Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di ruoli collegati ai servizi per CloudWatch

Amazon CloudWatch utilizza ruoli collegati ai servizi AWS Identity and Access Management (IAM). Un ruolo collegato ai servizi è un tipo unico di ruolo IAM a cui è collegato direttamente. CloudWatch Service-linked i ruoli sono predefiniti CloudWatch e includono tutte le autorizzazioni richieste dal servizio per chiamare altri AWS servizi per conto dell'utente.

Un ruolo collegato ai servizi CloudWatch consente di configurare CloudWatch allarmi in grado di terminare, arrestare o riavviare un'istanza Amazon EC2 senza dover aggiungere manualmente le autorizzazioni necessarie. Un altro ruolo collegato ai servizi consente a un account di monitoraggio di accedere ai dati CloudWatch da altri account specificati, per creare pannelli di controllo su più account tra più regioni.

CloudWatch definisce le autorizzazioni di questi ruoli collegati ai servizi e, se non diversamente definito, può solo assumere il ruolo. CloudWatch Le autorizzazioni definite includono la policy di trust e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un’altra entità IAM.

È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. Questa restrizione protegge CloudWatch le tue risorse perché non puoi rimuovere inavvertitamente le autorizzazioni di accesso alle risorse.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, vedi AWS Servizi che funzionano con IAM e cerca i servizi che hanno Sì nella colonna Ruolo. Service-Linked Scegliere Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato al servizio per tale servizio.

Service-linked autorizzazioni di ruolo per CloudWatch gli allarmi, azioni EC2

CloudWatch utilizza il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchEvents: CloudWatch utilizza questo ruolo collegato al servizio per eseguire azioni di allarme Amazon EC2.

Il ruolo AWSServiceRoleForCloudWatchEvents collegato al servizio prevede che il servizio Events assuma il ruolo. CloudWatch CloudWatch Events richiama le azioni di terminazione, arresto o riavvio dell'istanza quando viene richiamato dall'allarme.

La politica delle autorizzazioni dei ruoli AWSServiceRoleForCloudWatchEvents collegati al servizio consente a CloudWatch Events di completare le seguenti azioni sulle istanze Amazon EC2:

La politica delle autorizzazioni dei ruoli di ServiceRoleForCloudWatchCrossAccountV2 servizio consente CloudWatch di completare le seguenti azioni:

Service-linked autorizzazioni di ruolo per CloudWatch la configurazione della telemetria

CloudWatch observability admin crea e utilizza un ruolo collegato al servizio denominato AWSServiceRoleForObservabilityAdmin: CloudWatch utilizza questo ruolo collegato al servizio per supportare l'individuazione delle risorse e della configurazione di telemetria per le organizzazioni. AWS Quando un account di gestione crea una regola a livello di organizzazione, il ruolo collegato al servizio viene creato automaticamente in tutti gli account membri e nell'account amministratore delegato dell'organizzazione. Tuttavia, quando un account amministratore delegato crea una regola a livello di organizzazione, il ruolo collegato al servizio viene creato automaticamente in tutti gli account membri ma non viene creato automaticamente nell'account di gestione. Se un account amministratore delegato crea la regola a livello di organizzazione, è necessario creare manualmente il ruolo collegato al servizio nell'account di gestione.

Il ruolo AWSServiceRoleForObservabilityAdmin collegato al servizio prevede che Observability Admin assuma il ruolo. Observability Admin gestisce AWS Config Service Linked Configuration Recorders e Service Linked Configuration Aggregator nei tuoi account Organizations.

Il ruolo AWSServiceRoleForObservabilityAdmin collegato al servizio ha una politica, denominata AWSObservabilityAdminServiceRolePolicy, allegata e questa politica concede il permesso a CloudWatch Observability Admin di completare le seguenti azioni:

I contenuti completi della AWSObservabilityAdminServiceRolePolicy policy sono i seguenti:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Service-linked autorizzazioni di ruolo per l'abilitazione della CloudWatch telemetria

AWSObservabilityAdminTelemetryEnablementServiceRolePolicy concede le autorizzazioni necessarie per abilitare e gestire le configurazioni di telemetria per le risorse AWS in base alle regole di telemetria.

Questa policy concede le autorizzazioni per:

La policy impone limiti di sicurezza attraverso condizioni che:

Il contenuto completo della AWSObservabilityAdminTelemetryEnablementServiceRolePolicy politica è disponibile qui:. AWSObservabilityAdminTelemetryEnablementServiceRolePolicy

Service-linked autorizzazioni di ruolo per CloudWatch Application Signals

CloudWatch Application Signals utilizza il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchApplicationSignals: CloudWatch utilizza questo ruolo collegato al servizio per raccogliere dati di CloudWatch log, dati di X-Ray traccia, dati di CloudWatch metrica e dati di tagging dalle applicazioni che hai abilitato per Application Signals. CloudWatch

Il ruolo AWSServiceRoleForCloudWatchApplicationSignals collegato al servizio prevede che Application Signals assuma il ruolo. CloudWatch Application Signals raccoglie i log, le tracce, i parametri e i dati dei tag dal tuo account.

È AWSServiceRoleForCloudWatchApplicationSignals allegata una politica IAM e questa politica è denominata. CloudWatchApplicationSignalsServiceRolePolicy Questa politica autorizza CloudWatch Application Signals a raccogliere dati di monitoraggio e tagging da altri servizi pertinenti AWS . Include autorizzazioni che consentono ad Application Signals di completare le operazioni seguenti:

I contenuti completi di sono i seguenti: CloudWatchApplicationSignalsServiceRolePolicy

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Service-linked autorizzazioni di ruolo per gli CloudWatch allarmi, azioni di Systems Manager OpsCenter

CloudWatch utilizza il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchAlarms _actionSSM: CloudWatch utilizza questo ruolo collegato al servizio per eseguire azioni di Systems Manager quando un allarme entra in stato ALARM. OpsCenter CloudWatch

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchAlarms _ActionSSM prevede che il servizio assuma il ruolo. CloudWatch CloudWatch gli allarmi richiamano le azioni del Systems Manager quando vengono richiamati dall'allarme. OpsCenter

La politica di autorizzazione dei ruoli collegati al servizio AWSServiceRoleForCloudWatchAlarms _ActionSSM consente a Systems Manager di completare le seguenti azioni:

Service-linked autorizzazioni di ruolo per gli allarmi, azioni di Systems Manager Incident Manager CloudWatch

CloudWatch utilizza il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchAlarms _actionSSMIncidents: CloudWatch utilizza questo ruolo collegato al servizio per avviare gli incidenti di Incident Manager quando un allarme passa allo stato ALARM. CloudWatch

Il ruolo collegato al servizio _ActionSSMIncidents prevede che il servizio assuma il ruolo. AWSServiceRoleForCloudWatchAlarms CloudWatch CloudWatch gli allarmi richiamano l'azione Systems Manager Incident Manager quando vengono richiamati dall'allarme.

La politica di autorizzazioni dei ruoli collegati al servizio AWSServiceRoleForCloudWatchAlarms _ActionSsmIncidents consente a Systems Manager di completare le seguenti azioni:

CloudWatch Autorizzazioni relative ai ruoli di servizio per più account e più regioni

CloudWatch utilizza il ruolo di servizio denominato ServiceRoleForCloudWatchCrossAccountV2: CloudWatch utilizza questo ruolo per accedere ai CloudWatch dati in altri AWS account specificati dall'utente. L'SLR fornisce solo l'autorizzazione di assunzione del ruolo per consentire al CloudWatch servizio di assumere il ruolo nell'account di condivisione. È il ruolo di condivisione che fornisce l'accesso ai dati.

La politica delle autorizzazioni del ruolo di ServiceRoleForCloudWatchCrossAccountV2 servizio consente di CloudWatch completare le seguenti azioni:

Il ruolo del ServiceRoleForCloudWatchCrossAccountV2 servizio prevede che il CloudWatch servizio assuma il ruolo.

Service-linked autorizzazioni di ruolo per il CloudWatch database Performance Insights

CloudWatch utilizza il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights: CloudWatch utilizza questo ruolo per recuperare le metriche di Performance Insights per la creazione di allarmi e istantanee.

Al ruolo AWSServiceRoleForCloudWatchMetrics _ collegato al servizio è allegata la policy DbPerfInsights IAM. AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy I contenuti di questa policy sono i seguenti:

JSON

{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Il ruolo AWSServiceRoleForCloudWatchMetrics _ DbPerfInsights service-linked prevede che il CloudWatch servizio assuma il ruolo.

Service-linked autorizzazioni di ruolo per la centralizzazione dei log CloudWatch

AWSObservabilityAdminLogsCentralizationServiceRolePolicySi collega all'entità IAM appropriata nell'account di gestione centrale, ad esempio il ruolo di CloudWatch servizio —, per concedere le autorizzazioni necessarie per l'impostazione e la gestione della raccolta centralizzata dei log. CloudWatch utilizza questo ruolo per accedere ai dati di telemetria da altri AWS account specificati per creare gruppi di log, flussi di CloudWatch log ed eventi di registro nell'account di monitoraggio dell'organizzazione. L'SLR fornisce solo l'autorizzazione di assunzione del ruolo per consentire al CloudWatch servizio di assumere il ruolo nell'account di monitoraggio. Questa policy viene allegata automaticamente se si imposta la raccolta centralizzata dei log utilizzando. Console di gestione AWS Se utilizzi l'API AWS CLI or per configurare la centralizzazione dei log, devi allegare questa policy manualmente al ruolo IAM che verrà utilizzato per le attività di amministrazione dell'osservabilità.

La policy AWSObservabilityAdminLogsCentralizationServiceRolePolicy di autorizzazione dei ruoli collegati al servizio consente di CloudWatch completare le seguenti azioni:

Ai fini dell'assunzione del ruolo AWSObservabilityAdminLogsCentralizationServiceRolePolicy, il ruolo collegato ai servizi logs-centralization.observabilityadmin.amazonaws.comconsidera attendibile il servizio.

Creazione di un ruolo collegato al servizio per CloudWatch

Non è necessario creare manualmente nessuno di questi ruoli collegati ai servizi. La prima volta che crei un allarme nella CLI Console di gestione AWS IAM o nell'API IAM, CloudWatch crea AWSServiceRoleForCloudWatchEvents un AWSServiceRoleForCloudWatchAlarms _ActionSSM per te.

La prima volta che abiliti il rilevamento di servizi e topologie, Application Signals crea per te. AWSServiceRoleForCloudWatchApplicationSignals

Quando abiliti per la prima volta un account come account di monitoraggio per la funzionalità interregionale tra account, CloudWatch crea ServiceRoleForCloudWatchCrossAccountV2 per te.

Quando crei per la prima volta un avviso che utilizza la funzione matematica DB_PERF_INSIGHTS metrica, CloudWatch crea AWSServiceRoleForCloudWatchMetrics _ per te. DbPerfInsights

Per ulteriori informazioni, consulta Creating a Service-Linked Role nella IAM User Guide.

Modifica di un ruolo collegato al servizio per CloudWatch

CloudWatch non consente di modificare i ruoli AWSServiceRoleForCloudWatchEvents, AWSServiceRoleForCloudWatchAlarms _actionSSM o _. ServiceRoleForCloudWatchCrossAccountV2 AWSServiceRoleForCloudWatchMetrics DbPerfInsights Dopo aver creato questi ruoli, non è possibile modificarne i nomi perché varie entità potrebbero fare riferimento a tali ruoli. Puoi tuttavia modificare la descrizione dei ruoli utilizzando IAM.

Modifica della descrizione di un ruolo collegato ai servizi (console IAM)

È possibile utilizzare la console IAM per modificare la descrizione di un ruolo collegato ai servizi.

Modifica della descrizione di un ruolo collegato al servizio (AWS CLI)

È possibile utilizzare i comandi IAM di AWS Command Line Interface per modificare la descrizione di un ruolo collegato al servizio.

Modifica della descrizione di un ruolo collegato ai servizi (API IAM)

È possibile utilizzare l'API IAM per modificare la descrizione di un ruolo collegato ai servizi.

Eliminazione di un ruolo collegato al servizio per CloudWatch

Se non hai più allarmi che interrompono, terminano o riavviano automaticamente le istanze EC2, ti consigliamo di eliminare il ruolo. AWSServiceRoleForCloudWatchEvents

Se non disponi più di allarmi che eseguono OpsCenter azioni di Systems Manager, ti consigliamo di eliminare il ruolo _ActionSSM. AWSServiceRoleForCloudWatchAlarms

Se si eliminano tutti gli allarmi che utilizzano la funzione matematica DB_PERF_INSIGHTS metrica, si consiglia di eliminare il ruolo _ service-linked. AWSServiceRoleForCloudWatchMetrics DbPerfInsights

In questo modo non sarà più presente un’entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario effettuare la pulizia delle risorse associate al ruolo collegato ai servizi prima di poterlo eliminare.

Pulizia di un ruolo collegato ai servizi

Prima di utilizzare IAM per eliminare un ruolo collegato ai servizi, devi innanzitutto verificare che il ruolo non abbia sessioni attive ed eliminare tutte le risorse utilizzate dal ruolo.

Eliminazione di un ruolo collegato ai servizi (console IAM)

È possibile utilizzare la console IAM per eliminare un ruolo collegato ai servizi.

Eliminazione di un ruolo collegato al servizio (AWS CLI)

È possibile utilizzare i comandi IAM di AWS Command Line Interface per eliminare un ruolo collegato al servizio.

Eliminazione di un ruolo collegato ai servizi (API IAM)

È possibile utilizzare l'API di IAM; per eliminare un ruolo collegato ai servizi.

CloudWatch aggiornamenti a AWS ruoli collegati al servizio

Visualizza i dettagli sugli aggiornamenti alle policy AWS gestite da CloudWatch quando questo servizio ha iniziato a tracciare queste modifiche. Per ricevere avvisi automatici sulle modifiche apportate a questa pagina, iscriviti al feed RSS nella pagina Cronologia dei CloudWatch documenti.