本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 使用 Service-Linked 的角色 Third-Party 云集成
<a name="using-service-linked-roles-config-third-party"></a>

## Service-Linked 的角色权限 Amazon Config 第三方
<a name="slr-permissions-third-party"></a>

Amazon Config 使用名为的服务相关角色 **AWSServiceRoleForConfigThirdParty** — 为以下内容提供权限 Amazon Config 清点和评估第三方云资源的合规性。

这个 AWSServiceRoleForConfigThirdParty 服务相关角色信任以下服务来代入该角色：
+ `thirdparty.config.amazonaws.com`

角色权限策略名为 **AWSConfigThirdPartyServiceRolePolicy** 允许 Amazon Config 对指定资源完成以下操作：
+ 行动： `sts:GetWebIdentityToken` 在所有人身上 Amazon 资源，仅限于匹配的身份令牌受众 `api://AzureADTokenExchange`
+ 行动： `config:PutEvaluations` 在所有人身上 Amazon 资源
+ 操作：针对所有 Amazon 资源执行 `config:GetComplianceDetailsByConfigRule`
+ 行动： `cloudwatch:PutMetricData` 在所有人身上 Amazon 资源，仅限于 `AWS/Config` 命名空间

您必须配置使用户、组或角色能够创建、编辑或删除服务相关角色的权限。有关更多信息，请参阅 [Service-linked 角色权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) 在 *IAM 用户指南*。

## 创建一个 Service-Linked 的角色 Amazon Config 第三方
<a name="create-slr-third-party"></a>

您无需手动创建服务关联角色。当您使用创建第三方连接器时 `PutConnector` 中的 API Amazon Web Services 管理控制台，那个 Amazon CLI，或者 Amazon API， Amazon Config 为您创建服务相关角色。

如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您使用创建第三方连接器时 `PutConnector` API， Amazon Config 再次为您创建服务相关角色。

您还可以使用 IAM 控制台创建服务相关角色 **配置-第三方** 用例。在 Amazon CLI 或者 Amazon API，使用服务名称创建服务相关角色：

`thirdparty.config.amazonaws.com`

有关更多信息，请参阅 *IAM 用户指南* 中的[创建服务相关角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_create-service-linked-role.html)。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。

## 编辑 Service-Linked 的角色 Amazon Config 第三方
<a name="edit-slr-third-party"></a>

Amazon Config 不允许你编辑 AWSServiceRoleForConfigThirdParty 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务关联角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_update-service-linked-role.html)。

## 正在删除 Service-Linked 的角色 Amazon Config 第三方
<a name="delete-slr-third-party"></a>

如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。

**要删除 Amazon Config 使用的资源 AWSServiceRoleForConfigThirdParty**
+ 删除所有引用第三方连接器的服务相关记录器。
+ 删除账户中所有支持的第三方连接器 Amazon 地区。

**使用 IAM 手动删除服务关联角色**

使用 IAM 控制台， Amazon CLI，或者 Amazon 用于删除 API AWSServiceRoleForConfigThirdParty 服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务相关角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_manage_delete.html)。

## 支持的区域 AWSServiceRoleForConfigThirdParty 角色
<a name="slr-regions-third-party"></a>

Amazon Config 不支持在提供服务的每个地区使用服务相关角色。你可以使用 AWSServiceRoleForConfigThirdParty 在以下地区扮演角色。


| Region | 支持 | 
| --- | --- | 
| af-south-1 | 是 | 
| ap-east-1 | 是 | 
| ap-east-2 | 是 | 
| ap-northeast-1 | 是 | 
| ap-northeast-2 | 是 | 
| ap-northeast-3 | 是 | 
| ap-south-1 | 是 | 
| ap-south-2 | 是 | 
| ap-southeast-1 | 是 | 
| ap-southeast-2 | 是 | 
| ap-southeast-3 | 是 | 
| ap-southeast-4 | 是 | 
| ap-southeast-5 | 是 | 
| ap-southeast-6 | 是 | 
| ap-southeast-7 | 是 | 
| ca-central-1 | 是 | 
| ca-west-1 | 是 | 
| eu-central-1 | 是 | 
| eu-central-2 | 是 | 
| eu-north-1 | 是 | 
| eu-south-1 | 是 | 
| eu-south-2 | 是 | 
| eu-west-1 | 是 | 
| eu-west-2 | 是 | 
| eu-west-3 | 是 | 
| il-central-1 | 是 | 
| mx-central-1 | 是 | 
| sa-east-1 | 是 | 
| us-east-1 | 是 | 
| us-east-2 | 是 | 
| us-west-1 | 是 | 
| us-west-2 | 是 |