本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 CloudWatch 的服務連結角色

Amazon CloudWatch 使用 AWS Identity and Access Management （IAM） 服務連結角色 。服務連結角色是直接連結至 的唯一IAM角色類型 CloudWatch。服務連結角色由 預先定義，CloudWatch 並包含服務 AWS 代表您呼叫其他服務所需的所有許可。

中的一個服務連結角色 CloudWatch 會設定警示，這些 CloudWatch 警示可以終止、停止或重新啟動 Amazon EC2執行個體，而不需要您手動新增必要的許可。另一個服務連結角色可讓監控帳戶從您指定的其他帳戶存取 CloudWatch資料，以建置跨帳戶跨區域儀表板。

CloudWatch 會定義這些服務連結角色的許可，除非另有定義，否則 CloudWatch 只能擔任該角色。定義的許可包括信任政策和許可政策，該許可政策無法連接到任何其他IAM實體。

您必須先刪除角色的相關資源，才能刪除角色。此限制會保護您的 CloudWatch 資源，因為您不會不小心移除存取資源的許可。

如需有關支援服務連結角色的其他 服務的資訊，請參閱服務連結角色欄中AWS 與 搭配使用的服務IAM，並尋找具有 Yes 的服務。選擇具有連結的是，以檢視該服務的服務連結角色文件。

CloudWatch 警示EC2動作的服務連結角色許可

CloudWatch 使用名為 AWSServiceRoleForCloudWatchEvents 的服務連結角色， CloudWatch 使用此服務連結角色來執行 Amazon EC2警示動作。

AWSServiceRoleForCloudWatchEvents 服務連結角色信任 CloudWatch Events 服務擔任該角色。CloudWatch 當警示呼叫 時，事件會叫用終止、停止或重新啟動執行個體動作。

AWSServiceRoleForCloudWatchEvents 服務連結角色許可政策允許 CloudWatch Events 在 Amazon EC2執行個體上完成下列動作：

AWSServiceRoleForCloudWatchCrossAccount 服務連結角色許可政策允許 CloudWatch 完成下列動作：

CloudWatch Application Signals 的服務連結角色許可

CloudWatch Application Signals 使用名為 的服務連結角色 AWSServiceRoleForCloudWatchApplicationSignals – CloudWatch 使用此服務連結角色，從您已啟用 CloudWatch Application Signals 的應用程式收集 CloudWatch 日誌資料、X-Ray 追蹤資料、 CloudWatch 指標資料和標記資料。

AWSServiceRoleForCloudWatchApplicationSignals 服務連結角色信任 CloudWatch Application Signals 擔任該角色。Application Signals 會從您的帳戶中收集日誌、追蹤、指標和標記資料。

AWSServiceRoleForCloudWatchApplicationSignals 已連接IAM政策，此政策名為 CloudWatchApplicationSignalsServiceRolePolicy。此政策授予 CloudWatch Application Signals 許可，以從其他相關 AWS 服務收集監控和標記資料。它包含允許 Application Signals 完成下列動作的許可：

的完整內容CloudWatchApplicationSignalsServiceRolePolicy如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "XRayPermission",
            "Effect": "Allow",
            "Action": [
                "xray:GetServiceGraph"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWLogsPermission",
            "Effect": "Allow",
            "Action": [
                "logs:StartQuery",
                "logs:GetQueryResults"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
                "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWListMetricsPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "CWGetMetricDataPermission",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "TagsPermission",
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

CloudWatch 警示 Systems Manager OpsCenter 動作的服務連結角色許可

CloudWatch 使用名為 AWSServiceRoleForCloudWatchAlarms_ActionSSM 的服務連結角色 – CloudWatch 使用此服務連結角色，在 CloudWatch 警示進入 ALARM 狀態時執行 Systems Manager OpsCenter 動作。

AWSServiceRoleForCloudWatchAlarms_ActionSSM 服務連結角色信任CloudWatch 服務擔任 role. CloudWatch alarms 在警示呼叫時呼叫 Systems Manager OpsCenter 動作。

AWSServiceRoleForCloudWatchAlarms_ActionSSM 服務連結角色許可政策允許 Systems Manager 完成下列動作：

CloudWatch 警示 Systems Manager Incident Manager 動作的服務連結角色許可

CloudWatch 使用名為 AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents 的服務連結角色 – CloudWatch 使用此服務連結角色，在 CloudWatch 警示進入 ALARM 狀態時啟動 Incident Manager 事件。

AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents 服務連結角色信任 CloudWatch 服務在警示呼叫時擔任 role. CloudWatch alarms 調用 Systems Manager Incident Manager 動作。

AWSServiceRoleForCloudWatchAlarms_服務ctionSSMIncidents連結角色許可政策允許 Systems Manager 完成下列動作：

CloudWatch 跨帳戶跨區域的服務連結角色許可

CloudWatch 使用名為 的服務連結角色AWSServiceRoleForCloudWatchCrossAccount： CloudWatch 使用此角色來存取您指定之其他 AWS 帳戶中 CloudWatch 的資料。SLR 僅提供擔任角色的許可，以允許 CloudWatch 服務擔任共用帳戶中的角色。它是提供資料存取的共享角色。

AWSServiceRoleForCloudWatchCrossAccount 服務連結角色許可政策允許 CloudWatch 完成下列動作：

AWSServiceRoleForCloudWatchCrossAccount 服務連結角色信任 CloudWatch 服務擔任該角色。

CloudWatch 資料庫 Performance Insights 的服務連結角色許可

CloudWatch 使用名為 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 的服務連結角色。– CloudWatch 使用此角色來擷取 Performance Insights 指標，以建立警示和快照。

AWSServiceRoleForCloudWatchMetrics_DbPerfInsights service-linked 角色已連接AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicyIAM政策。該政策的內容如下：

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

AWSServiceRoleForCloudWatchMetrics_DbPerfInsights service-linked 角色信任 CloudWatch 服務擔任該角色。

為 建立服務連結角色 CloudWatch

您不需要手動建立任何這些服務連結角色。當您第一次在 AWS Management Console、 IAM CLI或 IAM 中建立警示時API， 會為您CloudWatch 建立 AWSServiceRoleForCloudWatchEvents 和 AWSServiceRoleForCloudWatchAlarms_ActionSSM。

第一次啟用服務和拓撲探索時，Application Signals AWSServiceRoleForCloudWatchApplicationSignals會為您建立。

當您第一次啟用 帳戶做為跨帳戶跨區域功能的監控帳戶時， AWSServiceRoleForCloudWatchCrossAccount會為您 CloudWatch 建立 。

當您第一次建立使用DB_PERF_INSIGHTS指標數學函數的警示時， 會為您 CloudWatch 建立 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights。

如需詳細資訊，請參閱 IAM 使用者指南 中的建立服務連結角色。

編輯 的服務連結角色 CloudWatch

CloudWatch 不允許您編輯 AWSServiceRoleForCloudWatchEvents、AWSServiceRoleForCloudWatchAlarms_Action SSM、 AWSServiceRoleForCloudWatchCrossAccount或 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights 角色。在您建立這些角色之後，您便無法變更其名稱，因為各種實體可能會參考這些角色。不過，您可以使用 編輯這些角色的描述IAM。

編輯服務連結角色描述 （IAM 主控台）

您可以使用IAM主控台編輯服務連結角色的描述。

編輯服務連結角色描述 (AWS CLI)

您可以使用 的IAM命令 AWS Command Line Interface 來編輯服務連結角色的描述。

編輯服務連結角色描述 （IAMAPI）

您可以使用 IAM API 編輯服務連結角色的描述。

刪除 的服務連結角色 CloudWatch

如果您不再有自動停止、終止或重新啟動EC2執行個體的警示，建議您刪除角色 AWSServiceRoleForCloudWatchEvents。

如果您不再有執行 Systems Manager OpsCenter 動作的警示，建議您刪除 AWSServiceRoleForCloudWatchAlarms_ActionSSM 角色。

如果您刪除使用DB_PERF_INSIGHTS指標數學函數的所有警示，建議您刪除 AWSServiceRoleForCloudWatchMetrics_DbPerfInsights service-linked 角色。

如此一來，您就沒有未主動監控或維護的未使用實體。然而，務必清除您的服務連結角色，之後才能將其刪除。

清除服務連結角色

您必須先確認角色沒有作用中工作階段，並移除角色使用的任何資源，才能使用 IAM刪除服務連結角色。

刪除服務連結角色 （IAM 主控台）

您可以使用IAM主控台刪除服務連結角色。

刪除服務連結角色 (AWS CLI)

您可以使用 的IAM命令 AWS Command Line Interface 來刪除服務連結角色。

刪除服務連結角色 （IAMAPI）

您可以使用 IAMAPI刪除服務連結角色。

CloudWatch AWS 服務連結角色的更新

檢視自此服務開始追蹤這些變更 CloudWatch 以來， 受 AWS 管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 CloudWatch 文件歷史記錄頁面上的RSS摘要。