Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

# Utilisation de rôles liés aux services pour les journaux CloudWatch
<a name="using-service-linked-roles-cwl"></a>

Amazon CloudWatch Logs utilise des Gestion des identités et des accès AWS rôles liés aux [ services (IAM). ](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html) Un rôle lié à un service est un type unique de rôle IAM directement lié aux journaux. CloudWatch Service-linked les rôles sont prédéfinis par CloudWatch Logs et incluent toutes les autorisations dont le service a besoin pour appeler d'autres AWS services en votre nom. 

Un rôle lié à un service rend la configuration CloudWatch des journaux plus efficace car vous n'êtes pas obligé d'ajouter manuellement les autorisations nécessaires. CloudWatch Logs définit les autorisations de ses rôles liés aux services et, sauf indication contraire, seul CloudWatch Logs peut assumer ces rôles. Les autorisations définies comprennent la politique d'approbation et la politique d'autorisations. Cette politique d'autorisations ne peut pas être attachée à une autre entité IAM.

Pour obtenir des informations sur les autres services qui prennent en charge les rôles liés à un service, consultez [Services AWS qui fonctionnent avec IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Dans la ** colonne ** Service-Linked Rôle, recherchez les services pour ** lesquels la réponse est ** Oui. Choisissez un **Oui** ayant un lien permettant de consulter les détails du rôle pour ce service.

## Service-linked autorisations de rôle pour les CloudWatch journaux
<a name="slr-permissions"></a>

CloudWatch Logs utilise le rôle lié au service nommé. ** AWSServiceRoleForLogDelivery ** CloudWatch Logs utilise ce rôle lié à un service pour écrire des journaux directement dans Firehose. Pour de plus amples informations, veuillez consulter [Activer la journalisation depuis AWS services](AWS-logs-and-resource-policy.md).

Le rôle lié à un service **AWSServiceRoleForLogDelivery** approuve les services suivants pour endosser le rôle :
+ `logs.amazonaws.com`

La politique d'autorisations de rôle ** AWSServiceRoleForLogDeliveryPolicy**, permet à CloudWatch Logs d'effectuer les actions suivantes sur les ressources spécifiées. Pour le document de politique JSON complet, consultez [ AWSServiceRoleForLogDeliveryPolicy ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSServiceRoleForLogDeliveryPolicy.html) le *AWS Managed Policy Reference Guide*.
+ Action : `firehose:PutRecord``firehose:PutRecordBatch`, et `firehose:ListTagsForDeliveryStream` sur tous les flux de diffusion Firehose qui ont une balise avec une `LogDeliveryEnabled` clé d'une valeur de`true`. Cette balise est automatiquement attachée à un flux de diffusion Firehose lorsque vous créez un abonnement pour transmettre les journaux à Firehose.
+ Action : `kms:GenerateDataKey` et `kms:Decrypt` sur toutes les AWS KMS touches, mais uniquement lorsque la demande est faite via Firehose (appliquée par la clé de `kms:ViaService` condition définie sur`firehose.*.amazonaws.com`). Ces autorisations permettent à CloudWatch Logs de fournir des journaux aux flux de diffusion Firehose qui utilisent un cryptage côté serveur avec des clés gérées par le client (). SSE-CMK La politique AWS KMS clé du client doit également accorder indépendamment l'accès au rôle lié au service.

Vous devez configurer les autorisations pour permettre à une entité IAM de créer, modifier ou supprimer un rôle lié à un service. Cette entité peut être un utilisateur, un groupe ou un rôle. Pour plus d'informations, consultez la section Autorisations de [ Service-Linked rôle ](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) dans le guide * de l'utilisateur * IAM.

## Création d'un rôle lié à un service pour les journaux CloudWatch
<a name="create-slr"></a>

Vous n'êtes pas obligé de créer manuellement un rôle lié à un service. Lorsque vous configurez des journaux à envoyer directement à un flux Firehose dans l' Console de gestion AWS API ou l' AWS API AWS CLI, CloudWatch Logs crée le rôle lié au service pour vous. 

Si vous supprimez ce rôle lié à un service et que vous avez ensuite besoin de le recréer, vous pouvez utiliser la même procédure pour recréer le rôle dans votre compte. Lorsque vous configurez à nouveau les journaux pour qu'ils soient envoyés directement à un flux Firehose, CloudWatch Logs crée à nouveau le rôle lié au service pour vous. 

## Modification d'un rôle lié à un service pour les journaux CloudWatch
<a name="edit-slr"></a>

CloudWatch Les journaux ne vous permettent pas de modifier ** AWSServiceRoleForLogDelivery**, ni aucun autre rôle lié à un service, une fois que vous l'avez créé. Vous ne pouvez pas modifier le nom du rôle car diverses entités pourraient y faire référence. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour plus d'informations, consultez la section [ Modifier un Service-Linked rôle ](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) dans le guide * de l'utilisateur * IAM.

## Supprimer un rôle lié à un service pour les journaux CloudWatch
<a name="delete-slr"></a>

Si vous n’avez plus besoin d’utiliser une fonction ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n’avez aucune entité inutilisée qui n’est pas surveillée ou gérée activement. Cependant, vous devez nettoyer les ressources de votre rôle lié à un service avant de pouvoir les supprimer manuellement.

**Note**  
Si le service CloudWatch Logs utilise le rôle lorsque vous essayez de supprimer les ressources, la suppression risque d'échouer. Si cela se produit, patientez quelques minutes et réessayez.

**Pour supprimer CloudWatch les ressources des journaux utilisées par **AWSServiceRoleForLogDelivery** rôle lié à un service**
+ Arrêtez d'envoyer des journaux directement aux flux Firehose.

**Pour supprimer manuellement le rôle lié au service à l’aide d’IAM**

Utilisez la console IAM AWS CLI, l'API ou l' AWS API pour supprimer le rôle lié au ** AWSServiceRoleForLogDelivery ** service. Pour plus d'informations, voir [ Supprimer un Service-Linked rôle ](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)

### Régions prises en charge pour les CloudWatch rôles liés au service Logs
<a name="slr-regions"></a>

CloudWatch Logs prend en charge l'utilisation de rôles liés à un service dans toutes les AWS régions où le service est disponible. Pour plus d'informations, voir [ CloudWatch Journaliser les régions et les points de terminaison. ](https://docs.aws.amazon.com/general/latest/gr/rande.html#cwl_region)