View a markdown version of this page

使用 Service-Linked 的角色 Amazon Config - Amazon Config
Service-Linked 的角色权限 Amazon Config创建一个 Service-Linked 的角色 Amazon Config编辑一个 Service-Linked 的角色 Amazon Config正在删除 Service-Linked 的角色 Amazon Config支持的区域 Amazon Config Service-Linked 角色
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Service-Linked 的角色 Amazon Config

Service-Linked 的角色权限 Amazon Config

Amazon Config 使用名为的服务相关角色 AwsServiceRoleForConfig — Amazon Config 使用此服务相关角色呼叫其他角色 Amazon 代表您提供服务。要查看最新更新，请参阅 Amazon Config 更新到 Amazon 托管策略

Amazon Config 和 Amazon 资源探索器 坐标仅对每个资源进行一次描述和索引。正因为如此，你可能会看到 CloudTrail 您账户中任一地址的条目 Amazon Config （config.amazonaws.com) 或资源浏览器 (resource-explorer-2.amazonaws.com) 服务负责人。这些调用是使用各自的服务相关角色进行的（ Amazon Config 服务相关角色 还有 资源管理器服务相关角色），并且不要更改账单。

这个 AwsServiceRoleForConfig 服务相关角色信任以下服务来代入该角色：

  • config.amazonaws.com

角色权限策略名为 AWSConfigServiceRolePolicy 允许 Amazon Config 对指定资源完成以下操作：

  • Read-only 以及的只写权限 Amazon Config 资源

  • Read-only 其他服务中资源的权限 Amazon Config 支持

查看的托管策略 AwsServiceRoleForConfig，参见 Amazon 的托管策略 Amazon Config。

您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 Service-Linked 角色权限 在 IAM 用户指南。

将服务相关角色与 Amazon Config，您必须在 Amazon S3 存储桶和 Amazon SNS 主题上配置权限。有关更多信息，请参阅 使用时 Amazon S3 存储桶所需的权限 Service-Linked 角色、所需的权限 Amazon KMS 使用时的密钥 Service-Linked 角色（S3 存储桶交付） 和 使用时亚马逊 SNS 主题所需的权限 Service-Linked 角色。

创建一个 Service-Linked 的角色 Amazon Config

在 IAM CLI 或 IAM API 中，用 config.amazonaws.com 服务名称创建一个服务相关角色。欲了解更多信息，请参阅 创建一个 Service-Linked 角色 在 IAM 用户指南。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。

编辑一个 Service-Linked 的角色 Amazon Config

Amazon Config 不允许你编辑 AwsServiceRoleForConfig 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅 编辑一个 Service-Linked 角色 在 IAM 用户指南。

正在删除 Service-Linked 的角色 Amazon Config

如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。

注意

如果 Amazon Config 当你尝试删除资源时，服务正在使用该角色，则删除可能会失败。如果发生这种情况，请等待几分钟后重试。

要删除 Amazon Config 使用的资源 AwsServiceRoleForConfig

确保您没有使用服务相关角色的。ConfigurationRecorders你可以使用 Amazon Config 控制台停止配置记录器。要停止记录，请选择 Recording is on（记录已打开）下的 Turn off（关闭）。

你可以删除 ConfigurationRecorder 使用 Amazon Config API:

$ aws configservice delete-configuration-recorder --configuration-recorder-name default

使用 IAM 手动删除服务关联角色

使用 IAM 控制台、IAM CLI 或 IAM API 删除 AwsServiceRoleForConfig 服务相关角色。欲了解更多信息，请参阅 正在删除 Service-Linked 角色 在 IAM 用户指南。

支持的区域 Amazon Config Service-Linked 角色

Amazon Config 支持使用 AwsServiceRoleForConfig 在提供该服务的所有地区中扮演角色。有关更多信息，请参阅Amazon 区域和端点。