本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 适用于 ARC 中可用区自动转移的 Identity and Access Management AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制可以通过“身份验证”**（登录）和“授权”**（具有权限）使用 ARC 资源的人员。您可以使用 IAM AWS 服务 ，无需支付额外费用。 **Topics** + [可用区自动转移如何与 IAM 结合使用](security_iam_service-with-iam-zonalautoshift.md) + [基于身份的策略示例](security_iam_id-based-policy-examples-zonalautoshift.md) + [服务相关角色](using-service-linked-roles-zonal-autoshift.md) + [AWS 托管策略](security-iam-awsmanpol-zonal-autoshift.md) # ARC 中的可用区自动转移如何与 IAM 结合使用 在使用 IAM 管理对 Amazon 应用程序恢复控制器（ARC）中可用区自动转移的访问之前，您应该了解哪些 IAM 功能可用于可用区自动转移。 **可与 ARC 中的可用区自动转移结合使用的 IAM 功能** | IAM 功能 | 可用区自动转移支持 | | --- | --- | | [基于身份的策略](#security_iam_service-with-iam-zonalautoshift-id-based-policies) | 是 | | [基于资源的策略](#security_iam_service-with-iam-zonalautoshift-resource-based-policies) | 否 | | [策略操作](#security_iam_service-with-iam-zonalautoshift-id-based-policies-actions) | 是 | | [策略资源](#security_iam_service-with-iam-zonalautoshift-id-based-policies-resources) | 是 | | [策略条件键](#security_iam_service-with-iam-zonalautoshift-id-based-policies-conditionkeys) | 是 | | [ACLs](#security_iam_service-with-iam-zonalautoshift-acls) | 否 | | [ABAC（策略中的标签）](#security_iam_service-with-iam-zonalautoshift-tags) | 部分 | | [临时凭证](#security_iam_service-with-iam-zonalautoshift-roles-tempcreds) | 是 | | [主体权限](#security_iam_service-with-iam-zonalautoshift-principal-permissions) | 是 | | [服务角色](#security_iam_service-with-iam-zonalautoshift-roles-service) | 否 | | [服务关联角色](#security_iam_service-with-iam-zonalautoshift-roles-service-linked) | 是 | 要全面了解 AWS 服务如何与大多数 IAM 功能配合使用，请参阅 IAM *用户指南中的与 IAM* [配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 适用于 ARC 的基于身份的策略 **支持基于身份的策略：**是 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 要查看 ARC 基于身份的策略示例，请参阅 [Amazon 应用程序恢复控制器（ARC）基于身份的策略示例](security_iam_id-based-policy-examples.md)。 ## ARC 内基于资源的策略 **支持基于资源的策略：**否 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Amazon S3 存储桶策略。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。 ## ARC 的策略操作 **支持策略操作：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。 要查看可用区自动转移的 ARC 操作列表，请参阅《服务授权参考》**中的 [Amazon Route 53 可用区转移定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53applicationrecoverycontroller-zonalshift-actions-as-permissions)。 ARC 中可用区自动转移的策略操作在操作前使用以下前缀： ``` arc-zonal-shift ``` 要在单个语句中指定多项操作，请使用逗号将它们隔开。如下所示： ``` "Action": [ "arc-zonal-shift:action1", "arc-zonal-shift:action2" ] ``` 您也可以使用通配符（\$1）指定多个操作。例如，要指定以单词 `Describe` 开头的所有操作，包括以下操作： ``` "Action": "arc-zonal-shift:Describe*" ``` 要查看适用于可用区自动转移的 ARC 基于身份的策略的示例，请参阅 [ARC 中可用区自动转移基于身份的策略示例](security_iam_id-based-policy-examples-zonalautoshift.md)。 ## ARC 中可用区自动转移的策略资源 **支持策略资源：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。 ``` "Resource": "*" ``` 要查看资源类型及其列表 ARNs，以及您可以使用每种资源的 ARN 指定的操作，请参阅《*服务授权*参考》中的以下主题： + [Amazon Route 53 可用区转移定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53applicationrecoverycontroller-zonalshift-actions-as-permissions) 要查看可与条件键配合使用的操作和资源，请参阅《服务授权参考》**中的以下主题： + [Amazon Route 53 可用区转移定义的条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53applicationrecoverycontroller-zonalshift-policy-keys) 要查看适用于可用区自动转移的 ARC 基于身份的策略的示例，请参阅 [ARC 中可用区自动转移基于身份的策略示例](security_iam_id-based-policy-examples-zonalautoshift.md)。 ## ARC 中可用区自动转移的策略条件键 **支持特定于服务的策略条件键：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 要查看可用区自动转移的 ARC 条件键的列表，请参阅《服务授权参考》**中的以下主题： + [Amazon Route 53 可用区转移的条件键](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53applicationrecoverycontroller-zonalshift.html#amazonroute53applicationrecoverycontroller-zonalshift-policy-keys) 要查看可与条件键配合使用的操作和资源，请参阅《服务授权参考》**中的以下主题： + [Amazon Route 53 可用区转移定义的操作](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53applicationrecoverycontroller-zonalshift.html#amazonroute53applicationrecoverycontroller-zonalshift-actions-as-permissions) 要查看适用于可用区自动转移的 ARC 基于身份的策略的示例，请参阅 [ARC 中可用区自动转移基于身份的策略示例](security_iam_id-based-policy-examples-zonalautoshift.md)。 ## ARC 中的访问控制列表 (ACLs) **支持 ACLs：**否 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 ## 用于 ARC 的基于属性的访问权限控制（ABAC） **支持 ABAC（策略中的标签）：**部分支持 基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 AWS 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。 要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name``aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。 如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。 有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ARC 中的可用区自动转移包含以下对 ABAC 的部分支持： + 对于在 ARC 中注册的要进行可用区转移的托管资源，可用区自动转移支持 ABAC。有关网络负载均衡器和应用程序负载均衡器托管资源的 ABAC 的更多信息，请参阅《Elastic Load Balancing 用户指南》之 [Elastic Load Balancing 中的 ABAC](https://docs.aws.amazon.com/elasticloadbalancing/latest/userguide/security_iam_service-with-iam.html#security_iam_service-with-iam-tags)。 ## 对 ARC 使用临时凭证 **支持临时凭证：**是 临时证书提供对 AWS 资源的短期访问权限，并且是在您使用联合身份或切换角色时自动创建的。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) ## ARC 的跨服务主体权限 **支持转发访问会话（FAS）：**是 当您使用 IAM 实体（用户或角色）在中执行操作时 AWS，您被视为委托人。策略向主体授予权限。使用某些服务时，您可能会执行一个操作，此操作然后在不同服务中触发另一个操作。在这种情况下，您必须具有执行这两个操作的权限。 要查看某个操作是否需要策略中的其他相关操作，请参阅《服务授权参考》**中的以下主题： + [Amazon Route 53 可用区转移](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53applicationrecoverycontroller-zonalshift.html) ## ARC 的服务角色 **支持服务角色：**否 服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 ## ARC 的服务相关角色 **支持服务关联角色：**是 服务相关角色是一种与服务相关联的 AWS 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务关联角色的权限。 有关创建或管理 ARC 服务相关角色的详细信息，请参阅[在 ARC 中使用服务关联角色进行区域自动切换](using-service-linked-roles-zonal-autoshift.md)。 有关创建或管理服务相关角色的详细信息，请参阅[能够与 IAM 搭配使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在表中查找**服务相关角色**列中包含 `Yes` 的表。选择**是**链接以查看该服务的服务相关角色文档。 # ARC 中可用区自动转移基于身份的策略示例 默认情况下，用户和角色没有创建或修改 ARC 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。 要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 有关 ARC 定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《 ARNs *服务授权参考*》中的 [Amazon Application Recovery Controller (ARC) 的操作、资源和条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html)。 **Topics** + [策略最佳实践](#security_iam_service-with-iam-policy-best-practices-zonal) + [示例：可用区自动转移控制台访问权限](#security_iam_id-based-policy-examples-console-zonalautoshift) + [示例：ARC API 操作](#security_iam_id-based-policy-examples-api-zonalautoshift) ## 策略最佳实践 基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 ARC 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 示例：可用区自动转移控制台访问权限 要访问 Amazon 应用程序恢复控制器（ARC）控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 ARC 资源的详细信息 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。 对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。 要执行某些任务，用户必须有权创建与 ARC 中的可用区自动转移关联的服务相关角色。要了解更多信息，请参阅[在 ARC 中使用服务关联角色进行区域自动切换](using-service-linked-roles-zonal-autoshift.md)。 要向用户提供在中使用区域自动移位的完全访问权限 AWS 管理控制台，请向用户附加类似以下内容的策略： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "arc-zonal-shift:ListManagedResources", "arc-zonal-shift:GetManagedResource", "arc-zonal-shift:ListZonalShifts", "arc-zonal-shift:StartZonalShift", "arc-zonal-shift:UpdateZonalShift", "arc-zonal-shift:CancelZonalShift", "arc-zonal-shift:CreatePracticeRunConfiguration", "arc-zonal-shift:DeletePracticeRunConfiguration", "arc-zonal-shift:ListAutoshifts", "arc-zonal-shift:UpdatePracticeRunConfiguration", "arc-zonal-shift:UpdateZonalAutoshiftConfiguration" ], "Resource": "*" }, { "Effect": "Allow", "Action": "ec2:DescribeAvailabilityZones", "Resource": "*" }, { "Effect": "Allow", "Action": "cloudwatch:DescribeAlarms", "Resource": "*" } ] } ``` ------ ## 示例：ARC API 操作 您可以使用策略来确保用户可以使用 ARC API 操作进行区域自动切换，以配置区域自动切换，从而代表您将应用程序资源流量从可用区 AWS 转移到运行状况良好的 AZs 可用区，从而帮助缩短事件期间的恢复时间。 AWS 区域要提供这些权限，请附加与用户需要使用的 API 操作相对应的策略，如下所述。 要执行某些任务，用户必须具有与 ARC 关联的服务相关角色的权限。以下示例策略不包含创建服务相关角色所需的权限。要了解更多信息，请参阅[在 ARC 中使用服务关联角色进行区域自动切换](using-service-linked-roles-zonal-autoshift.md)。 要使用 API 操作进行可用区自动转移，请为用户附加如下策略： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "arc-zonal-shift:ListManagedResources", "arc-zonal-shift:GetManagedResource", "arc-zonal-shift:ListZonalShifts", "arc-zonal-shift:StartZonalShift", "arc-zonal-shift:UpdateZonalShift", "arc-zonal-shift:CancelZonalShift", "arc-zonal-shift:CreatePracticeRunConfiguration", "arc-zonal-shift:DeletePracticeRunConfiguration", "arc-zonal-shift:ListAutoshifts", "arc-zonal-shift:UpdatePracticeRunConfiguration", "arc-zonal-shift:UpdateZonalAutoshiftConfiguration" ], "Resource": "*" }, { "Effect" : "Allow", "Action" : [ "cloudwatch:DescribeAlarms", "health:DescribeEvents" ], "Resource" : "*" }, { "Effect" : "Allow", "Action" : [ "arc-zonal-shift:CancelZonalShift", "arc-zonal-shift:GetManagedResource", "arc-zonal-shift:StartZonalShift", "arc-zonal-shift:UpdateZonalShift" ], "Resource" : "*" } ] } ``` ------ # 在 ARC 中使用服务关联角色进行区域自动切换 Amazon 应用程序恢复控制器中的区域自动切换使用 AWS Identity and Access Management (IAM) [服务相关](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)角色。服务相关角色是一种独特的 IAM 角色，直接链接到服务（在本例中为 ARC）。服务相关角色由 ARC 预定义，包括该服务出于特定目的代表您调用其他 AWS 服务所需的所有权限。 服务相关角色可以更轻松地设置 ARC，因为您不必手动添加必要的权限。ARC 定义服务相关角色的权限，除非另有定义，否则只有 ARC 可以担任其角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其它 IAM 实体。 只有在首先删除服务相关角色的相关资源后，才能删除该角色。这可以保护您的 ARC 区域自动移位资源，因为您不会无意中移除对资源的访问权限。 有关支持服务相关角色的其他服务的信息，请参阅与 [IAM 配合使用的AWS 服务，](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)并在**服务相关角色**列中查找标有 “**是**” 的服务。选择**是**和链接，查看该服务的服务相关角色文档。 ## 的服务相关角色权限 AWSService RoleForZonalAutoshiftPracticeRun ARC 使用名为的服务相关角色**AWSServiceRoleForZonalAutoshiftPracticeRun**执行以下操作： + 监控客户提供的 Amazon CloudWatch 警报和客户 Health Dashboard 事件以进行练习 + 管理练习运行（练习可用区转移） 本节介绍适用于该服务相关角色的权限，以及有关创建、编辑和删除该角色的信息。 ### 的服务相关角色权限 AWSService RoleForZonalAutoshiftPracticeRun 此服务相关角色使用托管策略 `AWSZonalAutoshiftPracticeRunSLRPolicy`。 **AWSServiceRoleForZonalAutoshiftPracticeRun** 服务相关角色仅信任以下服务来担任该角色： + `practice-run.arc-zonal-shift.amazonaws.com` 要查看此策略的权限，请参阅《AWS 托管式策略参考》中的 [AWSZonalAutoshiftPracticeRunSLRPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSZonalAutoshiftPracticeRunSLRPolicy.html)**。 您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务相关角色。有关更多信息，请参阅*《IAM 用户指南》*中的[服务相关角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。 ### 为 ARC 创建**AWSServiceRoleForZonalAutoshiftPracticeRun**服务相关角色 无需手动创建 **AWSServiceRoleForZonalAutoshiftPracticeRun** 服务相关角色。当你在 AWS 管理控制台、或 AWS SDK 中创建第一个练习运行配置时，ARC 会为你创建服务相关角色。 AWS CLI 如果您删除该服务相关角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。当您创建第一个练习运行配置时，ARC 会再次为您创建服务相关角色。 ### 编辑 AR **AWSServiceRoleForZonalAutoshiftPracticeRun**C 的服务相关角色 ARC 不允许您编辑**AWSServiceRoleForZonalAutoshiftPracticeRun**服务相关角色。创建该服务相关角色后，将无法更改角色名称，因为可能有其它实体引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ### 删除 AR **AWSServiceRoleForZonalAutoshiftPracticeRun**C 的服务相关角色 如果不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。 禁用自动切换后，您可以删除**AWSServiceRoleForZonalAutoshiftPracticeRun**与服务相关的角色。有关自动转移功能的更多信息，请参阅 [ARC 中的可用区转移](arc-zonal-shift.md)。 **注意** 如果您尝试删除资源时 ARC 服务正在使用该角色，则删除服务角色可能会失败。如果发生这种情况，请等待几分钟，然后重新尝试删除该角色。 **使用 IAM 手动删除服务相关角色** 使用 IAM 控制台 AWS CLI、或 AWS API 删除 AWSServiceRoleForZonalAutoshiftPracticeRun服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 ## 更新了用于区域自动换档的 ARC 服务相关角色 有关 ARC 服务相关角色 AWS 托管策略的更新，请参阅 ARC 的[AWS 托管策略更新表](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)。您也可以在 ARC [文档历史记录页面](doc-history.md)上订阅自动 RSS 提醒。 # AWS ARC 中区域自动换档的托管策略 AWS 托管策略是由创建和管理的独立策略 AWS。 AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。 请记住， AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于使用案例的[客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)来进一步减少权限。 您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。 AWS 最有可能在启动新的 API 或现有服务可以使用新 AWS 服务 的 API 操作时更新 AWS 托管策略。 有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 托管策略： AWSZonalAutoshiftPracticeRunSLRPolicy 您不能将 `AWSZonalAutoshiftPracticeRunSLRPolicy` 附加到自己的 IAM 实体。将此策略附加至服务相关角色，该角色允许 Amazon 应用程序恢复控制器（ARC）为可用区自动转移执行以下操作： + 监控客户提供的 Amazon CloudWatch 警报和客户 Health Dashboard 事件以进行练习 + 管理练习运行（练习可用区转移） + 管理练习运行和自动转移的容量均衡检查 有关更多信息，请参阅 [在 ARC 中使用服务关联角色进行区域自动切换](using-service-linked-roles-zonal-autoshift.md)。 ## 区域自动换档 AWS 托管策略更新 有关自该服务开始跟踪这些更改以来，ARC 中区域自动换档的 AWS 托管策略更新的详细信息，请参阅。[Amazon 应用程序恢复控制器 (ARC) AWS 托管策略的更新](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)有关此页面更改的自动提示，请订阅 ARC [文档历史记录页面](doc-history.md)上的 RSS 信息源。