CloudWatch RUM のサービスにリンクされたロールの使用

CloudWatch RUM は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、RUM に直接リンクされた一意のタイプの IAM ロールです。サービスリンクロールは RUM によって事前に定義されており、サービスがユーザーに代わって他の AWS サービスを呼び出すために必要なアクセス許可がすべて含まれています。

RUM は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、RUM のみがそのロールを引き受けることができます。定義したアクセス許可には、信頼ポリシーと許可ポリシーが含まれます。この許可ポリシーを他の IAM エンティティにアタッチすることはできません。

ロールを削除するには、まずそのロールの関連リソースを削除します。この制限により、リソースにアクセスするアクセス許可の不注意による削除が防止され、RUM リソースは保護されます。

サービスリンクロールをサポートする他のサービスについては、「IAM と連動する AWS のサービス」を参照し、[Service-linked role (サービスリンクロール)] の列内で [Yes (はい)] と表記されたサービスを確認してください。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[Yes] (はい) リンクを選択します。

RUM のサービスにリンクされたロールのアクセス許可

RUM では、サービスにリンクされたロールとして AWSServiceRoleForCloudWatchRUM を使用します – このロールは、X-Ray トレースを有効にするアプリケーションモニター用に、RUM がアカウントに AWS X-Ray トレースデータを送信できるようにします。

サービスにリンクされた AWSServiceRoleForCloudWatchRUM ロールは、X-Ray サービスを信頼してロールを引き受けます。X-Ray はトレースデータをアカウントに送信します。

サービスにリンクされた AWSServiceRoleForCloudWatchRUM ロールには、AmazonCloudWatchRUMServiceRolePolicy という IAM ポリシーがアタッチされています。このポリシーは、モニタリングデータを他の関連する AWS サービスに公開するアクセス許可を CloudWatch RUM に付与します。これには、RUM が次のアクションを完了できるようにするアクセス許可が含まれています。

AmazonCloudWatchRUMServiceRolePolicy の詳細な内容は次のとおりです。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"cloudwatch:namespace": [
						"RUM/CustomMetrics/*",
						"AWS/RUM"
					]
				}
			}
		}
	]
}

RUM のサービスにリンクされたロールの作成

サービスにリンクされた CloudWatch RUM のロールを手動で作成する必要はありません。X-Ray トレーシングを有効にしたアプリケーションモニターを初めて作成するとき、または X-Ray トレースを使用するようにアプリケーションモニターを更新するとき、RUM によって AWSServiceRoleForCloudWatchRUM が作成されます。

詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの作成」を参照してください。

RUM のサービスにリンクされたロールの編集

CloudWatch RUM では、AWSServiceRoleForCloudWatchRUM ロールを編集することはできません。これらのロールは多くのエンティティにより参照されるため、ロールを作成した後その名前を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。

サービスにリンクされたロールの説明の編集 (IAM コンソール)

サービスにリンクされたロールの説明は、IAM コンソールを使用して編集できます。

サービスにリンクされたロールの説明の編集 (AWS CLI)

AWS Command Line Interface から IAM コマンドを使用して、サービスにリンクされたロールの説明を編集できます。

サービスにリンクされたロールの説明の編集 (IAM API)

サービスにリンクされたロールの説明は、IAM API を使用して編集できます。

RUM のサービスにリンクされたロールの削除

X-Ray が有効になっているアプリケーションモニターが不要になった場合は、AWSServiceRoleForCloudWatchRUM ロールを削除することをお勧めします。

そうすることで、使用していないエンティティがアクティブにモニターリングされたり、メンテナンスされたりすることがなくなります。ただし、削除する前に、サービスにリンクされた役割をクリーンアップする必要があります。

サービスにリンクされたロールのクリーンアップ

IAM を使用してサービスにリンクされたロールを削除するには、まずそのロールにアクティブなセッションがないことを確認し、そのロールで使用されているリソースをすべて削除する必要があります。

サービスにリンクされたロールの削除 (IAM コンソール)

IAM コンソールを使用して、サービスにリンクされたロールを削除できます。

サービスにリンクされたロールの削除 (AWS CLI)

AWS Command Line Interface から IAM コマンドを使用して、サービスにリンクされたロールを削除できます。

サービスにリンクされたロールの削除 (IAM API)

IAM API を使用して、サービスにリンクされたロールを削除できます。