本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 用于 ARC 就绪检查的 Identity and Access Management
**注意**
从 2026 年 4 月 30 日起，Amazon 应用程序恢复控制器 (ARC) 中的准备情况检查功能将不再向新客户开放。现有客户可以继续正常使用该服务。有关更多信息，请参阅 [Amazon 应用程序恢复控制器 (ARC) 准备情况检查可用性变更](https://docs.aws.amazon.com/r53recovery/latest/dg/arc-readiness-availability-change.html)。
AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制可以通过“身份验证”**（登录）和“授权”**（具有权限）使用 ARC 资源的人员。您可以使用 IAM AWS 服务 ，无需支付额外费用。
**Topics**
+ [就绪检查如何与 IAM 协同工作](security_iam_service-with-iam-readiness.md)
+ [基于身份的策略示例](security_iam_id-based-policy-examples-readiness.md)
+ [服务相关角色](using-service-linked-roles-readiness.md)
+ [AWS 托管策略](security-iam-awsmanpol-readiness.md)
# Amazon 应用程序恢复控制器（ARC）中的就绪检查如何与 IAM 协同工作
在使用 IAM 管理对 ARC 的访问之前，您应该了解哪些 IAM 功能可用于 ARC。
在使用 IAM 管理针对 Amazon 应用程序恢复控制器（ARC）中的就绪检查的访问权限之前，您应该了解哪些 IAM 功能可用于就绪检查。
**可用于 Amazon 应用程序恢复控制器（ARC）中的就绪检查的 IAM 功能**
| IAM 功能 | 就绪检查支持 |
| --- | --- |
| [基于身份的策略](#security_iam_service-with-iam-readiness-id-based-policies) | 是 |
| [基于资源的策略](#security_iam_service-with-iam-readiness-resource-based-policies) | 否 |
| [策略操作](#security_iam_service-with-iam-readiness-id-based-policies-actions) | 是 |
| [策略资源](#security_iam_service-with-iam-readiness-id-based-policies-resources) | 是 |
| [策略条件键](#security_iam_service-with-iam-readiness-id-based-policies-conditionkeys) | 是 |
| [ACLs](#security_iam_service-with-iam-readiness-acls) | 否 |
| [ABAC（策略中的标签）](#security_iam_service-with-iam-readiness-tags) | 是 |
| [临时凭证](#security_iam_service-with-iam-readiness-roles-tempcreds) | 是 |
| [主体权限](#security_iam_service-with-iam-readiness-principal-permissions) | 是 |
| [服务角色](#security_iam_service-with-iam-readiness-roles-service) | 否 |
| [服务关联角色](#security_iam_service-with-iam-readiness-roles-service-linked) | 是 |
要全面了解 AWS 服务如何与大多数 IAM 功能配合使用，请参阅 IAM *用户指南中的与 IAM* [配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## 适用于就绪检查的基于身份的策略
**支持基于身份的策略：**是
基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
要查看 ARC 基于身份的策略示例，请参阅[Amazon 应用程序恢复控制器（ARC）基于身份的策略示例](security_iam_id-based-policy-examples.md)。
## 就绪检查中的基于资源的策略
**支持基于资源的策略：**否
基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Amazon S3 存储桶策略。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。
## 就绪检查的策略操作
**支持策略操作：**是
管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。
JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。
要查看就绪检查的 ARC 操作的列表，请参阅《服务授权参考**》中的 [Amazon Route 53 恢复就绪定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoveryreadiness-actions-as-permissions)。
ARC 中用于就绪检查的策略操作在操作前使用以下前缀：
```
route53-recovery-readiness
```
要在单个语句中指定多项操作，请使用逗号将它们隔开。如下所示：
```
"Action": [
"route53-recovery-readiness:action1",
"route53-recovery-readiness:action2"
]
```
您也可以使用通配符（\$1）指定多个操作。例如，要指定以单词 `Describe` 开头的所有操作，包括以下操作：
```
"Action": "route53-recovery-readiness:Describe*"
```
要查看 ARC 用于就绪检查的基于身份的策略的示例，请参阅[用于 ARC 中就绪检查的基于身份的策略示例](security_iam_id-based-policy-examples-readiness.md)。
## 就绪检查的策略资源
**支持策略资源：**是
管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。
`Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。
```
"Resource": "*"
```
要查看用于可用区转移的 ARC 操作列表，请参阅 [Amazon Route 53 恢复就绪定义的操作](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-actions-as-permissions)。
要查看 ARC 用于就绪检查的基于身份的策略的示例，请参阅[用于 ARC 中就绪检查的基于身份的策略示例](security_iam_id-based-policy-examples-readiness.md)。
## 就绪检查的策略条件键
**支持特定于服务的策略条件键：**是
管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。
`Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
要查看就绪检查的 ARC 操作列表，请参阅 [Amazon Route 53 恢复就绪的条件密钥](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-policy-keys)
要查看您可以与就绪检查的条件键一起使用的操作和资源，请参阅 [Amazon Route 53 恢复就绪定义的操作](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-actions-as-permissions)
要查看 ARC 用于就绪检查的基于身份的策略的示例，请参阅[用于 ARC 中就绪检查的基于身份的策略示例](security_iam_id-based-policy-examples-readiness.md)。
## 准备情况检查中的访问控制列表 (ACLs)
**支持 ACLs：**否
访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。
## 用于就绪检查的基于属性的访问权限控制（ABAC）
**支持 ABAC（策略中的标签）：**部分支持
基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 AWS 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。
要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name``aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。
如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。
有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。
恢复就绪（就绪检查）支持 ABAC。
## 在就绪检查中使用临时凭证
**支持临时凭证：**是
临时证书提供对 AWS 资源的短期访问权限，并且是在您使用联合身份或切换角色时自动创建的。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)
## 用于就绪检查的跨服务主体权限
**支持转发访问会话（FAS）：**是
当您使用 IAM 实体（用户或角色）在中执行操作时 AWS，您被视为委托人。策略向主体授予权限。使用某些服务时，您可能会执行一个操作，此操作然后在不同服务中触发另一个操作。在这种情况下，您必须具有执行这两个操作的权限。
要查看就绪检查中的某个操作是否需要策略中的其他相关操作，请参阅 [Amazon Route 53 恢复就绪](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html)
## 用于就绪检查的服务角色
**支持服务角色：**否
服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
## 用于就绪检查的服务相关角色
**支持服务关联角色：**是
服务相关角色是一种与服务相关联的 AWS 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务关联角色的权限。
有关创建或管理 ARC 服务相关角色的详细信息，请参阅[在 ARC 中使用服务关联角色进行准备情况检查](using-service-linked-roles-readiness.md)。
有关创建或管理服务相关角色的详细信息，请参阅[能够与 IAM 搭配使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在表中查找**服务相关角色**列中包含 `Yes` 的表。选择**是**链接以查看该服务的服务相关角色文档。
# 用于 ARC 中就绪检查的基于身份的策略示例
默认情况下，用户和角色没有创建或修改 ARC 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。
要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
有关 ARC 定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《 ARNs *服务授权参考*》中的 [Amazon Application Recovery Controller (ARC) 的操作、资源和条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html)。
**Topics**
+ [策略最佳实践](#security_iam_service-with-iam-policy-best-practices-zonal)
+ [示例：就绪检查控制台访问](#security_iam_id-based-policy-examples-console-readiness)
+ [示例：用于就绪检查的就绪检查 API 操作](#security_iam_id-based-policy-examples-api-readiness)
## 策略最佳实践
基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 ARC 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：
+ **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 示例：就绪检查控制台访问
要访问 Amazon 应用程序恢复控制器（ARC）控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 ARC 资源的详细信息 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。
对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。
为确保在您仅允许访问特定 API 操作时用户和角色仍然可以使用就绪检查控制台，还要向实体附加准备情况检查的`ReadOnly` AWS 托管策略。有关更多信息，请参阅[就绪检查托管式策略页面](security-iam-awsmanpol-readiness.md)或《IAM 用户指南》**中的[向用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
要执行某些任务，用户必须有权创建与 ARC 中的就绪检查关联的服务相关角色。要了解更多信息，请参阅[在 ARC 中使用服务关联角色进行准备情况检查](using-service-linked-roles-readiness.md)。
要通过控制台为用户提供就绪检查功能的完全访问权限，请为用户附加如下策略：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"route53-recovery-readiness:CreateCell",
"route53-recovery-readiness:CreateCrossAccountAuthorization",
"route53-recovery-readiness:CreateReadinessCheck",
"route53-recovery-readiness:CreateRecoveryGroup",
"route53-recovery-readiness:CreateResourceSet",
"route53-recovery-readiness:DeleteCell",
"route53-recovery-readiness:DeleteCrossAccountAuthorization",
"route53-recovery-readiness:DeleteReadinessCheck",
"route53-recovery-readiness:DeleteRecoveryGroup",
"route53-recovery-readiness:DeleteResourceSet",
"route53-recovery-readiness:GetArchitectureRecommendations",
"route53-recovery-readiness:GetCell",
"route53-recovery-readiness:GetCellReadinessSummary",
"route53-recovery-readiness:GetReadinessCheck",
"route53-recovery-readiness:GetReadinessCheckResourceStatus",
"route53-recovery-readiness:GetReadinessCheckStatus",
"route53-recovery-readiness:GetRecoveryGroup",
"route53-recovery-readiness:GetRecoveryGroupReadinessSummary",
"route53-recovery-readiness:GetResourceSet",
"route53-recovery-readiness:ListCells",
"route53-recovery-readiness:ListCrossAccountAuthorizations",
"route53-recovery-readiness:ListReadinessChecks",
"route53-recovery-readiness:ListRecoveryGroups",
"route53-recovery-readiness:ListResourceSets",
"route53-recovery-readiness:ListRules",
"route53-recovery-readiness:UpdateCell",
"route53-recovery-readiness:UpdateReadinessCheck",
"route53-recovery-readiness:UpdateRecoveryGroup",
"route53-recovery-readiness:UpdateResourceSet"
],
"Resource": "*"
}
]
}
```
------
## 示例：用于就绪检查的就绪检查 API 操作
为确保用户可以使用 ARC API 来操作 ARC 就绪检查控制面板（例如，创建恢复组、资源集和就绪检查），请附加与用户需要使用的 API 操作相对应的策略，如下所述。
要执行某些任务，用户必须有权创建与 ARC 中的就绪检查关联的服务相关角色。要了解更多信息，请参阅[在 ARC 中使用服务关联角色进行准备情况检查](using-service-linked-roles-readiness.md)。
要使用 API 操作进行就绪检查，请为用户附加如下策略：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"route53-recovery-readiness:CreateCell",
"route53-recovery-readiness:CreateCrossAccountAuthorization",
"route53-recovery-readiness:CreateReadinessCheck",
"route53-recovery-readiness:CreateRecoveryGroup",
"route53-recovery-readiness:CreateResourceSet",
"route53-recovery-readiness:DeleteCell",
"route53-recovery-readiness:DeleteCrossAccountAuthorization",
"route53-recovery-readiness:DeleteReadinessCheck",
"route53-recovery-readiness:DeleteRecoveryGroup",
"route53-recovery-readiness:DeleteResourceSet",
"route53-recovery-readiness:GetArchitectureRecommendations",
"route53-recovery-readiness:GetCell",
"route53-recovery-readiness:GetCellReadinessSummary",
"route53-recovery-readiness:GetReadinessCheck",
"route53-recovery-readiness:GetReadinessCheckResourceStatus",
"route53-recovery-readiness:GetReadinessCheckStatus",
"route53-recovery-readiness:GetRecoveryGroup",
"route53-recovery-readiness:GetRecoveryGroupReadinessSummary",
"route53-recovery-readiness:GetResourceSet",
"route53-recovery-readiness:ListCells",
"route53-recovery-readiness:ListCrossAccountAuthorizations",
"route53-recovery-readiness:ListReadinessChecks",
"route53-recovery-readiness:ListRecoveryGroups",
"route53-recovery-readiness:ListResourceSets",
"route53-recovery-readiness:ListRules",
"route53-recovery-readiness:ListTagsForResources",
"route53-recovery-readiness:UpdateCell",
"route53-recovery-readiness:UpdateReadinessCheck",
"route53-recovery-readiness:UpdateRecoveryGroup",
"route53-recovery-readiness:UpdateResourceSet",
"route53-recovery-readiness:TagResource",
"route53-recovery-readiness:UntagResource"
],
"Resource": "*"
}
]
}
```
------
# 在 ARC 中使用服务关联角色进行准备情况检查
Amazon 应用程序恢复控制器使用 AWS Identity and Access Management (IAM) [服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服务相关角色是一种独特的 IAM 角色，直接链接到服务（在本例中为 ARC）。服务相关角色由 ARC 预定义，包括该服务出于特定目的代表您调用其他 AWS 服务所需的所有权限。
服务相关角色使设置 ARC 变得更加容易，因为您不必手动添加必要的权限。ARC 定义其服务相关角色的权限，除非另有定义，否则只有 ARC 可以担任其角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其它 IAM 实体。
只有在首先删除服务相关角色的相关资源后，才能删除该角色。这可以保护您的 ARC 资源，因为您不能无意中移除访问这些资源的权限。
有关支持服务相关角色的其他服务的信息，请参阅与 [IAM 配合使用的AWS 服务，](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并在**服务相关角色**列中查找标有 “**是**” 的服务。选择**是**和链接，查看该服务的服务相关角色文档。
ARC 具有以下服务相关角色，本章将对此进行介绍：
+ ARC 使用名为 **Route53** 的服务相关角色访问资源和配置RecoveryReadinessServiceRolePolicy以检查准备情况。
+ ARC 使用****为自动换档练习命名的服务相关角色来监控客户提供的 A CloudWatch mazon 警报和 Health Dashboard 客户事件，并开始练习。
## Route53 的服务相关角色权限 RecoveryReadinessServiceRolePolicy
ARC 使用名为 **Route53** 的服务相关角色访问资源和配置RecoveryReadinessServiceRolePolicy以检查准备情况。本节介绍适用于该服务相关角色的权限，以及有关创建、编辑和删除该角色的信息。
### Route53 的服务相关角色权限 RecoveryReadinessServiceRolePolicy
此服务相关角色使用托管策略 `Route53RecoveryReadinessServiceRolePolicy`。
**Route53 RecoveryReadinessServiceRolePolicy** 服务相关角色信任以下服务来代入该角色：
+ `route53-recovery-readiness.amazonaws.com`
要查看此策略的权限，请参阅《*AWS 托管策略*参考》RecoveryReadinessServiceRolePolicy中的 [Route53](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html)。
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务相关角色。有关更多信息，请参阅*《IAM 用户指南》*中的[服务相关角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
### 为 ARC 创建 **Route53 RecoveryReadinessServiceRolePolicy** 服务相关角色
您无需手动创建 **Route53 RecoveryReadinessServiceRolePolicy 服务相关角色**。当您在 AWS 管理控制台、或 AWS API 中创建首次准备情况检查或跨账户授权时，ARC 会为您创建服务相关角色。 AWS CLI
如果您删除该服务相关角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建第一次准备情况检查或跨账户授权时，ARC 会再次为您创建服务相关角色。
### 编辑 ARC 的 **Route53 RecoveryReadinessServiceRolePolicy** 服务相关角色
ARC 不允许您编辑 **Route53 RecoveryReadinessServiceRolePolicy 服务相关角色**。创建该服务相关角色后，将无法更改角色名称，因为可能有其它实体引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
### 删除 ARC 的 **Route53 RecoveryReadinessServiceRolePolicy** 服务相关角色
如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，必须先清除服务相关角色的资源，然后才能手动删除它。
删除准备情况检查和跨账户授权后，您可以删除 **Route RecoveryReadinessServiceRolePolicy** 53 服务相关角色。有关就绪检查的更多信息，请参阅[ARC 中的就绪检查](recovery-readiness.md)。有关跨账户授权的更多信息，请参阅[在 ARC 中创建跨账户授权](recovery-readiness.cross-account.md)。
**注意**
如果您尝试删除资源时 ARC 服务正在使用该角色，则删除服务角色可能会失败。如果发生这种情况，请等待几分钟，然后重新尝试删除该角色。
**使用 IAM 手动删除服务相关角色**
使用 IAM 控制台 AWS CLI、或 AWS API 删除 Route53 RecoveryReadinessServiceRolePolicy 服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## 更新了 ARC 服务相关角色以进行准备情况检查
有关 ARC 服务相关角色 AWS 托管策略的更新，请参阅 ARC 的[AWS 托管策略更新表](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)。您也可以在 ARC [文档历史记录页面](doc-history.md)上订阅自动 RSS 提醒。
# AWS ARC 中针对准备情况检查的托管策略
AWS 托管策略是由创建和管理的独立策略 AWS。 AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。
请记住， AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于使用案例的[客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)来进一步减少权限。
您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。 AWS 最有可能在启动新的 API 或现有服务可以使用新 AWS 服务 的 API 操作时更新 AWS 托管策略。
有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
## AWS 托管策略：Route53 RecoveryReadinessServiceRolePolicy
您不能将 `Route53RecoveryReadinessServiceRolePolicy` 附加到自己的 IAM 实体。此策略将附加到某个允许 Amazon 应用程序恢复控制器（ARC）访问由 ARC 使用或管理的 AWS 服务和资源的服务相关角色。有关更多信息，请参阅 [在 ARC 中使用服务关联角色进行准备情况检查](using-service-linked-roles-readiness.md)。
## AWS 托管策略： AmazonRoute53 RecoveryReadinessFullAccess
您可以将 `AmazonRoute53RecoveryReadinessFullAccess` 附加到 IAM 实体。此策略授予对 ARC 中的恢复就绪（就绪检查）操作的完整访问权限。将此策略附加到需要恢复就绪操作的完全访问权限的 IAM 用户和其他主体。
要查看此策略的权限，请参阅《*AWS 托管策略参考*》RecoveryReadinessFullAccess中的 [AmazonRoute53](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessFullAccess.html)。
## AWS 托管策略： AmazonRoute53 RecoveryReadinessReadOnlyAccess
您可以将 `AmazonRoute53RecoveryReadinessReadOnlyAccess` 附加到 IAM 实体。此策略授予对 ARC 中的恢复就绪操作的只读访问权限。这种权限适用于需要查看就绪状态和恢复组配置的用户。这些用户无法创建、更新或删除恢复就绪资源。
要查看此策略的权限，请参阅《*AWS 托管策略参考*》RecoveryReadinessReadOnlyAccess中的 [AmazonRoute53](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessReadOnlyAccess.html)。
## 更新 AWS 托管策略以备不时之需
有关自该服务开始跟踪这些更改以来在 ARC 中进行就绪检查的 AWS 托管策略更新的详细信息，请参阅[Amazon 应用程序恢复控制器 (ARC) AWS 托管策略的更新](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)。有关此页面更改的自动提示，请订阅 ARC [文档历史记录页面](doc-history.md)上的 RSS 信息源。