Verwalten des Zugriffs auf Datenquellen

CloudWatch verwendet AWS CloudFormation um die erforderlichen Ressourcen in Ihrem Konto zu erstellen. Wir empfehlen, dass Sie die cloudformation:TemplateUrl Bedingung verwenden, um den Zugriff auf zu kontrollieren AWS CloudFormation Vorlagen, wenn Sie IAM Benutzern CreateStack Berechtigungen gewähren.

Warnung

Jeder Benutzer, dem Sie die Berechtigung zum Aufrufen einer Datenquelle erteilen, kann Metriken aus dieser Datenquelle abfragen, auch wenn dieser Benutzer keine direkten IAM Berechtigungen für die Datenquelle besitzt. Wenn Sie beispielsweise einem Benutzer lambda:InvokeFunction Berechtigungen für eine Lambda-Funktion der Datenquelle Amazon Managed Service for Prometheus gewähren, kann dieser Benutzer Metriken aus dem entsprechenden Amazon Managed Service for Prometheus Workspace abfragen, auch wenn Sie ihm keinen direkten IAM Zugriff auf diesen Workspace gewährt haben.

Eine Vorlage URLs für Datenquellen finden Sie auf der Seite Stack erstellen in der Einstellungskonsole. CloudWatch

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "cloudformation:TemplateUrl" : [ data-source-template-url ]
        }
      }
    }
  ]
}

Weitere Informationen zur Steuerung AWS CloudFormation Zugriff finden Sie unter Steuern des Zugriffs mit AWS Identity and Access Management