Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von dienstverknüpften Rollen für CloudWatch

Amazon CloudWatch verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine serviceverknüpfte Rolle ist eine einzigartige Art von IAM-Rolle, mit der direkt verknüpft ist. CloudWatch Service-linked Rollen sind von vordefiniert CloudWatch und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

Eine serviceverknüpfte Rolle in CloudWatch ermöglicht das Einrichten von CloudWatch Alarmen, mit denen eine Amazon EC2-Instance beendet, gestoppt oder neu gestartet werden kann, ohne dass Sie die erforderlichen Berechtigungen manuell hinzufügen müssen. Eine andere serviceverknüpfte Rolle ermöglicht es einem Überwachungskonto, auf CloudWatch-Daten von anderen von Ihnen angegebenen Konten zuzugreifen, um konten- und regionenübergreifende Dashboards zu erstellen.

CloudWatch definiert die Berechtigungen dieser serviceverknüpften Rollen. Sofern nicht anders definiert, CloudWatch kann nur diese Rolle übernommen werden. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Sie können die Rollen nur nach dem Löschen der zugehörigen Ressourcen löschen. Diese Einschränkung schützt Ihre CloudWatch Ressourcen, da Sie die Zugriffsberechtigungen für die Ressourcen nicht versehentlich entfernen können.

Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter AWS Dienste, die mit IAM funktionieren. Suchen Sie nach den Diensten, für die in der Spalte Rolle die Option Ja angegeben ist. Service-Linked Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Service-linked Rollenberechtigungen für CloudWatch Alarme, EC2-Aktionen

CloudWatch verwendet die serviceverknüpfte Rolle namens AWSServiceRoleForCloudWatchEvents — CloudWatch verwendet diese serviceverknüpfte Rolle, um Amazon EC2-Alarmaktionen auszuführen.

Die AWSServiceRoleForCloudWatchEvents serviceverknüpfte Rolle vertraut darauf, dass der CloudWatch Events-Service die Rolle übernimmt. CloudWatch Events ruft die Aktionen zum Beenden, Stoppen oder Neustarten der Instanz auf, wenn der Alarm dazu aufgerufen wird.

Die Richtlinie für AWSServiceRoleForCloudWatchEvents dienstbezogene Rollenberechtigungen ermöglicht es CloudWatch Events, die folgenden Aktionen auf Amazon EC2-Instances durchzuführen:

Die Berechtigungsrichtlinie für ServiceRoleForCloudWatchCrossAccountV2 Servicerollen ermöglicht CloudWatch das Ausführen der folgenden Aktionen:

Service-linked Rollenberechtigungen für die CloudWatch Telemetriekonfiguration

CloudWatch Observability Admin erstellt und verwendet eine serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForObservabilityAdmin — CloudWatch verwendet diese serviceverknüpfte Rolle, um die Erkennung von Ressourcen und Telemetriekonfigurationen für Organisationen zu unterstützen. AWS Wenn ein Verwaltungskonto eine Regel auf Organisationsebene erstellt, wird die serviceverknüpfte Rolle automatisch in allen Mitgliedskonten und im delegierten Administratorkonto in der Organisation erstellt. Wenn jedoch ein delegiertes Administratorkonto eine Regel auf Organisationsebene erstellt, wird die dienstverknüpfte Rolle automatisch in allen Mitgliedskonten erstellt, jedoch nicht automatisch im Verwaltungskonto. Wenn ein delegiertes Administratorkonto die Regel auf Organisationsebene erstellt, müssen Sie die dienstverknüpfte Rolle im Verwaltungskonto manuell erstellen.

Die AWSServiceRoleForObservabilityAdmin dienstgebundene Rolle vertraut darauf, dass Observability Admin die Rolle übernimmt. Observability Admin verwaltet AWS Config Service Linked Configuration Recorders und Service Linked Configuration Aggregator in Ihren Organizations-Konten.

Der AWSServiceRoleForObservabilityAdmin dienstverknüpften Rolle ist eine Richtlinie namens und angehängt AWSObservabilityAdminServiceRolePolicy, und diese Richtlinie gewährt CloudWatch Observability Admin die Erlaubnis, die folgenden Aktionen durchzuführen:

Der vollständige Inhalt der AWSObservabilityAdminServiceRolePolicy Richtlinie lautet wie folgt:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Service-linked Rollenberechtigungen für die Aktivierung der CloudWatch Telemetrie

AWSObservabilityAdminTelemetryEnablementServiceRolePolicy gewährt die erforderlichen Berechtigungen, um Telemetriekonfigurationen für AWS -Ressourcen auf der Grundlage von Telemetrieregeln zu aktivieren und zu verwalten.

Diese Richtlinie gewährt Berechtigungen für:

Die Richtlinie setzt Sicherheitsgrenzen mit Bedingungen durch, die:

Den vollständigen Inhalt der AWSObservabilityAdminTelemetryEnablementServiceRolePolicy Richtlinie finden Sie hier:. AWSObservabilityAdminTelemetryEnablementServiceRolePolicy

Service-linked Rollenberechtigungen für CloudWatch Anwendungssignale

CloudWatch Application Signals verwendet die dienstverknüpfte Rolle namens AWSServiceRoleForCloudWatchApplicationSignals — CloudWatch verwendet diese dienstverknüpfte Rolle, um CloudWatch Protokolldaten, X-Ray Trace-Daten, CloudWatch Metrikdaten und Tagging-Daten von Anwendungen zu sammeln, die Sie für CloudWatch Application Signals aktiviert haben.

Die AWSServiceRoleForCloudWatchApplicationSignals serviceverknüpfte Rolle vertraut darauf, dass CloudWatch Application Signals die Rolle übernimmt. Application Signals erfasst die Protokoll-, Trace-, Metrik- und Tag-Daten aus Ihrem Konto.

An die AWSServiceRoleForCloudWatchApplicationSignals ist eine IAM-Richtlinie angehängt, und diese Richtlinie hat einen Namen. CloudWatchApplicationSignalsServiceRolePolicy Diese Richtlinie erteilt CloudWatch Application Signals die Erlaubnis, Überwachungs- und Tagging-Daten von anderen relevanten AWS Diensten zu sammeln. Sie enthält Berechtigungen, die Application Signals die folgenden Aktionen ermöglichen:

Der vollständige Inhalt von lautet wie CloudWatchApplicationSignalsServiceRolePolicy folgt:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Service-linked Rollenberechtigungen für CloudWatch Alarme, Systems OpsCenter Manager-Aktionen

CloudWatch verwendet die dienstverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchAlarms _ActionsSM — CloudWatch verwendet diese dienstverknüpfte Rolle, um Systems OpsCenter Manager-Aktionen auszuführen, wenn ein CloudWatch Alarm in den ALARM-Status wechselt.

Die dienstverknüpfte AWSServiceRoleForCloudWatchAlarms _ActionsSM-Rolle vertraut darauf, dass der Dienst die Rolle übernimmt. CloudWatch CloudWatch Alarme rufen die Systems OpsCenter Manager-Aktionen auf, wenn sie durch den Alarm ausgelöst werden.

Mithilfe der dienstverknüpften Rollenberechtigungsrichtlinie AWSServiceRoleForCloudWatchAlarms _actionsSM kann Systems Manager die folgenden Aktionen ausführen:

Service-linked Rollenberechtigungen für CloudWatch Alarme (Systems Manager, Incident Manager-Aktionen)

CloudWatch verwendet die serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchAlarms _actionssminIncidents — CloudWatch verwendet diese dienstbezogene Rolle, um Incident Manager-Incidents zu starten, wenn ein Alarm in den ALARM-Zustand übergeht. CloudWatch

Die serviceverknüpfte Rolle AWSServiceRoleForCloudWatchAlarms _ActionssmIncidents vertraut darauf, dass der Dienst die Rolle übernimmt. CloudWatch CloudWatch Alarme rufen die Systems Manager Incident Manager-Aktion auf, wenn sie durch den Alarm ausgelöst werden.

Mithilfe der dienstverknüpften Rollenberechtigungsrichtlinie AWSServiceRoleForCloudWatchAlarms _actionssmIncidents kann Systems Manager die folgenden Aktionen ausführen:

Dienstrollenberechtigungen für kontoübergreifende, regionsübergreifende Berechtigungen CloudWatch

CloudWatch verwendet die benannte Servicerolle ServiceRoleForCloudWatchCrossAccountV2 — CloudWatch verwendet diese Rolle, um auf CloudWatch Daten in anderen von Ihnen AWS angegebenen Konten zuzugreifen. Die Spiegelreflexkamera gewährt lediglich die Berechtigung „Rolle übernehmen“, damit der CloudWatch Dienst die Rolle im gemeinsamen Konto übernehmen kann. Es ist die Freigaberolle, die den Zugriff auf Daten ermöglicht.

Die Berechtigungsrichtlinie für ServiceRoleForCloudWatchCrossAccountV2 Servicerollen ermöglicht CloudWatch es, die folgenden Aktionen durchzuführen:

Die ServiceRoleForCloudWatchCrossAccountV2 Servicerolle vertraut darauf, dass der CloudWatch Dienst die Rolle übernimmt.

Service-linked Rollenberechtigungen für die CloudWatch Datenbank Performance Insights

CloudWatch verwendet die serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights — CloudWatch verwendet diese Rolle, um Performance Insights-Metriken für die Erstellung von Alarmen und Snapshots abzurufen.

An die DbPerfInsights serviceverknüpfte Rolle AWSServiceRoleForCloudWatchMetrics _ ist die IAM-Richtlinie AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy angehängt. Der Inhalt dieser Richtlinie lautet wie folgt:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Die DbPerfInsights dienstverknüpfte Rolle AWSServiceRoleForCloudWatchMetrics _ vertraut darauf, dass der CloudWatch Dienst die Rolle übernimmt.

Service-linked Rollenberechtigungen für die Zentralisierung von Protokollen CloudWatch

Die wird AWSObservabilityAdminLogsCentralizationServiceRolePolicy an die entsprechende IAM-Entität in Ihrem zentralen Verwaltungskonto angehängt, z. B. an die CloudWatch Servicerolle —, um die erforderlichen Berechtigungen für die Einrichtung und Verwaltung der zentralen Protokollerfassung zu gewähren. CloudWatch verwendet diese Rolle, um auf Telemetriedaten von anderen AWS Konten zuzugreifen, die Sie angeben, um CloudWatch Protokollgruppen zu erstellen, Streams zu protokollieren und Ereignisse im Überwachungskonto Ihrer Organisation zu protokollieren. Die SLR gewährt lediglich die Berechtigung „Rolle übernehmen“, damit der CloudWatch Dienst die Rolle im Überwachungskonto übernehmen kann. Diese Richtlinie wird automatisch angehängt, wenn Sie die zentrale Protokollerfassung mithilfe von einrichten. AWS-Managementkonsole Wenn Sie die AWS CLI oder API verwenden, um die Protokollzentralisierung zu konfigurieren, müssen Sie diese Richtlinie manuell an die IAM-Rolle anhängen, die für Observability-Verwaltungsaufgaben verwendet wird.

Die Richtlinie für AWSObservabilityAdminLogsCentralizationServiceRolePolicy dienstbezogene Rollenberechtigungen ermöglicht die Ausführung der CloudWatch folgenden Aktionen:

Die serviceverknüpfte Rolle AWSObservabilityAdminLogsCentralizationServiceRolePolicy vertraut dem Service logs-centralization.observabilityadmin.amazonaws.com, sodass dieser die Rolle annehmen kann.

Erstellen einer dienstverknüpften Rolle für CloudWatch

Sie müssen keine dieser serviceverknüpften Rollen manuell erstellen. Wenn Sie zum ersten Mal einen Alarm in der erstellen AWS-Managementkonsole, erstellt die IAM-CLI oder die IAM-API CloudWatch eine AWSServiceRoleForCloudWatchEvents AWSServiceRoleForCloudWatchAlarms _ActionsSM für Sie.

Wenn Sie die Service- und Topologieerkennung zum ersten Mal aktivieren, erstellt Application Signals diese für Sie. AWSServiceRoleForCloudWatchApplicationSignals

Wenn Sie ein Konto zum ersten Mal als Überwachungskonto für kontoübergreifende regionsübergreifende Funktionen aktivieren, CloudWatch wird das für Sie erstellt ServiceRoleForCloudWatchCrossAccountV2.

Wenn Sie zum ersten Mal einen Alarm erstellen, der die DB_PERF_INSIGHTS metrische mathematische Funktion verwendet, CloudWatch wird AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights für Sie erstellt.

Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Erstellen einer Service-Linked Rolle.

Bearbeiten einer serviceverknüpften Rolle für CloudWatch

CloudWatch ermöglicht es Ihnen nicht AWSServiceRoleForCloudWatchEvents, die Rollen, AWSServiceRoleForCloudWatchAlarms _ActionsSM oder _ zu bearbeiten. ServiceRoleForCloudWatchCrossAccountV2 AWSServiceRoleForCloudWatchMetrics DbPerfInsights Nachdem Sie diese Rollen erstellt haben, können Sie ihre Namen nicht ändern, da verschiedene Entitäten möglicherweise auf diese Rollen verweisen. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten.

Bearbeiten der Beschreibung einer serviceverknüpften Rolle (IAM-Konsole)

Sie können die IAM-Konsole für das Bearbeiten der Beschreibung einer serviceverknüpften Rolle verwenden.

Bearbeitung einer dienstverknüpften Rollenbeschreibung (AWS CLI)

Sie können die IAM-Befehle von verwenden, AWS Command Line Interface um die Beschreibung einer dienstverknüpften Rolle zu bearbeiten.

Bearbeiten der Beschreibung einer serviceverknüpften Rolle (IAM-API)

Sie können die IAM-API für das Bearbeiten der Beschreibung einer serviceverknüpften Rolle verwenden.

Löschen einer dienstverknüpften Rolle für CloudWatch

Wenn Sie keine Alarme mehr haben, die EC2-Instances automatisch beenden, beenden oder neu starten, empfehlen wir Ihnen, die Rolle zu löschen. AWSServiceRoleForCloudWatchEvents

Wenn Sie keine Alarme mehr haben, die Systems OpsCenter Manager-Aktionen ausführen, empfehlen wir, die AWSServiceRoleForCloudWatchAlarms _ActionsSM-Rolle zu löschen.

Wenn Sie alle Alarme löschen, die die DB_PERF_INSIGHTS metrische mathematische Funktion verwenden, empfehlen wir, die service-verknüpfte Rolle AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights zu löschen.

Auf diese Weise haben Sie keine ungenutzte Entität, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch Ihre serviceverknüpfte Rolle zunächst bereinigen, bevor Sie sie löschen können.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie mit IAM eine serviceverknüpfte Rolle löschen können, müssen Sie sich zunächst vergewissern, dass die Rolle über keine aktiven Sitzungen verfügt, und alle Ressourcen entfernen, die von der Rolle verwendet werden.

Löschen einer serviceverknüpften Rolle (IAM-Konsole)

Sie können die IAM-Konsole für das Löschen einer serviceverknüpften Rolle verwenden.

Löschen einer dienstverknüpften Rolle (AWS CLI)

Sie können IAM-Befehle von verwenden, um eine AWS Command Line Interface dienstverknüpfte Rolle zu löschen.

Löschen einer serviceverknüpften Rolle (IAM-API)

Sie können die IAM-API zum Löschen einer serviceverknüpften Rolle verwenden.

CloudWatch Aktualisierungen zu AWS Serviceverknüpfte Rollen

Hier finden Sie Informationen zu Aktualisierungen AWS verwalteter Richtlinien, die CloudWatch seit Beginn der Erfassung dieser Änderungen durch diesen Dienst vorgenommen wurden. Abonnieren Sie den RSS-Feed auf der Seite CloudWatch Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.