Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von serviceverknüpften Rollen für CloudWatch

Amazon CloudWatch verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine serviceverknüpfte Rolle ist eine einzigartige Art von IAM-Rolle, mit der direkt verknüpft ist. CloudWatch Service-linked Rollen sind von vordefiniert CloudWatch und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

Eine servicebezogene Rolle CloudWatch ermöglicht das Einrichten von CloudWatch Alarmen, mit denen eine Amazon EC2 EC2-Instance beendet, gestoppt oder neu gestartet werden kann, ohne dass Sie die erforderlichen Berechtigungen manuell hinzufügen müssen. Eine andere serviceverknüpfte Rolle ermöglicht es einem Überwachungskonto, auf CloudWatch-Daten von anderen von Ihnen angegebenen Konten zuzugreifen, um konten- und regionenübergreifende Dashboards zu erstellen.

CloudWatch definiert die Berechtigungen dieser serviceverknüpften Rollen und CloudWatch kann, sofern nicht anders definiert, nur die Rolle übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Sie können die Rollen nur nach dem Löschen der zugehörigen Ressourcen löschen. Diese Einschränkung schützt Ihre CloudWatch Ressourcen, da Sie die Berechtigungen für den Zugriff auf die Ressourcen nicht versehentlich entfernen können.

Informationen zu anderen Diensten, die dienstbezogene Rollen unterstützen, finden Sie unter AWS Dienste, die mit IAM funktionieren. Suchen Sie in der Spalte Rolle nach den Diensten, für die Ja steht. Service-Linked Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Service-linked Rollen, Berechtigungen für CloudWatch Alarme, EC2-Aktionen

CloudWatch verwendet die serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchEvents— CloudWatch verwendet diese serviceverknüpfte Rolle, um Amazon EC2 EC2-Alarmaktionen durchzuführen.

Die AWSServiceRoleForCloudWatchEvents serviceverknüpfte Rolle vertraut darauf, dass der CloudWatch Events-Service die Rolle übernimmt. CloudWatch Events ruft die Aktionen zum Beenden, Stoppen oder Neustarten der Instance auf, wenn sie durch den Alarm ausgelöst werden.

Die Richtlinie für AWSServiceRoleForCloudWatchEvents servicebezogene Rollenberechtigungen ermöglicht es CloudWatch Events, die folgenden Aktionen auf Amazon EC2 EC2-Instances durchzuführen:

Die Richtlinie für Berechtigungen für ServiceRoleForCloudWatchCrossAccountV2Servicerollen ermöglicht CloudWatch die Durchführung der folgenden Aktionen:

Service-linked Rollenberechtigungen für CloudWatch Telemetriekonfiguration

CloudWatch observability admin erstellt und verwendet eine dienstverknüpfte Rolle mit dem Namen AWSServiceRoleForObservabilityAdmin— CloudWatch verwendet diese dienstverknüpfte Rolle, um die Erkennung von Ressourcen- und Telemetriekonfigurationen für Organizations zu unterstützen. AWS Die Rolle wird in allen Mitgliedskonten der Organisation erstellt.

Die AWSServiceRoleForObservabilityAdmindienstbezogene Rolle vertraut darauf, dass Observability Admin die Rolle übernimmt. Observability Admin verwaltet AWS Config Service Linked Configuration Recorders und Service Linked Configuration Aggregator in Ihren Organizations-Konten.

Der AWSServiceRoleForObservabilityAdmindienstbezogenen Rolle ist eine Richtlinie zugeordnet, die aufgerufen AWSObservabilityAdminServiceRolePolicy und angehängt ist. Diese Richtlinie erteilt dem CloudWatch Observability-Administrator die Erlaubnis, die folgenden Aktionen durchzuführen:

Der vollständige Inhalt der AWSObservabilityAdminServiceRolePolicy Richtlinie lautet wie folgt:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Service-linked Rollenberechtigungen für die CloudWatch Telemetrieaktivierung

AWSObservabilityAdminTelemetryEnablementServiceRolePolicy gewährt die erforderlichen Berechtigungen, um Telemetriekonfigurationen für AWS -Ressourcen auf der Grundlage von Telemetrieregeln zu aktivieren und zu verwalten.

Diese Richtlinie gewährt Berechtigungen für:

Die Richtlinie setzt Sicherheitsgrenzen mit Bedingungen durch, die:

Den vollständigen Inhalt der AWSObservabilityAdminTelemetryEnablementServiceRolePolicy Richtlinie finden Sie hier:. AWSObservabilityAdminTelemetryEnablementServiceRolePolicy

Service-linked Rollenberechtigungen für CloudWatch Anwendungssignale

CloudWatch Application Signals verwendet die dienstbezogene Rolle mit dem Namen AWSServiceRoleForCloudWatchApplicationSignals— CloudWatch verwendet diese dienstbezogene Rolle, um CloudWatch Logdaten, X-Ray Trace-Daten, CloudWatch Metrikdaten und Tagging-Daten von Anwendungen zu sammeln, die Sie für CloudWatch Application Signals aktiviert haben.

Die AWSServiceRoleForCloudWatchApplicationSignalsdienstverknüpfte Rolle vertraut darauf, dass CloudWatch Application Signals die Rolle übernimmt. Application Signals erfasst die Protokoll-, Trace-, Metrik- und Tag-Daten aus Ihrem Konto.

Der AWSServiceRoleForCloudWatchApplicationSignalsist eine IAM-Richtlinie angehängt, und diese Richtlinie trägt den Namen. CloudWatchApplicationSignalsServiceRolePolicy Diese Richtlinie erteilt CloudWatch Application Signals die Erlaubnis, Überwachungs- und Tagging-Daten von anderen relevanten AWS Diensten zu sammeln. Sie enthält Berechtigungen, die Application Signals die folgenden Aktionen ermöglichen:

Der vollständige Inhalt von lautet wie CloudWatchApplicationSignalsServiceRolePolicyfolgt:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Service-linked Rollenberechtigungen für CloudWatch Alarme Systems Manager OpsCenter Manager-Aktionen

CloudWatch verwendet die dienstverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchAlarms_ActionsSM — CloudWatch verwendet diese dienstverknüpfte Rolle, um Systems Manager OpsCenter Manager-Aktionen auszuführen, wenn ein CloudWatch Alarm in den ALARM-Status wechselt.

Die dienstverknüpfte AWSServiceRoleForCloudWatchAlarms Rolle _ActionSSM vertraut darauf, dass der Dienst die Rolle übernimmt. CloudWatch CloudWatch Alarme rufen die Systems Manager OpsCenter Manager-Aktionen auf, wenn sie vom Alarm ausgelöst werden.

Die mit dem Dienst verknüpfte Rollenberechtigungsrichtlinie AWSServiceRoleForCloudWatchAlarms_ActionsSM ermöglicht es Systems Manager, die folgenden Aktionen durchzuführen:

Service-linked Rollenberechtigungen für CloudWatch Alarme, Systems Manager Incident Manager-Aktionen

CloudWatch verwendet die serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchAlarms_ActionsSMIncidents — CloudWatch verwendet diese dienstbezogene Rolle, um Incident Manager-Vorfälle zu starten, wenn ein Alarm in den ALARM-Status wechselt. CloudWatch

Die mit dem Dienst verknüpfte AWSServiceRoleForCloudWatchAlarmsRolle _ActionssMincidents vertraut darauf, dass der Dienst die Rolle übernimmt. CloudWatch CloudWatch Alarme rufen die Aktion Systems Manager Incident Manager auf, wenn sie vom Alarm ausgelöst werden.

Die mit dem Dienst verknüpfte Rollenberechtigungsrichtlinie AWSServiceRoleForCloudWatchAlarms_ActionsSMIncidents ermöglicht es Systems Manager, die folgenden Aktionen durchzuführen:

Servicerollenberechtigungen für kontoübergreifende, regionsübergreifende CloudWatch

CloudWatch verwendet die angegebene Servicerolle ServiceRoleForCloudWatchCrossAccountV2— CloudWatch verwendet diese Rolle, um auf CloudWatch Daten in anderen von Ihnen AWS angegebenen Konten zuzugreifen. Die SLR gewährt lediglich die Berechtigung „Rolle übernehmen“, damit der CloudWatch Dienst die Rolle im Sharing-Konto übernehmen kann. Es ist die Freigaberolle, die den Zugriff auf Daten ermöglicht.

Die Richtlinie für Berechtigungen für ServiceRoleForCloudWatchCrossAccountV2Dienstrollen ermöglicht CloudWatch das Ausführen der folgenden Aktionen:

Die ServiceRoleForCloudWatchCrossAccountV2Servicerolle vertraut darauf, dass der CloudWatch Dienst die Rolle übernimmt.

Service-linked Rollenberechtigungen für CloudWatch Datenbank Performance Insights

CloudWatch verwendet die serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchMetrics_ DbPerfInsights — CloudWatch verwendet diese Rolle, um Performance Insights Insights-Metriken für die Erstellung von Alarmen und Snapshots abzurufen.

Der DbPerfInsights serviceverknüpften Rolle AWSServiceRoleForCloudWatchMetrics_ ist die IAM-Richtlinie AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy angehängt. Der Inhalt dieser Richtlinie lautet wie folgt:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Die mit AWSServiceRoleForCloudWatchMetricsdem DbPerfInsights Dienst verknüpfte Rolle vertraut darauf, dass der CloudWatch Dienst die Rolle übernimmt.

Service-linked Rollenberechtigungen für die Zentralisierung von Protokollen CloudWatch

Die wird AWSObservabilityAdminLogsCentralizationServiceRolePolicyan die entsprechende IAM-Entität in Ihrem zentralen Verwaltungskonto angehängt, z. B. die CloudWatch Dienstrolle —, um die erforderlichen Berechtigungen für die Einrichtung und Verwaltung der zentralen Protokollerfassung zu gewähren. CloudWatch verwendet diese Rolle, um auf Telemetriedaten von anderen AWS Konten zuzugreifen, die Sie angeben, um CloudWatch Protokollgruppen, Protokollstreams und Protokollereignisse im Überwachungskonto Ihrer Organisation zu erstellen. Der SLR gewährt lediglich die Berechtigung „Rolle übernehmen“, damit der CloudWatch Dienst die Rolle im Überwachungskonto übernehmen kann. Diese Richtlinie wird automatisch angehängt, wenn Sie die zentrale Protokollerfassung mithilfe von einrichten. AWS-Managementkonsole Wenn Sie die API AWS CLI oder verwenden, um die Protokollzentralisierung zu konfigurieren, müssen Sie diese Richtlinie manuell an die IAM-Rolle anhängen, die für Observability-Verwaltungsaufgaben verwendet wird.

Die mit dem AWSObservabilityAdminLogsCentralizationServiceRolePolicyDienst verknüpfte Rollenberechtigungsrichtlinie ermöglicht die Durchführung der CloudWatch folgenden Aktionen:

Die serviceverknüpfte Rolle AWSObservabilityAdminLogsCentralizationServiceRolePolicy vertraut dem Service logs-centralization.observabilityadmin.amazonaws.com, sodass dieser die Rolle annehmen kann.

Erstellen einer dienstbezogenen Rolle für CloudWatch

Sie müssen keine dieser serviceverknüpften Rollen manuell erstellen. Wenn Sie zum ersten Mal einen Alarm in der AWS-Managementkonsole, der IAM-CLI oder der IAM-API erstellen, CloudWatch erstellt eine AWSServiceRoleForCloudWatchEvents AWSServiceRoleForCloudWatchAlarms_ActionsSM für Sie.

Wenn Sie die Service- und Topologieerkennung zum ersten Mal aktivieren, erstellt Application Signals für Sie. AWSServiceRoleForCloudWatchApplicationSignals

Wenn Sie ein Konto zum ersten Mal als Überwachungskonto für kontenübergreifende regionsübergreifende Funktionen aktivieren, CloudWatch erstellt ServiceRoleForCloudWatchCrossAccountV2es für Sie.

Wenn Sie zum ersten Mal einen Alarm erstellen, der die DB_PERF_INSIGHTS metrische mathematische Funktion verwendet, CloudWatch wird AWSServiceRoleForCloudWatchMetrics_ DbPerfInsights für Sie erstellt.

Weitere Informationen finden Sie unter Creating a Service-Linked Role im IAM-Benutzerhandbuch.

Bearbeiten einer serviceverknüpften Rolle für CloudWatch

CloudWatch erlaubt es Ihnen nicht AWSServiceRoleForCloudWatchEvents, die Rollen, AWSServiceRoleForCloudWatchAlarms_ActionsSM ServiceRoleForCloudWatchCrossAccountV2, oder _ zu bearbeiten. AWSServiceRoleForCloudWatchMetrics DbPerfInsights Nachdem Sie diese Rollen erstellt haben, können Sie ihre Namen nicht ändern, da verschiedene Entitäten möglicherweise auf diese Rollen verweisen. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten.

Bearbeiten der Beschreibung einer serviceverknüpften Rolle (IAM-Konsole)

Sie können die IAM-Konsole für das Bearbeiten der Beschreibung einer serviceverknüpften Rolle verwenden.

Bearbeiten einer mit einem Dienst verknüpften Rollenbeschreibung (AWS CLI)

Sie können IAM-Befehle aus dem verwenden, AWS Command Line Interface um die Beschreibung einer serviceverknüpften Rolle zu bearbeiten.

Bearbeiten der Beschreibung einer serviceverknüpften Rolle (IAM-API)

Sie können die IAM-API für das Bearbeiten der Beschreibung einer serviceverknüpften Rolle verwenden.

Löschen einer dienstbezogenen Rolle für CloudWatch

Wenn Sie keine Alarme mehr haben, die EC2-Instances automatisch beenden, beenden oder neu starten, empfehlen wir Ihnen, die Rolle zu löschen. AWSServiceRoleForCloudWatchEvents

Wenn Sie keine Alarme mehr haben, die Systems Manager OpsCenter Manager-Aktionen ausführen, empfehlen wir, die Rolle AWSServiceRoleForCloudWatchAlarms _ActionsSM zu löschen.

Wenn Sie alle Alarme löschen, die die mathematische DB_PERF_INSIGHTS Metrikfunktion verwenden, empfehlen wir, die mit dem Dienst verknüpfte Rolle AWSServiceRoleForCloudWatchMetrics_ DbPerfInsights zu löschen.

Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch Ihre serviceverknüpfte Rolle zunächst bereinigen, bevor Sie sie löschen können.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie mit IAM eine serviceverknüpfte Rolle löschen können, müssen Sie sich zunächst vergewissern, dass die Rolle über keine aktiven Sitzungen verfügt, und alle Ressourcen entfernen, die von der Rolle verwendet werden.

Löschen einer serviceverknüpften Rolle (IAM-Konsole)

Sie können die IAM-Konsole für das Löschen einer serviceverknüpften Rolle verwenden.

Löschen einer mit einem Dienst verknüpften Rolle (AWS CLI)

Sie können IAM-Befehle von verwenden, um eine AWS Command Line Interface dienstverknüpfte Rolle zu löschen.

Löschen einer serviceverknüpften Rolle (IAM-API)

Sie können die IAM-API zum Löschen einer serviceverknüpften Rolle verwenden.

CloudWatch Aktualisierungen für AWS Serviceverknüpfte Rollen

Hier finden Sie Informationen zu Aktualisierungen der AWS verwalteten Richtlinien CloudWatch seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst. Abonnieren Sie den RSS-Feed auf der Seite CloudWatch Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.