为 CloudWatch 使用服务相关角色

Amazon CloudWatch 使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种独特类型的 IAM 角色，它与 CloudWatch 直接相关。服务相关角色由 CloudWatch 预定义，并包含该服务代表您调用其他 AWS 服务所需的一切权限。

CloudWatch 中的一个服务相关角色将设置可终止、停止或重启 Amazon EC2 实例的 CloudWatch 告警，而无需您手动添加必要的权限。另一个服务相关角色可让监控账户访问您指定的其他账户的 CloudWatch 数据，从而构建跨账户跨区域的控制面板。

CloudWatch 定义这些服务相关角色的权限，除非另行定义，否则仅 CloudWatch 能够代入该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其它 IAM 实体。

只有在首先删除角色的相关资源后，才能删除角色。此限制将保护您的 CloudWatch 资源，因为您不会无意中删除对资源的访问权限。

有关支持服务相关角色的其它服务的信息，请参阅使用 IAM 的 AWS 服务并查找 Service-Linked Role（服务相关角色）列中显示为 Yes（是）的服务。选择是和链接，查看该服务的服务相关角色文档。

CloudWatch EC2 操作的服务相关角色权限

CloudWatch 使用名为 AWSServiceRoleForCloudWatchEvents 的服务相关角色 – CloudWatch 使用此服务相关角色执行 Amazon EC2 告警操作。

AWSServiceRoleForCloudWatchEvents 服务相关角色信任 CloudWatch Events 服务来代入该角色。CloudWatch Events 在被告警调起时，调用终止、停止或重启实例操作。

AWSServiceRoleForCloudWatchEvents 服务相关角色权限策略允许 CloudWatch Events 对 Amazon EC2 实例完成以下操作：

AWSServiceRoleForCloudWatchCrossAccount 服务相关角色权限策略允许 CloudWatch 完成以下操作：

CloudWatch Application Signals 的服务相关角色权限

CloudWatch Application Signals 使用名为 AWSServiceRoleForCloudWatchApplicationSignals 的服务相关角色。CloudWatch 使用这个服务相关角色从您为 CloudWatch Application Signals 启用的应用程序中收集 CloudWatch Logs 数据、X-Ray 跟踪数据、CloudWatch 指标数据和标记数据。

AWSServiceRoleForCloudWatchApplicationSignals 服务相关角色信任 CloudWatch Application Signals 来代入该角色。Application Signals 会从您的账户收集日志、跟踪、指标和标签数据。

AWSServiceRoleForCloudWatchApplicationSignals 附加有 IAM 策略，此政策名为 CloudWatchApplicationSignalsServiceRolePolicy。此策略授予 CloudWatch Application Signals 从其他相关 AWS 服务收集监控和标记数据的权限。其中包含允许 Application Signals 完成以下操作的权限：

CloudWatchSyntheticsReadOnlyAccess 的完整内容如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "XRayPermission",
            "Effect": "Allow",
            "Action": [
                "xray:GetServiceGraph"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWLogsPermission",
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:GetQueryResults"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
                "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWListMetricsPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWGetMetricDataPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "TagsPermission",
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

CloudWatch 告警 Systems Manager OpsCenter 操作的服务相关角色权限

CloudWatch 使用名为 AWSServiceRoleForCloudWatchAlarms_ActionSSM 的服务相关角色 – CloudWatch 在告警进入 ALARM（告警）状态时使用此服务相关角色执行 Systems Manager OpsCenter 操作。

AWSServiceRoleForCloudWatchAlarms_ActionSSM 服务相关角色信任 CloudWatch 服务来代入该角色。CloudWatch 告警在被告警调用时，将调用 Systems Manager OpsCenter 操作。

AWSServiceRoleForCloudWatchAlarms_ActionSSM 服务相关角色权限策略允许 Systems Manager 完成以下操作：

CloudWatch 告警 Systems Manager Incident Manager 操作的服务相关角色权限

CloudWatch 使用名为 AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents 的服务相关角色 – CloudWatch 在告警进入 ALARM（告警）状态时使用此服务相关角色启动 Incident Manager 事件。

AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents 服务相关角色信任 CloudWatch 服务来代入该角色。CloudWatch 告警在被告警调用时，将调用 Systems Manager Incident Manager 操作。

AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents 服务相关角色权限策略允许 Systems Manager 完成以下操作：

CloudWatch 跨账户跨区域的服务相关角色权限

CloudWatch 使用名为 AWSServiceRoleForCloudWatchCrossAccount 的服务相关角色 – CloudWatch 使用此角色访问您指定的其他 AWS 账户中的 CloudWatch 数据。SLR 仅提供代入角色权限以允许 CloudWatch 服务代入共享账户中的角色。它是提供对数据的访问权限的共享角色。

AWSServiceRoleForCloudWatchCrossAccount 服务相关角色权限策略允许 CloudWatch 完成以下操作：

AWSServiceRoleForCloudWatchCrossAccount 服务相关角色信任 CloudWatch 服务来代入该角色。

CloudWatch 数据库性能详情的服务相关角色权限

CloudWatch 使用名为 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 的服务相关角色。– CloudWatch 使用此角色检索用于创建警报和快照的性能详情指标。

AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 服务相关角色附加了 AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy IAM 策略。该策略的内容如下所示：

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 服务相关角色信任 CloudWatch 服务来代入该角色。

为 CloudWatch 创建服务相关角色

您无需手动创建这两个服务相关角色。当您首次在 AWS Management Console、IAM CLI 或 IAM API 中创建告警时，CloudWatch 会为您创建 AWSServiceRoleForCloudWatchEvents 和 AWSServiceRoleForCloudWatchAlarms_ActionSSM。

首次启用服务和拓扑发现时，Application Signals 会为您创建 AWSServiceRoleForCloudWatchApplicationSignals。

当您首次启用一个账户作为跨账户跨区域功能的监控账户时，CloudWatch 会为您创建 AWSServiceRoleForCloudWatchCrossAccount。

当您第一次创建使用 DB_PERF_INSIGHTS 指标数学函数的警报时，CloudWatch 会为您创建 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights。

有关更多信息，请参阅《IAM 用户指南》中的 创建服务相关角色。

为 CloudWatch 编辑服务相关角色

CloudWatch 不允许您编辑 AWSServiceRoleForCloudWatchEvents、AWSServiceRoleForCloudWatchAlarms_ActionSSM、AWSServiceRoleForCloudWatchCrossAccount 或 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 角色。在创建这些角色后，您无法更改这些角色的名称，因为可能有不同的实体引用它们。但是，您可以使用 IAM 编辑这些角色的描述。

编辑服务相关角色描述（IAM 控制台）

您可以使用 IAM 控制台编辑服务相关角色的描述。

编辑服务相关角色描述 (AWS CLI)

您可以从 AWS Command Line Interface 使用 IAM 命令编辑服务相关角色的描述。

编辑服务相关角色描述 (IAM API)

您可以使用 IAM API 编辑服务相关角色的描述。

为 CloudWatch 删除服务相关角色

如果您不再具有自动停止、终止或重启 EC2 实例的警报，我们建议您删除 AWSServiceRoleForCloudWatchEvents 角色。

如果您不再具有执行 Systems Manager OpsCenter 操作的告警，我们建议您删除 AWSServiceRoleForCloudWatchAlarms_ActionSSM 角色。

如果您删除使用 DB_PERF_INSIGHTS 指标数学函数的所有警报，则建议您删除 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 服务相关角色。

这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除您的服务相关角色，然后才能将其删除。

清除服务相关角色

必须先确认服务相关角色没有活动会话并删除该角色使用的任何资源，然后才能使用 IAM 删除服务相关角色。

删除服务相关角色（IAM 控制台）

您可以使用 IAM 控制台删除服务相关角色。

删除服务相关角色 (AWS CLI)

您可以从 AWS Command Line Interface 使用 IAM 命令删除服务相关角色。

删除服务相关角色（IAM API）

您可以使用 IAM API 删除服务相关角色。

对 AWS 服务相关角色的 CloudWatch 更新

查看有关 CloudWatch 的 AWS 托管式策略更新的详细信息（从该服务开始跟踪这些更改开始）。有关此页面更改的自动提示，请订阅 CloudWatch 文档历史记录页面上的 RSS 源。