Administración del acceso a orígenes de datos

CloudWatch utiliza AWS CloudFormation para crear los recursos necesarios en la cuenta. Le recomendamos que utilice la condición cloudformation:TemplateUrl para controlar el acceso a las plantillas AWS CloudFormation cuando conceda permisos CreateStack a los usuarios de IAM.

aviso

Cualquier usuario al que conceda permiso de invocación a un origen de datos puede consultar las métricas de ese origen de datos, incluso si ese usuario no tiene permisos de IAM directos para acceder al origen de datos. Por ejemplo, si concede permisos lambda:InvokeFunction en una función de Lambda de origen de datos de Amazon Managed Service para Prometheus a un usuario, ese usuario podrá consultar las métricas del espacio de trabajo correspondiente de Amazon Managed Service para Prometheus aunque no le haya concedido acceso de IAM directo a ese espacio de trabajo.

Puede encontrar las URL de plantillas para los orígenes de datos en la página Crear pila de la consola de configuración de CloudWatch.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "cloudformation:TemplateUrl" : [ data-source-template-url ]
        }
      }
    }
  ]
}

Para obtener más información sobre cómo controlar el acceso AWS CloudFormation, consulte Controlar el acceso con Administración de identidad y acceso de AWS.