本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 使用 Service-Linked 的角色 Amazon Config
<a name="using-service-linked-roles-config"></a>

## Service-Linked 的角色权限 Amazon Config
<a name="slr-permissions"></a>

Amazon Config 使用名为的服务相关角色 **AwsServiceRoleForConfig** — Amazon Config 使用此服务相关角色呼叫其他角色 Amazon 代表您提供服务。要查看最新更新，请参阅 [Amazon Config 更新到 Amazon 托管策略](security-iam-awsmanpol.md#security-iam-awsmanpol-updates)

Amazon Config 和 Amazon 资源探索器 坐标仅对每个资源进行一次描述和索引。正因为如此，你可能会看到 CloudTrail 您账户中任一地址的条目 Amazon Config （`config.amazonaws.com`) 或资源浏览器 (`resource-explorer-2.amazonaws.com`) 服务负责人。这些调用是使用各自的服务相关角色进行的（ [Amazon Config 服务相关角色](https://docs.amazonaws.cn/config/latest/developerguide/using-service-linked-roles-config.html) 还有 [资源管理器服务相关角色](https://docs.amazonaws.cn/resource-explorer/latest/userguide/security_iam_service-linked-roles.html)），并且不要更改账单。

这个 AwsServiceRoleForConfig 服务相关角色信任以下服务来代入该角色：
+ `config.amazonaws.com`

角色权限策略名为 AWSConfigServiceRolePolicy 允许 Amazon Config 对指定资源完成以下操作：
+ Read-only 以及的只写权限 Amazon Config 资源
+ Read-only 其他服务中资源的权限 Amazon Config 支持

查看的托管策略 **AwsServiceRoleForConfig**，参见 [Amazon 的托管策略 Amazon Config](https://docs.amazonaws.cn/config/latest/developerguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AWSConfigServiceRolePolicy)。

您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 [Service-Linked 角色权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) 在 *IAM 用户指南*。

将服务相关角色与 Amazon Config，您必须在 Amazon S3 存储桶和 Amazon SNS 主题上配置权限。有关更多信息，请参阅 [使用时 Amazon S3 存储桶所需的权限 Service-Linked 角色](s3-bucket-policy.md#required-permissions-using-servicelinkedrole)、[所需的权限 Amazon KMS 使用时的密钥 Service-Linked 角色（S3 存储桶交付）](s3-kms-key-policy.md#required-permissions-s3-kms-key-using-servicelinkedrole) 和 [使用时亚马逊 SNS 主题所需的权限 Service-Linked 角色](sns-topic-policy.md#required-permissions-snstopic-using-servicelinkedrole)。

## 创建一个 Service-Linked 的角色 Amazon Config
<a name="create-slr"></a>

在 IAM CLI 或 IAM API 中，用 `config.amazonaws.com` 服务名称创建一个服务相关角色。欲了解更多信息，请参阅 [创建一个 Service-Linked 角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) 在 *IAM 用户指南*。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。

## 编辑一个 Service-Linked 的角色 Amazon Config
<a name="edit-slr"></a>

Amazon Config 不允许你编辑 **AwsServiceRoleForConfig** 服务相关角色。创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。有关更多信息，请参阅 [编辑一个 Service-Linked 角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_update-service-linked-role.html) 在 *IAM 用户指南*。

## 正在删除 Service-Linked 的角色 Amazon Config
<a name="delete-slr"></a>

如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。

**注意**  
如果 Amazon Config 当你尝试删除资源时，服务正在使用该角色，则删除可能会失败。如果发生这种情况，请等待几分钟后重试。

**要删除 Amazon Config 使用的资源 AwsServiceRoleForConfig**

确保您没有使用服务相关角色的。`ConfigurationRecorders`你可以使用 Amazon Config 控制台停止配置记录器。要停止记录，请选择 **Recording is on（记录已打开）**下的 **Turn off（关闭）**。

你可以删除 `ConfigurationRecorder` 使用 Amazon Config API:

```
$ aws configservice delete-configuration-recorder --configuration-recorder-name {{default}}
```

**使用 IAM 手动删除服务关联角色**

使用 IAM 控制台、IAM CLI 或 IAM API 删除 AwsServiceRoleForConfig 服务相关角色。欲了解更多信息，请参阅 [正在删除 Service-Linked 角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_manage_delete.html) 在 *IAM 用户指南*。

## 支持的区域 Amazon Config Service-Linked 角色
<a name="slr-regions"></a>

Amazon Config 支持使用 AwsServiceRoleForConfig 在提供该服务的所有地区中扮演角色。有关更多信息，请参阅[Amazon 区域和端点](https://docs.amazonaws.cn/general/latest/gr/rande.html)。