Utilizzo di ruoli collegati ai servizi per CloudWatch

Amazon CloudWatch utilizza Ruoli collegati ai servizi AWS Identity and Access Management (IAM). Un ruolo collegato al servizio è un tipo di ruolo IAM univoco collegato direttamente a CloudWatch. I ruoli collegati ai servizi sono definiti automaticamente da CloudWatch e includono tutte le autorizzazioni richieste dal servizio per eseguire chiamate agli altri servizi AWS per tuo conto.

Il ruolo collegato ai servizi in CloudWatch rende più facile l'impostazione di allarmi CloudWatch che possano terminare, arrestare o riavviare un'istanza Amazon EC2 senza dover aggiungere manualmente le autorizzazioni necessarie. Un altro ruolo collegato ai servizi consente a un account di monitoraggio di accedere ai dati CloudWatch da altri account specificati, per creare pannelli di controllo tra più account tra più regioni.

CloudWatch definisce le autorizzazioni dei ruoli relativi a tali servizi e, salvo diversamente definito, solo CloudWatch potrà assumere tale ruolo. Le autorizzazioni definite includono la policy di trust e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un'altra entità IAM.

È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. Questa limitazione protegge le risorse CloudWatch poiché impedisce la rimozione involontaria delle autorizzazioni ad accedere alle risorse.

Per informazioni sugli altri servizi che supportano i ruoli collegati ai servizi, consulta la sezione Servizi AWS che funzionano con IAM e cerca i servizi che riportano Sì nella colonna Ruolo associato ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni del ruolo collegato ai servizi per le operazioni EC2 degli allarmi CloudWatch

CloudWatch usa il ruolo collegato ai servizi denominato AwsServiceRuleForCloudWatchEvents: CloudWatch usa questo ruolo collegato ai servizi per eseguire le operazioni di allarme Amazon EC2.

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchEvents considera attendibile il servizio CloudWatch Events per assumere il ruolo. CloudWatch Events invoca le operazioni di istanza di termine, arresto o riavvio quando viene chiamato dall'allarme.

La policy delle autorizzazioni del ruolo collegato al servizio AWSServiceRoleForCloudWatchEvents consente a CloudWatch Events di completare le operazioni seguenti nelle istanze Amazon EC2:

La policy delle autorizzazioni del ruolo collegato al servizio AWSServiceRoleForCloudWatchCrossAccount consente a CloudWatch di completare le operazioni seguenti:

Autorizzazioni dei ruoli collegati ai servizi per la configurazione della telemetria di CloudWatch

CloudWatch Observability Admin crea e utilizza un ruolo collegato ai servizi denominato AWSServiceRoleForObservabilityAdmin: CloudWatch utilizza questo ruolo collegato ai servizi per supportare la scoperta della configurazione delle risorse e della telemetria per AWS Organizations. Il ruolo viene creato in tutti gli account dei membri dell'organizzazione.

Il ruolo collegato ai servizi AWSServiceRoleForObservabilityAdmin autorizza Observability Admin ad assumere il ruolo. Observability Admin gestisce AWS Config Service Linked Configuration Recorders e Service Linked Configuration Aggregator nei tuoi account Organizations.

Il ruolo collegato ai servizi AWSServiceRoleForObservabilityAdmin ha una policy, denominata AWSObservabilityAdminServiceRolePolicy, collegata e questa policy concede l'autorizzazione a CloudWatch Observability Admin per completare le seguenti operazioni:

I contenuti completi della policy AWSObservabilityAdminServiceRolePolicy sono i seguenti:

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Autorizzazioni dei ruoli collegati ai servizi per l'abilitazione della telemetria di CloudWatch

AWSObservabilityAdminTelemetryEnablementServiceRolePolicy concede le autorizzazioni necessarie per abilitare e gestire le configurazioni di telemetria per le risorse AWS in base alle regole di telemetria.

Questa policy concede le autorizzazioni per:

La policy impone limiti di sicurezza attraverso condizioni che:

I contenuti completi della policy AWSObservabilityAdminTelemetryEnablementServiceRolePolicy sono i seguenti:

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}

Autorizzazioni di ruolo collegate al servizio per CloudWatch Application Signals

CloudWatch Application Signals utilizza il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchApplicationSignals: CloudWatch usa questo ruolo collegato al servizio per raccogliere dati di CloudWatch Logs, dati di tracciamento X-Ray, dati sui parametri CloudWatch e dati relativi ai tag dalle applicazioni che hai abilitato per CloudWatch Application Signals.

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchApplicationSignals considera attendibile il servizio CloudWatch per l'assunzione del ruolo. Application Signals raccoglie i log, le tracce, i parametri e i dati dei tag dal tuo account.

AWSServiceRoleForCloudWatchApplicationSignals ha una policy IAM collegata, denominata CloudWatchApplicationSignalsServiceRolePolicy. Questa policy concede l'autorizzazione a CloudWatch Application Signals di raccogliere i dati di monitoraggio e tagging da altri servizi AWS pertinenti. Include autorizzazioni che consentono ad Application Signals di completare le operazioni seguenti:

I contenuti completi di CloudWatchApplicationSignalsServiceRolePolicy sono i seguenti:

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Autorizzazioni del ruolo collegato ai servizi per gli allarmi CloudWatch per le operazioni di Systems Manager OpsCenter

CloudWatch usa il ruolo collegato ai servizi denominato AWSServiceroleForCloudWatchalarms_actionSSM: CloudWatch utilizza questo ruolo collegato al servizio per eseguire le operazioni di Systems Manager OpsCenter quando un allarme CloudWatch entra in stato ALARM.

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchAlarms_ActionSSM considera attendibile il servizio CloudWatch per assumere il ruolo. Quando viene chiamato dall'allarme, gli allarmi CloudWatch invocano le operazioni di Systems Manager OpsCenter

La policy delle autorizzazioni del ruolo collegato al servizio AWSServiceRoleForCloudWatchAlarms_ActionSSM consente a Systems Manager di completare le operazioni seguenti:

Autorizzazioni del ruolo collegato ai servizi per allarmi CloudWatch per le operazioni di Systems Manager Incident Manager

CloudWatch usa il ruolo collegato al servizio denominato AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents: CloudWatch utilizza questo ruolo collegato al servizio per avviare gli eventi imprevisti di Incident Manager quando un allarme CloudWatch entra in stato ALARM.

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents considera attendibile il servizio CloudWatch per assumere il ruolo. Quando viene chiamato dall'allarme, gli allarmi CloudWatch invocano l'operazione di Systems Manager Incident Manager

La policy delle autorizzazioni del ruolo collegato al servizio AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents consente a Systems Manager di completare le operazioni seguenti:

Autorizzazioni del ruolo collegato al servizio CloudWatch tra più account tra più regioni

CloudWatch usa il ruolo collegato al servizio denominato AWSServiceRuleForCloudWatchCrossAccount: CloudWatch usa questo ruolo per accedere ai dati CloudWatch in altri ccount AWS specificati dall'utente. L'SLR fornisce solo l'autorizzazione al ruolo da assumere per consentire al servizio CloudWatch di assumere il ruolo nell'account di condivisione. È il ruolo di condivisione che fornisce l'accesso ai dati.

La policy delle autorizzazioni del ruolo collegato al servizio AWSServiceRoleForCloudWatchCrossAccount consente a CloudWatch di completare le operazioni seguenti:

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchCrossAccount considera attendibile il servizio CloudWatch per assumere il ruolo.

Autorizzazioni del ruolo collegato al servizio per Performance Application Insights del database CloudWatch

CloudWatch utilizza il ruolo collegato ai servizi denominato AWSServiceRoleForCloudWatchMetrics_DbPerfInsights: CloudWatch utilizza questo ruolo per recuperare le metriche di Approfondimenti sulle prestazioni per la creazione di allarmi e gli snapshot.

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchMetrics_DbPerfInsights ha la policy IAM AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy collegata. I contenuti di questa policy sono i seguenti:

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Il ruolo collegato al servizio AWSServiceRoleForCloudWatchMetrics_DbPerfInsights considera attendibile il servizio CloudWatch per assumere il ruolo.

Autorizzazioni dei ruoli collegati ai servizi per la centralizzazione di CloudWatch Logs

CloudWatch utilizza il ruolo collegato ai servizi denominato AWSObservabilityAdminLogsCentralizationServiceRolePolicy: CloudWatch Observability Admin utilizza questo ruolo per utilizzare i dati di telemetria di altri account AWS specificati per creare gruppi di log, flussi di log ed eventi di log di CloudWatch nell'account di monitoraggio dell'organizzazione. Il ruolo collegato ai servizi fornisce solo l'autorizzazione ad assumere il ruolo per consentire al servizio CloudWatch di assumere il ruolo nell'account di condivisione.

La policy delle autorizzazioni del ruolo collegato ai servizi AWSObservabilityAdminLogsCentralizationServiceRolePolicy consente a CloudWatch di completare le operazioni seguenti:

Il ruolo collegato ai servizi AWSObservabilityAdminLogsCentralizationServiceRolePolicy considera il servizio logs-centralization.observabilityadmin.amazonaws.com attendibile per l'assunzione del ruolo.

Creazione di un ruolo collegato ai servizi per CloudWatch

Non è necessario creare manualmente nessuno di questi ruoli collegati ai servizi. La prima volta che crei un allarme nella Console di gestione AWS, nella CLI IAM o nell'API IAM, CloudWatch crea AWSServiceRoleForCloudWatchEvents e AWSServiceRoleForCloudWatchAlarms_ActionSSM per conto tuo.

La prima volta che abiliti il rilevamento di servizi e topologie, Application Signals crea AWSServiceRoleForCloudWatchApplicationSignals per te.

Quando abiliti un account come account di monitoraggio per la funzionalità tra più account tra più regioni, CloudWatch crea AWSServiceRoleForCloudWatchCrossAccount per conto tuo.

Quando crei per la prima volta un allarme che utilizza la funzione matematica con parametri DB_PERF_INSIGHTS, CloudWatch crea AWSServiceRoleForCloudWatchMetrics_DbPerfInsights per tuo conto.

Per ulteriori informazioni, consulta Creazione di un ruolo collegato ai servizi nella Guida per l'utente IAM.

Modifica di un ruolo collegato ai servizi per CloudWatch

CloudWatch non consente di modificare i ruoli AWSServiceRoleForCloudWatchEvents, AWSServiceRoleForCloudWatchAlarms_ActionSSM, AWSServiceRoleForCloudWatchCrossAccount o AWSServiceRoleForCloudWatchMetrics_DbPerfInsights. Dopo aver creato questi ruoli, non è possibile modificarne i nomi perché varie entità potrebbero fare riferimento a tali ruoli. Puoi tuttavia modificare la descrizione dei ruoli utilizzando IAM.

Modifica della descrizione di un ruolo collegato ai servizi (console IAM)

È possibile utilizzare la console IAM per modificare la descrizione di un ruolo collegato ai servizi.

Modifica della descrizione di un ruolo collegato ai servizi (AWS CLI)

Puoi utilizzare i comandi IAM dalla AWS Command Line Interface per modificare la descrizione di un ruolo collegato ai servizi.

Modifica della descrizione di un ruolo collegato ai servizi (API IAM)

È possibile utilizzare l'API IAM per modificare la descrizione di un ruolo collegato ai servizi.

Eliminazione di un ruolo collegato ai servizi per CloudWatch

Se non disponi più di allarmi che interrompano, terminino o riavviino automaticamente le istanze EC2, ti consigliamo di eliminare il ruolo AWSServiceRoleForCloudWatchEvents.

Se non disponi più di allarmi che eseguono le operazioni di Systems Manager OpsCenter, ti consigliamo di eliminare il ruolo AWSServiceRoleForCloudWatchAlarms_Actionssm.

Se elimini tutti gli allarmi che utilizzano la funzione matematica con parametri DB_PERF_INSIGHTS, consigliamo di eliminare il ruolo collegato al servizio AWSServiceRoleForCloudWatchMetrics_DbPerfInsights.

In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario effettuare la pulizia delle risorse associate al ruolo collegato ai servizi prima di poterlo eliminare.

Pulizia di un ruolo collegato ai servizi

Prima di utilizzare IAM per eliminare un ruolo collegato ai servizi, devi innanzitutto verificare che il ruolo non abbia sessioni attive ed eliminare tutte le risorse utilizzate dal ruolo.

Eliminazione di un ruolo collegato ai servizi (console IAM)

È possibile utilizzare la console IAM per eliminare un ruolo collegato ai servizi.

Eliminazione del ruolo collegato ai servizi (AWS CLI)

Puoi utilizzare i comandi IAM dalla AWS Command Line Interfaceper eliminare un ruolo collegato ai servizi.

Eliminazione di un ruolo collegato ai servizi (API IAM)

È possibile utilizzare l'API di IAM; per eliminare un ruolo collegato ai servizi.

Aggiornamenti CloudWatch ai ruoli collegati al servizio AWS

Visualizza i dettagli sugli aggiornamenti alle policy gestite da AWS per CloudWatch da quando questo servizio ha iniziato a tenere traccia delle modifiche. Per gli avvisi automatici sulle modifiche apportate a questa pagina, sottoscrivi il feed RSS nella pagina della cronologia dei documenti di CloudWatch.