本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 对 Amazon Managed Grafana 使用服务相关角色
<a name="using-service-linked-roles"></a>

[亚马逊托管 Grafana AWS Identity and Access Management 使用 (IAM) 服务相关角色。](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)服务相关角色是一种独特的 IAM 角色，直接关联到亚马逊托管 Grafana。 Service-linked 角色由 Amazon Managed Grafana 预定义，包括该服务代表您调用 AWS 其他服务所需的所有权限。

服务相关角色可让您更轻松地设置 Amazon Managed Grafana，因为您不必手动添加必要的权限。Amazon Managed Grafana 定义其服务相关角色的权限，除非另有定义，否则仅 Amazon Managed Grafana 可以代入该角色。定义的权限包括信任策略和权限策略，以及不能附加到任何其他 IAM 实体的权限策略。

只有在首先删除相关资源后，您才能删除服务关联角色。这样可以避免误删资源访问权限，保护您的 Amazon Managed Grafana 资源。

有关支持服务相关角色的其他服务的信息，请参阅与 [IAM 配合使用的AWS 服务，](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并在**Service-linked 角色**列中查找标有 “**是**” 的服务。请选择**是**与查看该服务的服务关联角色文档的链接。

## Service-linked 亚马逊托管 Grafana 的角色权限
<a name="slr-permissions"></a>

Amazon Managed Grafana 使用名为的服务相关角色—— **AmazonManagedGrafana**Amazon Managed Grafana 使用此角色在客户账户中创建和配置资源，例如 ENI 或 Secrets Manager 机密。 AmazonManagedGrafana 服务相关角色信任以下服务来代入该角色：
+ `grafana.amazonaws.com`

 AmazonManagedGrafana 服务相关角色已附加到`AmazonGrafanaServiceLinkedRolePolicy`策略中。有关此策略的更新，请参阅 [亚马逊托管 Grafana 更新了托管政策 AWS](security-iam-awsmanpol.md#iam-awsmanpol-updates)。

角色权限策略允许 Amazon Managed Grafana 对指定资源完成以下操作。

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeVpcs",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonGrafanaManaged"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                    "ec2:CreateAction": "CreateNetworkInterface"
                },
                "Null": {
                    "aws:RequestTag/AmazonGrafanaManaged": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteNetworkInterface",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "ec2:ResourceTag/AmazonGrafanaManaged": "false"
                }
            }
        }
    ]
}
```

------

您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 *IAM 用户指南*中的[Service-linked 角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。

## 为 Amazon Managed Grafana 创建服务相关角色
<a name="create-slr"></a>

您无需手动创建服务关联角色。当您使用、或 AWS API VpcConfiguration 中的调 CreateWorkspace 用时 AWS 管理控制台，Amazon Managed Grafana 会为您创建服务相关角色。 AWS CLI

**重要**  
如果您在其他使用此角色支持的功能的服务中完成某个操作，此服务关联角色可以出现在您的账户中。此外，如果您在 2022 年 11 月 30 日亚马逊托管 Grafana 服务开始支持服务相关角色之前使用该服务，则亚马逊托管 Grafana 会在您的账户中创建该角色。 AmazonManagedGrafana 要了解更多信息，请参阅[我的 IAM 账户中出现新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。

如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您致电时 VpcConfiguration， CreateWorkspace Amazon Managed Grafana 会再次为您创建服务相关角色。

您也可以使用 IAM 控制台为 **Grafana** 用例创建服务相关角色。在 AWS CLI 或 AWS API 中，使用服务名称创建服务相关角色。`grafana.amazonaws.com`有关更多信息，请参阅 *IAM 用户指南* 中的[创建服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。

## 为 Amazon Managed Grafana 编辑服务相关角色
<a name="edit-slr"></a>

Amazon Managed Grafana 不允许您编辑 AmazonManagedGrafana 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。

## 为 Amazon Managed Grafana 删除服务相关角色
<a name="delete-slr"></a>

如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，必须先清除服务相关角色的资源，然后才能手动删除它。

**注意**  
如果您尝试删除资源时 Amazon Managed Grafana 服务正在使用该角色，则删除操作可能会失败。如果发生这种情况，请等待几分钟后重试。

**删除使用的 Amazon Managed Grafana 资源 AmazonManagedGrafana**

1. 在 AWS 控制台中导航到您`Region`的 “**所有工作空间**” 视图。

1. 删除 `Region` 中的所有工作区。您必须选中每个工作区的单选按钮，然后选择**所有工作区**视图右上方的**删除**按钮。重复删除每个工作区，直到所有工作区从 `Region` 中删除。有关在 Amazon Managed Grafana 中删除工作区的更多信息，请参阅本用户指南中的[删除工作区](https://docs.aws.amazon.com/grafana/latest/userguide/AMG-edit-delete-workspace.html)主题。

**注意**  
对每个有工作空间 AWS 区域 的地方重复该过程。必须先删除*所有区域*中的所有工作区，然后才能删除服务相关角色。

**使用 IAM 手动删除服务关联角色**

使用 IAM 控制台 AWS CLI、或 AWS API 删除 AmazonManagedGrafana服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。

## Amazon Managed Grafana 服务相关角色支持的区域
<a name="slr-regions"></a>

Amazon Managed Grafana 支持在该服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅 [AWS 区域和终端节点](https://docs.aws.amazon.com/general/latest/gr/grafana-service.html)。