AWS verwaltete Richtlinien für Amazon Managed Service für Prometheus

Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird. AWS AWS Verwaltete Richtlinien dienen dazu, Berechtigungen für viele gängige Anwendungsfälle bereitzustellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.

Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie kundenverwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.

Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS -Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.

Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

AmazonPrometheusFullAccess

Sie können die AmazonPrometheusFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

• aps – Ermöglicht vollen Zugriff auf Amazon Managed Service für Prometheus

• eks – Ermöglicht dem Service Amazon Managed Service für Prometheus, Informationen über Ihre Amazon-EKS-Cluster zu lesen. Dies ist erforderlich, um verwaltete Scraper erstellen und Metriken in Ihrem Cluster ermitteln zu können.

• ec2 – Ermöglicht es dem Service Amazon Managed Service für Prometheus, Informationen über Ihre Amazon EC2-Netzwerke zu lesen. Dies ist erforderlich, um verwaltete Scraper mit Zugriff auf Ihre Amazon-EKS-Metriken erstellen zu können.

• iam – Ermöglicht Prinzipalen das Erstellen einer serviceverknüpften Rolle für Managed Metric Scraper.

Der Inhalt von AmazonPrometheusFullAccesslautet wie folgt:

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllPrometheusActions",
			"Effect": "Allow",
			"Action": [
				"aps:*"
			],
			"Resource": "*"
		},
		{
			"Sid": "DescribeCluster",
			"Effect": "Allow",
			"Action": [
				"eks:DescribeCluster",
				"ec2:DescribeSubnets",
				"ec2:DescribeSecurityGroups"
			],
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": [
						"aps.amazonaws.com"
					]
				}
			},
			"Resource": "*"
		},
		{
			"Sid": "CreateServiceLinkedRole",
			"Effect": "Allow",
			"Action": "iam:CreateServiceLinkedRole",
			"Resource": "arn:aws:iam::*:role/aws-service-role/scraper.aps.amazonaws.com/AWSServiceRoleForAmazonPrometheusScraper*",
			"Condition": {
				"StringEquals": {
					"iam:AWSServiceName": "scraper.aps.amazonaws.com"
				}
			}
		}
	]
}

AmazonPrometheusConsoleFullAccess

Sie können die AmazonPrometheusConsoleFullAccess-Richtlinie an Ihre IAM-Identitäten anfügen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

• aps – Ermöglicht vollen Zugriff auf Amazon Managed Service für Prometheus

• tag – Ermöglicht Prinzipalen, Tag-Vorschläge in der Konsole von Amazon Managed Service für Prometheus zu sehen.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "TagSuggestions",
			"Effect": "Allow",
			"Action": [
				"tag:GetTagValues",
				"tag:GetTagKeys"
			],
			"Resource": "*"
		},
		{
			"Sid": "PrometheusConsoleActions",
			"Effect": "Allow",
			"Action": [
				"aps:CreateWorkspace",
				"aps:DescribeWorkspace",
				"aps:UpdateWorkspaceAlias",
				"aps:DeleteWorkspace",
				"aps:ListWorkspaces",
				"aps:DescribeAlertManagerDefinition",
				"aps:DescribeRuleGroupsNamespace",
				"aps:CreateAlertManagerDefinition",
				"aps:CreateRuleGroupsNamespace",
				"aps:DeleteAlertManagerDefinition",
				"aps:DeleteRuleGroupsNamespace",
				"aps:ListRuleGroupsNamespaces",
				"aps:PutAlertManagerDefinition",
				"aps:PutRuleGroupsNamespace",
				"aps:TagResource",
				"aps:UntagResource",
				"aps:CreateLoggingConfiguration",
				"aps:UpdateLoggingConfiguration",
				"aps:DeleteLoggingConfiguration",
				"aps:DescribeLoggingConfiguration"
			],
			"Resource": "*"
		}
	]
}

AmazonPrometheusRemoteWriteAccess

Der Inhalt von AmazonPrometheusRemoteWriteAccesslautet wie folgt:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aps:RemoteWrite"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AmazonPrometheusQueryAccess

Der Inhalt von AmazonPrometheusQueryAccesslautet wie folgt:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aps:GetLabels",
                "aps:GetMetricMetadata",
                "aps:GetSeries",
                "aps:QueryMetrics"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS verwaltete Richtlinie: AmazonPrometheusScraperServiceRolePolicy

Sie können keine Verbindungen AmazonPrometheusScraperServiceRolePolicy zu Ihren IAM-Entitäten herstellen. Diese Richtlinie ist einer serviceverknüpften Rolle zugeordnet, die Amazon Managed Service für Prometheus erlaubt, Aktionen in Ihrem Namen durchzuführen. Weitere Informationen finden Sie unter Verwenden von Rollen zum Abrufen von Metriken aus EKS.

Diese Richtlinie gewährt Mitwirkenden Berechtigungen, die es ermöglichen, aus Ihrem Amazon-EKS-Cluster zu lesen und in Ihren Workspace in Amazon Managed Service für Prometheus zu schreiben.

Anmerkung

In diesem Benutzerhandbuch wurde diese Richtlinie zuvor fälschlicherweise als Richtlinie bezeichnet AmazonPrometheusScraperServiceLinkedRolePolicy

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

• aps – Ermöglicht dem Service-Prinzipal, Metriken in Ihre Workspaces von Amazon Managed Service für Prometheus zu schreiben.

• ec2 – Ermöglicht dem Service-Prinzipal, die Netzwerkkonfiguration zu lesen und zu ändern, um eine Verbindung mit dem Netzwerk herzustellen, das Ihre Amazon-EKS-Cluster enthält.

• eks – Ermöglicht dem Service-Prinzipal den Zugriff auf Ihre Amazon-EKS-Cluster. Dies ist erforderlich, damit Metriken automatisch erfasst werden können. Ermöglicht dem Principal außerdem, Amazon EKS-Ressourcen zu bereinigen, wenn ein Scraper entfernt wird.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "DeleteSLR",
			"Effect": "Allow",
			"Action": [
				"iam:DeleteRole"
			],
			"Resource": "arn:aws:iam::*:role/aws-service-role/scraper.aps.amazonaws.com/AWSServiceRoleForAmazonPrometheusScraper*"
		},
		{
			"Sid": "NetworkDiscovery",
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeNetworkInterfaces",
				"ec2:DescribeSubnets",
				"ec2:DescribeSecurityGroups"
			],
			"Resource": "*"
		},
		{
			"Sid": "ENIManagement",
			"Effect": "Allow",
			"Action": "ec2:CreateNetworkInterface",
			"Resource": "*",
			"Condition": {
				"ForAllValues:StringEquals": {
					"aws:TagKeys": [
						"AMPAgentlessScraper"
					]
				}
			}
		},
		{
			"Sid": "TagManagement",
			"Effect": "Allow",
			"Action": "ec2:CreateTags",
			"Resource": "arn:aws:ec2:*:*:network-interface/*",
			"Condition": {
				"StringEquals": {
					"ec2:CreateAction": "CreateNetworkInterface"
				},
				"Null": {
					"aws:RequestTag/AMPAgentlessScraper": "false"
				}
			}
		},
		{
			"Sid": "ENIUpdating",
			"Effect": "Allow",
			"Action": [
				"ec2:DeleteNetworkInterface",
				"ec2:ModifyNetworkInterfaceAttribute"
			],
			"Resource": "*",
			"Condition": {
				"Null": {
					"ec2:ResourceTag/AMPAgentlessScraper": "false"
				}
			}
		},
		{
			"Sid": "EKSAccess",
			"Effect": "Allow",
			"Action": "eks:DescribeCluster",
			"Resource": "arn:aws:eks:*:*:cluster/*"
		},
		{
			"Sid": "DeleteEKSAccessEntry",
			"Effect": "Allow",
			"Action": "eks:DeleteAccessEntry",
			"Resource": "arn:aws:eks:*:*:access-entry/*/role/*",
			"Condition": {
				"StringEquals": {
					"aws:PrincipalAccount": "${aws:ResourceAccount}"
				},
				"ArnLike": {
					"eks:principalArn": "arn:aws:iam::*:role/aws-service-role/scraper.aps.amazonaws.com/AWSServiceRoleForAmazonPrometheusScraper*"
				}
			}
		},
		{
			"Sid": "APSWriting",
			"Effect": "Allow",
			"Action": "aps:RemoteWrite",
			"Resource": "arn:aws:aps:*:*:workspace/*",
			"Condition": {
				"StringEquals": {
					"aws:PrincipalAccount": "${aws:ResourceAccount}"
				}
			}
		}
	]
}

Amazon Managed Service für Prometheus aktualisiert verwaltete Richtlinien AWS

Sehen Sie sich Details zu Aktualisierungen der AWS verwalteten Richtlinien für Amazon Managed Service for Prometheus an, seit dieser Service begonnen hat, diese Änderungen zu verfolgen. Um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten, abonnieren Sie den RSS-Feed auf der Dokumentverlauf-Seite von Amazon Managed Service für Prometheus.

Änderung	Beschreibung	Datum
AmazonPrometheusScraperServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie	Amazon Managed Service for Prometheus hat neue Berechtigungen hinzugefügt, AmazonPrometheusScraperServiceRolePolicyum die Verwendung von Zugriffseinträgen in Amazon EKS zu unterstützen. Beinhaltet Berechtigungen für die Verwaltung von Amazon EKS-Zugriffseinträgen, um Ressourcen zu bereinigen, wenn Scraper gelöscht werden. Anmerkung In der Bedienungsanleitung wurde diese Richtlinie zuvor fälschlicherweise genannt AmazonPrometheusScraperServiceLinkedRolePolicy	2. Mai 2024
AmazonPrometheusFullAccess – Aktualisierung auf eine bestehende Richtlinie	Amazon Managed Service für Prometheus hat AmazonPrometheusFullAccess neue Berechtigungen hinzugefügt, um die Erstellung verwalteter Scraper für Metriken in Amazon-EKS-Clustern zu unterstützen. Beinhaltet Berechtigungen zum Herstellen einer Verbindung zu Amazon-EKS-Clustern, zum Lesen von Amazon-EC2-Netzwerken und zum Erstellen einer serviceverknüpften Rolle für Scraper.	26. November 2023
AmazonPrometheusScraperServiceLinkedRolePolicy – Neue Richtlinie.	Amazon Managed Service für Prometheus hat eine neue servicebezogene Rollenrichtlinie hinzugefügt, die aus Amazon-EKS-Containern gelesen werden kann, um das automatische Scraping von Metriken zu ermöglichen. Beinhaltet Berechtigungen zum Herstellen einer Verbindung mit Amazon-EKS-Clustern, zum Lesen von Amazon-EC2-Netzwerken und zum Erstellen und Löschen von Netzwerken, die als AMPAgentlessScraper markiert sind, sowie zum Schreiben in den Workspaces von Amazon Managed Service für Prometheus.	26. November 2023
AmazonPrometheusConsoleFullAccess – Aktualisierung auf eine bestehende Richtlinie	Amazon Managed Service for Prometheus hat neue Berechtigungen hinzugefügt, AmazonPrometheusConsoleFullAccessum die Protokollierung von Alert Manager- und Lineal-Ereignissen in CloudWatch Logs zu unterstützen. Dieaps:CreateLoggingConfiguration,aps:UpdateLoggingConfiguration, aps:DeleteLoggingConfiguration, aps:DescribeLoggingConfiguration Berechtigungen wurden hinzugefügt.	24. Oktober 2022
AmazonPrometheusConsoleFullAccess – Aktualisierung auf eine bestehende Richtlinie	Amazon Managed Service für Prometheus hat AmazonPrometheusConsoleFullAccess neue Berechtigungen hinzugefügt, um neue Funktionen von Amazon Managed Service für Prometheus zu unterstützen, sodass Benutzer mit dieser Richtlinie eine Liste mit Tag-Vorschlägen sehen können, wenn sie Tags auf die Ressourcen für Amazon Managed Service für Prometheus anwenden. Die tag:GetTagKeys, tag:GetTagValues, aps:CreateAlertManagerDefinition, aps:CreateRuleGroupsNamespace, aps:DeleteAlertManagerDefinition, aps:DeleteRuleGroupsNamespace, aps:DescribeAlertManagerDefinition, aps:DescribeRuleGroupsNamespace, aps:ListRuleGroupsNamespaces, aps:PutAlertManagerDefinition, aps:PutRuleGroupsNamespace, aps:TagResource und aps:UntagResource Berechtigungen wurden hinzugefügt.	29. September 2021
Amazon Managed Service für Prometheus hat mit der Verfolgung von Änderungen begonnen	Amazon Managed Service for Prometheus hat damit begonnen, Änderungen an seinen AWS verwalteten Richtlinien nachzuverfolgen.	15. September 2021