Confianza entre CloudWatch y Firehose

El flujo de entrega de Firehose debe confiar en CloudWatch a través de un rol de IAM que tenga permisos de escritura para Firehose. Estos permisos se pueden limitar al único flujo de entrega de Firehose que utiliza el flujo métrico de CloudWatch. El Rol de IAM debe confiar en el servicio principal streams.metrics.cloudwatch.amazonaws.com.

Si utiliza la consola de CloudWatch para crear un flujo métrico, puede hacer que CloudWatch cree el rol con los permisos que corresponden. Si utiliza otro método para crear un flujo métrico o desea crear el Rol de IAM en sí, debe contener la siguiente política de permisos y la política de confianza.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "firehose:PutRecord",
                "firehose:PutRecordBatch"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:firehose:region:account-id:deliverystream/*"
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "streams.metrics.cloudwatch.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

CloudWatch transmite datos de métrica al flujo de entrega de Firehose de destino en nombre de la fuente que posee el recurso del flujo métrico.