Verwenden von Bedingungsschlüsseln zum Begrenzen von Alarmaktionen

Wenn CloudWatch Alarme ihren Status ändern, können sie verschiedene Aktionen ausführen, z. B. das Stoppen und Beenden von EC2-Instances und das Ausführen von Systems Manager Manager-Aktionen. Diese Aktionen können ausgelöst werden, wenn sich der Alarm in einen beliebigen Zustand ändert, einschließlich ALARM, OK oder INSUPFIZIENT_DATA.

Verwenden Sie den cloudwatch:AlarmActions-Bedingungsschlüssel, um einem Benutzer zu ermöglichen, Alarme zu erstellen, die nur die von Ihnen angegebenen Aktionen ausführen können, wenn sich der Alarmstatus ändert. Beispielsweise können Sie einem Benutzer erlauben, Alarme zu erstellen, die nur Aktionen ausführen können, die keine EC2-Aktionen sind.

Einem Benutzer erlauben, Alarme zu erstellen, die nur Amazon-SNS-Benachrichtigungen senden oder Systems-Manager-Aktionen ausführen können

Die folgende Richtlinie beschränkt den Benutzer darauf, Alarme zu erstellen, die nur Amazon-SNS-Benachrichtigungen senden und Systems-Manager-Aktionen ausführen können. Der Benutzer kann keine Alarme erstellen, die EC2-Aktionen ausführen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAlarmsThatCanPerformOnlySNSandSSMActions",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricAlarm",
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "cloudwatch:AlarmActions": [
                        "arn:aws:sns:*",
                        "arn:aws:ssm:*"
                    ]
                }
            }
        }
    ]
}