit peran AWSServiceRoleForCloudWatchEvents, AWSServiceRoleForCloudWatchAlarms _actionsSM, ServiceRoleForCloudWatchCrossAccountV2, atau AWSServiceRoleForCloudWatchMetrics _. DbPerfInsights Setelah Anda membuat peran ini, Anda tidak dapat mengubah namanya karena berbagai entitas mungkin mereferensikan peran ini. Namun, Anda dapat mengedit deskripsi peran menggunakan IAM.

Menyunting deskripsi peran terkait layanan (konsol IAM)

Anda dapat menggunakan konsol IAM untuk menyunting deskripsi peran terkait layanan.

Mengedit deskripsi peran terkait layanan (AWS CLI)

Anda dapat menggunakan perintah IAM dari AWS Command Line Interface untuk mengedit deskripsi peran terkait layanan.

Menyunting deskripsi peran terkait layanan (IAM API)

Anda dapat menggunakan IAM API untuk menyunting deskripsi peran terkait layanan.

Menghapus peran yang ditautkan layanan untuk CloudWatch

Jika Anda tidak lagi memiliki alarm yang secara otomatis menghentikan, mengakhiri, atau menyalakan ulang contoh EC2, kami menyarankan Anda menghapus AWSServiceRoleForCloudWatchEvents peran.

Jika Anda tidak lagi memiliki alarm yang melakukan OpsCenter tindakan Manajer Sistem, sebaiknya hapus peran AWSServiceRoleForCloudWatchAlarms _actionsSM.

Jika Anda menghapus semua alarm yang menggunakan fungsi matematika DB_PERF_INSIGHTS metrik, sebaiknya hapus peran AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights service-link.

Dengan begitu, Anda tidak memiliki entitas yang tidak digunakan yang tidak dipantau atau dipelihara secara aktif. Namun, Anda harus membersihkan peran terkait layanan sebelum dapat menghapusnya.

Membersihkan peran terkait layanan

Sebelum dapat menggunakan IAM untuk menghapus peran tertaut layanan, Anda harus mengonfirmasi terlebih dahulu bahwa peran tersebut tidak memiliki sesi aktif dan menghapus sumber daya yang digunakan oleh peran tersebut.

Menghapus peran terkait layanan (Konsol IAM)

Anda dapat menggunakan konsol IAM untuk menghapus sebuah peran terkait layanan.

Menghapus peran terkait layanan (AWS CLI)

Anda dapat menggunakan perintah IAM dari AWS Command Line Interface untuk menghapus peran terkait layanan.

Menghapus peran terkait layanan (IAM API)

Anda dapat menggunakan API IAM untuk menghapus peran terkait layanan.

CloudWatch update ke AWS peran terkait layanan

Lihat detail tentang pembaruan kebijakan AWS terkelola CloudWatch sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman CloudWatch riwayat dokumen.