Menggunakan peran terkait layanan untuk AWS CloudTrail

AWS CloudTrail menggunakan AWS Identity and Access Management (IAM) peran terkait layanan. Peran terkait layanan adalah jenis peran unik yang ditautkan langsung ke. IAM CloudTrail Peran terkait layanan telah ditentukan sebelumnya oleh CloudTrail dan menyertakan semua izin yang diperlukan layanan untuk memanggil orang lain AWS layanan atas nama Anda.

Peran terkait layanan membuat pengaturan CloudTrail lebih mudah karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. CloudTrail mendefinisikan izin peran terkait layanan, dan kecuali ditentukan lain, hanya CloudTrail dapat mengambil perannya. Izin yang ditetapkan mencakup kebijakan kepercayaan dan kebijakan izin, dan kebijakan izin tersebut tidak dapat dilampirkan ke entitas lain mana pun. IAM

Untuk informasi tentang layanan lain yang mendukung peran terkait layanan, lihat AWS Layanan yang Bekerja dengan IAM dan cari layanan yang memiliki Ya di kolom Peran Tertaut Layanan. Pilih Ya bersama tautan untuk melihat dokumentasi peran tertaut layanan untuk layanan tersebut.

Izin peran terkait layanan untuk CloudTrail

CloudTrail menggunakan peran terkait layanan bernama AWSServiceRoleForCloudTrail— Peran terkait layanan ini digunakan untuk mendukung jejak organisasi dan penyimpanan data acara organisasi.

Peran AWSServiceRoleForCloudTrail terkait layanan mempercayai layanan berikut untuk mengambil peran:

• cloudtrail.amazonaws.com

Peran ini digunakan untuk mendukung pembuatan dan pengelolaan jalur CloudTrail organisasi dan penyimpanan data acara organisasi CloudTrail Danau di CloudTrail. Untuk informasi selengkapnya, lihat Membuat jejak untuk organisasi.

CloudTrailServiceRolePolicyKebijakan yang dilampirkan pada peran memungkinkan CloudTrail untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

• Tindakan pada semua CloudTrail sumber daya:

  • All

• Tindakan pada semua AWS Organizations sumber daya:

  • organizations:DescribeAccount

  • organizations:DescribeOrganization

  • organizations:ListAccounts

  • organizations:ListAWSServiceAccessForOrganization

• Tindakan pada semua sumber daya Organizations untuk prinsipal CloudTrail layanan untuk mencantumkan administrator yang didelegasikan untuk organisasi:

  • organizations:ListDelegatedAdministrators

• Tindakan untuk menonaktifkan federasi Danau pada penyimpanan data acara organisasi:

  • glue:DeleteTable

  • lakeformation:DeRegisterResource

Anda harus mengonfigurasi izin untuk mengizinkan IAM entitas (seperti pengguna, grup, atau peran) membuat, mengedit, atau menghapus peran terkait layanan. Untuk informasi selengkapnya, lihat Izin Peran Tertaut Layanan di Panduan Pengguna. IAM

Membuat peran terkait layanan untuk CloudTrail

Anda tidak perlu membuat peran terkait layanan secara manual. Saat Anda membuat jejak organisasi atau penyimpanan data peristiwa organisasi, atau menambahkan administrator yang didelegasikan di CloudTrail konsol, atau dengan menggunakan API operasi AWS CLI atau, akan CloudTrail membuat peran terkait layanan untuk Anda jika belum ada.

Jika Anda menghapus peran terkait layanan ini, dan kemudian perlu membuatnya lagi, Anda dapat menggunakan proses yang sama untuk membuat ulang peran di akun Anda. Saat Anda membuat jejak organisasi atau penyimpanan data peristiwa organisasi, atau menambahkan administrator yang didelegasikan, CloudTrail buat peran terkait layanan untuk Anda lagi.

Mengedit peran terkait layanan untuk CloudTrail

CloudTrail tidak memungkinkan Anda untuk mengedit peran AWSServiceRoleForCloudTrail terkait layanan. Setelah Anda membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat mengedit deskripsi peran menggunakanIAM. Untuk informasi selengkapnya, lihat Mengedit Peran Tertaut Layanan di IAMPanduan Pengguna.

Menghapus peran terkait layanan untuk CloudTrail

Anda tidak perlu menghapus AWSServiceRoleForCloudTrail peran secara manual. Jika Akun AWS dihapus dari organisasi Organizations, AWSServiceRoleForCloudTrail peran tersebut secara otomatis dihapus dari itu Akun AWS. Anda tidak dapat melepaskan atau menghapus kebijakan dari peran AWSServiceRoleForCloudTrail terkait layanan di akun manajemen organisasi tanpa menghapus akun dari organisasi.

Anda juga dapat menggunakan IAM konsol, AWS CLI atau AWS API untuk menghapus peran terkait layanan secara manual. Untuk melakukan ini, Anda harus membersihkan sumber daya peran terkait layanan sebelum menghapusnya secara manual.

catatan

Jika CloudTrail layanan menggunakan peran saat Anda mencoba menghapus sumber daya, penghapusan mungkin gagal. Jika hal itu terjadi, tunggu beberapa menit dan coba mengoperasikannya lagi.

Untuk menghapus sumber daya yang digunakan oleh AWSServiceRoleForCloudTrail peran, Anda dapat melakukan salah satu hal berikut:

• Hapus Akun AWS dari organisasi di Organizations.

• Perbarui jejak sehingga tidak lagi menjadi jejak organisasi. Untuk informasi selengkapnya, lihat Memperbarui jejak dengan CloudTrail konsol.

• Perbarui penyimpanan data acara sehingga tidak lagi menjadi penyimpanan data acara organisasi. Untuk informasi selengkapnya, lihat Perbarui penyimpanan data acara dengan konsol.

• Hapus jejaknya. Untuk informasi selengkapnya, lihat Menghapus jejak dengan konsol CloudTrail .

• Hapus penyimpanan data acara. Untuk informasi selengkapnya, lihat Hapus penyimpanan data acara dengan konsol.

Untuk menghapus peran terkait layanan secara manual menggunakan IAM

Gunakan IAM konsol, AWS CLI, atau AWS API untuk menghapus peran AWSServiceRoleForCloudTrail terkait layanan. Untuk informasi selengkapnya, lihat Menghapus peran terkait layanan di Panduan Pengguna. IAM

Wilayah yang Didukung untuk CloudTrail peran terkait layanan

CloudTrail mendukung penggunaan peran terkait layanan di semua Wilayah AWS tempat dan CloudTrail Organizations keduanya tersedia. Untuk informasi selengkapnya, silakan lihat titik akhir AWS layanan di Referensi Umum AWS.