CloudWatch のサービスにリンクされたロールの使用

Amazon CloudWatch は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、CloudWatch に直接リンクされた一意のタイプの IAM ロールです。サービスにリンクされたロールは、CloudWatch によって事前定義されており、お客様の代わりにサービスから他の AWS のサービスを呼び出す必要のある許可がすべて含まれています。

CloudWatch のサービスにリンクされたロールを使用すると、必要なアクセス権限を手動で追加しなくても、Amazon EC2 インスタンスを終了、停止、または再起動できる CloudWatch アラームを設定できます。別のサービスにリンクされたロールを使用すると、モニターリングアカウントが、指定した他のアカウントの CloudWatch データにアクセスし、クロスアカウントクロスリージョンダッシュボードを構築できるようになります。

CloudWatch は、サービスにリンクされたロールのアクセス権限を定義します。特に定義されている場合を除き、CloudWatch はそのロールのみを引き受けることができます。定義される許可は、信頼ポリシーと許可ポリシーに含まれており、その許可ポリシーを他の IAM エンティティにアタッチすることはできません。

ロールを削除するには、まず関連リソースを削除します。この制限により、不注意でリソースにアクセスするアクセス許可の削除が防止され、CloudWatch リソースは保護されます。

サービスにリンクされたロールをサポートする他のサービスについては、「IAM と連携するAWS サービス」を参照して、サービスにリンクされたロール列がはいになっているサービスを見つけてください。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[はい] リンクを選択します。

CloudWatch アラーム EC2 アクションについてのサービスにリンクされたロールの許可

CloudWatch は、AWSServiceRoleForCloudWatchEvents という名前のサービスにリンクされたロールを使用します – CloudWatch は、このサービスにリンクされたロールを使用して Amazon EC2 アラームアクションを実行します。

AWSServiceRoleforCloudWatchEvents サービスにリンクされたロールは、CloudWatch Events サービスを信頼してロールを継承します。CloudWatch Events は、アラームにより呼び出されたときにインスタンスアクションを終了、停止、または再起動を呼び出します。

AWSServiceRoleForCloudWatchEvents サービスにリンクされたロールのアクセス許可ポリシーでは、CloudWatch Events が Amazon EC2 インスタンスで以下のアクションを実行できます。

AWSServiceRoleForCloudWatchCrossAccount サービスにリンクされたロールのアクセス権限ポリシーでは、CloudWatch は、次のアクションを完了することができます。

CloudWatch テレメトリ設定のサービスにリンクされたロール許可

CloudWatch オブザーバビリティ管理者は、[AWSServiceRoleForObservabilityAdmin] という名前のサービスにリンクされたロールを作成して使用します。CloudWatch はこのサービスにリンクされたロールを使用し、AWS Organizations のリソースおよびテレメトリ設定の検出をサポートします。ロールは、組織のすべてのメンバーアカウントで作成されます。

[AWSServiceRoleForObservabilityAdmin] サービスにリンクされたロールは、オブザーバビリティ管理者がロールを引き受けるために信頼します。オブザーバビリティ管理者は、Organizations アカウントの AWS Config Service Linked Configuration Recorder および Service Linked Configuration Aggregator を管理します。

[AWSServiceRoleForObservabilityAdmin] サービスにリンクされたロールには、AWSObservabilityAdminServiceRolePolicy という名前のポリシーがアタッチされます。次のアクションを完了するため、このポリシーは CloudWatch オブザーバビリティにアクセス許可を付与します。

AWSObservabilityAdminServiceRolePolicy ポリシーの完全な内容は次のとおりです。

  {
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListAccounts",
				"organizations:ListAccountsForParent",
				"organizations:ListChildren",
				"organizations:ListParents",
				"organizations:DescribeOrganization",
				"organizations:DescribeOrganizationalUnit"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutServiceLinkedConfigurationRecorder",
				"config:DeleteServiceLinkedConfigurationRecorder"
			],
			"Resource": [
				"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"config:PutConfigurationAggregator",
				"config:DeleteConfigurationAggregator",
				"config:SelectAggregateResourceConfig"
			],
			"Resource": [
				"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:CreateServiceLinkedRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:EnableAWSServiceAccess"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"config.amazonaws.com"
					]
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"organizations:ListDelegatedAdministrators"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"organizations:ServicePrincipal": [
						"observabilityadmin.amazonaws.com",
						"config.amazonaws.com"
					]
				}
			}
		}
	]
}		
	

CloudWatch Application Signals のサービスリンクロールのアクセス許可

CloudWatch Application Signals では、AWSServiceRoleForCloudWatchApplicationSignals という名前のサービスリンクロールを使用します。CloudWatch は、このサービスリンクロールを使用して、CloudWatch Application Signals を利用できるアプリケーションから CloudWatch ログデータ、X-Ray トレースデータ、CloudWatch メトリクスデータ、タグデータを収集します。

AWSServiceRoleForCloudWatchApplicationSignals サービスリンクロールは、ロールを継承するために CloudWatch Application Signals サービスを信頼します。Application Signals は、ユーザーのアカウントからログ、トレース、メトリクス、タグのデータを収集します。

AWSServiceRoleForCloudWatchApplicationSignals には IAM ポリシーがアタッチされており、このポリシーは CloudWatchApplicationSignalsServiceRolePolicy という名前です。このポリシーは、CloudWatch Application Signals が他の関連 AWS サービスからモニタリングデータとタグデータを収集できるように必要なアクセス許可を付与します。これには、Application Signals が次のアクションを完了するために必要なアクセス許可が含まれています。

CloudWatchApplicationSignalsServiceRolePolicy ポリシーの完全な内容は次のとおりです。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "XRayPermission",
			"Effect": "Allow",
			"Action": [
				"xray:GetServiceGraph"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWLogsPermission",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery",
				"logs:GetQueryResults"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
				"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWListMetricsPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:ListMetrics"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CWGetMetricDataPermission",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "TagsPermission",
			"Effect": "Allow",
			"Action": [
				"tag:GetResources"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "ApplicationSignalsPermission",
			"Effect": "Allow",
			"Action": [
				"application-signals:ListServiceLevelObjectiveExclusionWindows",
			    "application-signals:GetServiceLevelObjective"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "EC2AutoScalingPermission",
			"Effect": "Allow",
			"Action": [
				"autoscaling:DescribeAutoScalingGroups"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

CloudWatch アラーム Systems Manager OpsCenter アクションに対するサービスにリンクされたロールの許可

CloudWatch は、AWSServiceRoleForCloudWatchAlarms_ActionSSM という名前のサービスにリンクされたロールを使用します – CloudWatch は、CloudWatch アラームが ALARM 状態になったときに Systems Manager OpsCenter アクションを実行するために、このサービスにリンクされたロールを使用します。

AWSServiceRoleForCloudWatchAlarms_ActionSSM サービスにリンクされたロールは、CloudWatch サービスを信頼してロールを継承します。CloudWatch アラームは、アラームによって呼び出されると、Systems Manager OpsCenter アクションを呼び出します。

AWSServiceRoleForCloudWatchAlarms_ActionSSM サービスにリンクされたロールのアクセス許可ポリシーでは、Systems Manager は、次のアクションを実行できます。

CloudWatch アラーム Systems Manager Incident Manager アクションのサービスにリンクされたロールの許可

CloudWatch は、AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents という名前のサービスにリンクされたロールを使用します – CloudWatch アラームが ALARM 状態になると、CloudWatch はこのサービスにリンクされたロールを使用して Incident Manager インシデントを開始します。

AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents サービスにリンクされたロールは、CloudWatch サービスを信頼してロールを継承します。CloudWatch アラームは、アラームによって呼び出されると、Systems Manager Incident Manager アクションを呼び出します。

AWSServiceRoleForCloudWatchAlarms_ActionSSMIncidents サービスにリンクされたロールのアクセス許可ポリシーでは、Systems Manager は、次のアクションを実行できます。

CloudWatch クロスアカウントクロスリージョンに対するサービスにリンクされたロールの許可

CloudWatch では、AWSServiceRoleForCloudWatchCrossAccount と呼ばれるサービスにリンクされたロールを使用します – CloudWatch は、このロールを使用し、指定した他の AWS アカウントの CloudWatch データにアクセスします。SLR は、CloudWatch サービスが共有アカウントのロールを継承できるようにするため、継承ロールアクセス権限のみを提供します。これは、データへのアクセスを提供する共有ロールです。

AWSServiceRoleForCloudWatchCrossAccount サービスにリンクされたロールのアクセス権限ポリシーでは、CloudWatch は、次のアクションを完了することができます。

AWSServiceRoleForCloudWatchCrossAccount サービスにリンクされたロールは、ロールを継承するために CloudWatch サービスを信頼します。

CloudWatch データベース Performance Insights に対するサービスリンクロールのアクセス許可

CloudWatch Logs は AWSServiceRoleForLogDelivery という名前のサービスにリンクされたロールを使用します。— CloudWatch は、このロールを使用して、アラーム作成とスナップショット作成のための Performance Insights メトリクスを取得します。

サービスにリンクされたロール AAWSServiceRoleForCloudWatchMetrics_DbPerfInsights には、AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy IAM ポリシーがアタッチされています。このポリシーの内容は次のとおりです。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"pi:GetResourceMetrics"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

サービスにリンクされたロール AWSServiceRoleForCloudWatchCrossAccount は、CloudWatch サービスを信頼してロールを引き受けます。

CloudWatch のサービスにリンクされたロールの作成

これらのサービスにリンクされたどのロールも手動で作成する必要はありません。AWS Management Console、IAM CLI、または IAM API でアラームを初めて作成すると、CloudWatch によって AWSServiceRoleForCloudWatchEvents と AWSServiceRoleForCloudWatchAlarms_ActionSSM が自動的に作成されます。

初めてサービスとトポロジを検出できるようにした場合、Application Signals によって AWSServiceRoleForCloudWatchApplicationSignals が自動的に作成されます。

アカウントをクロスアカウントクロスリージョン機能のモニターリングアカウントとして初めて有効にすると、CloudWatch によって AWSServiceRoleForCloudWatchCrossAccount が自動的に作成されます。

DB_PERF_INSIGHTS Metric Math 関数を使用するアラームを初めて作成すると、CloudWatch は AWSServiceRoleForCloudWatchMetrics_DbPerfInsights を自動的に作成します。

詳細については、IAM ユーザーガイドの「サービスにリンクされたロールの作成」を参照してください。

CloudWatch のサービスにリンクされたロールの編集

CloudWatch では、AWSServiceRoleForCloudWatchEvents、AWSServiceRoleForCloudWatchAlarms_ActionSSM、AWSServiceRoleForCloudWatchCrossAccount、または AWSServiceRoleForCloudWatchMetrics_DbPerfInsights ロールを編集できません。これらのロールは多くのエンティティにより参照されるため、ロールを作成した後その名前を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。

サービスにリンクされたロールの説明の編集 (IAM コンソール)

サービスにリンクされたロールの説明は、IAM コンソールを使用して編集できます。

サービスにリンクされたロールの説明の編集 (AWS CLI)

AWS Command Line Interface から IAM コマンドを使用して、サービスにリンクされたロールの説明を編集できます。

サービスにリンクされたロールの説明の編集 (IAM API)

サービスにリンクされたロールの説明は、IAM API を使用して編集できます。

CloudWatch のサービスにリンクされたロールの削除

EC2 インスタンスを自動的に停止、終了、または再起動するアラームがなくなった場合、AWSServiceRoleForCloudWatchEvents ロールを削除することをお勧めします。

Systems Manager OpsCenter アクションを実行するアラームがなくなった場合は、AWSServiceRoleForCloudWatchAlarms_ActionSSM ロールを削除することをお勧めします。

DB_PERF_INSIGHTS Metric Math 関数を使用するアラームをすべて削除する場合は、サービスにリンクされたロール AWSServiceRoleForCloudWatchMetrics_DBPerfInsights を削除することをお勧めします。

そうすることで、使用していないエンティティがアクティブにモニターリングされたり、メンテナンスされたりすることがなくなります。ただし、削除する前に、サービスにリンクされた役割をクリーンアップする必要があります。

サービスにリンクされたロールのクリーンアップ

IAM を使用してサービスにリンクされたロールを削除するには、まずそのロールにアクティブなセッションがないことを確認し、そのロールで使用されているリソースをすべて削除する必要があります。

サービスにリンクされたロールの削除 (IAM コンソール)

IAM コンソールを使用して、サービスにリンクされたロールを削除できます。

サービスにリンクされたロールの削除 (AWS CLI)

AWS Command Line Interface から IAM コマンドを使用して、サービスにリンクされたロールを削除できます。

サービスにリンクされたロールの削除 (IAM API)

IAM API を使用して、サービスにリンクされたロールを削除できます。

AWS のサービスにリンクされたロールへの CloudWatch の更新

CloudWatch の AWS マネージドポリシーの更新に関する詳細を、このサービスがこれらの変更の追跡を開始した以降の分について表示します。このページの変更に関する自動通知を入手するには、CloudWatch ドキュメントの履歴ページから、RSS フィードにサブスクライブしてください。