对 CloudWatch Logs 使用服务相关角色 - Amazon CloudWatch Logs
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

如果我们为英文版本指南提供翻译,那么如果存在任何冲突,将以英文版本指南为准。在提供翻译时使用机器翻译。

对 CloudWatch Logs 使用服务相关角色

Amazon CloudWatch Logs 使用 AWS Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种与 CloudWatch Logs 直接关联的独特类型的 IAM 角色。服务相关角色由 CloudWatch Logs 预定义,并包含该服务代表您调用其他 AWS 服务所需的一切权限。

服务关联的角色构成了 CloudWatch Logs 因为您不需要手动添加必要的权限。 CloudWatch Logs 定义其服务链接角色的权限,除非另行定义,否则仅 CloudWatch Logs 可以担任这些角色。定义的权限包括信任策略和权限策略。该权限策略不能附加至任何其他 IAM 实体。

有关支持服务相关角色的其他服务的信息,请参阅与 IAM 配合使用的 AWS 服务。寻找 服务关联角色 列。选择 Yes 与查看该服务的服务相关角色文档的链接。

适用于 CloudWatch Logs 的服务相关角色权限

CloudWatch Logs 使用名为 为LogDelivery服务。 CloudWatch Logs 使用此服务链接角色将日志直接写入 Kinesis Data Firehose. 有关更多信息,请参阅 直接发送日志至 Amazon S3 或 Kinesis Data Firehose。)

为LogDelivery服务 服务关联的角色信任以下服务来承担该角色:

  • CloudWatch Logs

角色权限策略允许 CloudWatch Logs 对指定资源完成以下操作:

  • 操作:,firehose:PutRecordfirehose:PutRecordBatch 所有 Kinesis Data Firehose 具有标签的流, LogDeliveryEnabled 键,价值为 True。该标签会自动附加至 Kinesis Data Firehose 创建订阅以发送日志到 Kinesis Data Firehose.

您必须配置权限以允许 IAM 创建、编辑或删除服务链接角色的实体。此实体可以是用户、组或角色。有关更多信息,请参阅 IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions 中的IAM 用户指南服务相关角色权限

为 CloudWatch Logs 创建服务相关角色

您不需要手动创建服务链接角色。当您设置日志以直接发送到 Kinesis Data Firehose 流 AWS 管理控制台, AWS CLI,或 AWS API, CloudWatch Logs 将为您创建服务链接角色。

如果您删除了此服务相关角色,然后需要再次创建它,则可以使用相同的流程在您的账户中重新创建此角色。当您再次设置要直接发送到 Kinesis Data Firehose 流, CloudWatch Logs 将再次为您创建服务链接角色。

编辑 CloudWatch Logs 的服务相关角色

CloudWatch Logs 不允许编辑 为LogDelivery服务或任何其他服务链接角色。您不能更改角色的名称,因为不同的实体可能引用角色。不过,您可以使用 IAM 编辑角色的说明。有关更多信息,请参阅 IAM 用户指南 中的编辑服务相关角色

删除 CloudWatch Logs 的服务相关角色

如果您不再需要使用某个需要服务相关角色的功能或服务,我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。但是,您必须先清除服务相关角色的资源,然后才能手动删除它。

注意

如果在您试图删除资源时 CloudWatch Logs 服务正在使用该角色,则删除操作可能会失败。如果发生这种情况,则请等待几分钟后重试。

删除 CloudWatch Logs 所使用的资源, AWSServiceRoleForLogDelivery 服务关联角色

  • 停止直接发送日志至 Kinesis Data Firehose 流。

要手动删除服务链接角色,请使用 IAM

使用 IAM 话务台, AWS CLI,或 AWS 用于删除 为LogDelivery服务 服务关联的角色。更多信息,请参阅 删除服务关联角色

CloudWatch Logs 服务相关角色的受支持区域

CloudWatch Logs 支持在提供该服务的所有 AWS 区域中使用服务相关角色。有关更多信息,请参阅 CloudWatch Logs 区域和终端节点