Usar funções vinculadas ao serviço para o CloudWatch RUM

O CloudWatch RUM usa um perfil vinculado ao serviço do AWS Identity and Access Management (IAM). A função vinculada ao serviço é um tipo exclusivo de função do IAM ligada diretamente ao RUM. O perfil vinculado ao serviço é predefinido pelo RUM e inclui todas as permissões de que o serviço precisa para chamar outros serviços da AWS em seu nome.

O RUM define as permissões desses perfis vinculados ao serviço e, a menos que definido em contrário, apenas o RUM pode assumir o perfil. As permissões definidas incluem a política de confiança e a política de permissões, e essa política não pode ser anexada a nenhuma outra entidade do IAM.

Você só poderá excluir os perfis após excluir os recursos relacionados. Essa restrição protege seus recursos do RUM, pois não é possível remover acidentalmente as permissões para acessá-los.

Para obter informações sobre outros serviços compatíveis com perfis vinculados ao serviço, consulte serviços da AWS que funcionam com o IAM e procure os serviços que apresentam Sim na coluna Perfis vinculados aos serviços. Escolha um Sim com um link para visualizar a documentação da função vinculada a esse serviço.

Permissões de função vinculada ao serviço no RUM

O RUM usa a função vinculada ao serviço chamada AWSServiceRoleForCloudWatchrum: essa função permite que o RUM envie rastreamento de dados do AWS X-Ray em sua conta, para monitorar aplicações para as quais você habilita o rastreamento de X-Ray.

A função vinculada ao serviço AWSServiceRoleForCloudWatchRUM se apoia no serviço do X-Ray para assumir a função. O X-Ray envia os dados de rastreamento para a sua conta.

A função vinculada ao serviço AWSServiceRoleForCloudWatchRUM tem uma política do IAM anexada chamada AmazonCloudWatchRUMServiceRolePolicy. Essa política concede permissão ao CloudWatch RUM para publicar dados de monitoramento para outros serviços relevantes da AWS. Ela inclui permissões que permitem ao RUM concluir as ações a seguir:

Este é o conteúdo completo da política AmazonCloudWatchRUMServiceRolePolicy.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"cloudwatch:namespace": [
						"RUM/CustomMetrics/*",
						"AWS/RUM"
					]
				}
			}
		}
	]
}

Criar uma função vinculada ao serviço no RUM

Não é necessário criar manualmente uma função vinculada a serviço para o CloudWatch RUM. Na primeira vez que você cria um monitor de aplicações com o rastreamento de X-Ray habilitado ado ou atualiza um monitor de aplicações para usar o rastreamento de X-Ray, o RUM cria um AWSServiceRoleForCloudWatchRUM para você.

Para obter mais informações, consulte Criar uma função vinculada ao serviço no Guia do usuário do IAM.

Editar uma função vinculada ao serviço no RUM

O CloudWatch RUM não permite que você edite a função AWSServiceRoleForCloudRUM. Depois de criar essas funções, você não pode alterar seus nomes porque várias entidades podem fazer referência a elas. No entanto, você poderá editar a descrição da função usando o IAM.

Editar a descrição de uma função vinculada ao serviço (console do IAM)

Você pode usar o console do IAM para editar a descrição de uma função vinculada ao serviço.

Editar a descrição de uma função vinculada ao serviço (AWS CLI)

Você pode usar comandos do IAM na AWS Command Line Interface para editar a descrição de uma função vinculada ao serviço.

Editar a descrição de uma função vinculada ao serviço (API do IAM)

Você pode usar a API do IAM para editar a descrição de uma função vinculada ao serviço.

Excluir uma função vinculada ao serviço no RUM

Se você não tem mais monitores de aplicações com o X-Ray habilitados, recomendamos que você exclua a função AWSServiceRoleForCloudWatchRUM.

Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ativamente ou mantida. No entanto, você deve limpar sua função vinculada ao serviço antes de excluí-la.

Limpar uma função vinculada ao serviço

Antes de você poder usar o IAM para excluir uma função vinculada ao serviço, você deve primeiro confirmar que a função não tem sessões ativas e remover quaisquer recursos usados pela função.

Excluir um perfil vinculado ao serviço (console do IAM)

É possível usar o console do IAM para excluir uma função vinculada ao serviço.

Excluir uma função vinculada ao serviço (AWS CLI)

Você pode usar comandos do IAM na AWS Command Line Interface para excluir uma função vinculada ao serviço.

Excluir uma função vinculada ao serviço (API do IAM)

É possível usar a API do IAM para excluir uma função vinculada ao serviço.