Exemple de SCP pour Amazon CloudWatch

Empêcher les utilisateurs de désactiver CloudWatch ou d'en modifier la configuration

Un opérateur CloudWatch de niveau inférieur doit surveiller les tableaux de bord et les alarmes. Toutefois, l'opérateur ne doit pas être en mesure de supprimer ni de modifier des tableaux de bord ou des alarmes que ses supérieurs peuvent mettre en place. Cette politique SCP empêche les utilisateurs et les rôles des comptes concernés d'exécuter les commandes CloudWatch qui pourraient supprimer ou modifier vos tableaux de bord ou alarmes.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloudwatch:DeleteAlarms",
        "cloudwatch:DeleteDashboards",
        "cloudwatch:DisableAlarmActions",
        "cloudwatch:PutDashboard",
        "cloudwatch:PutMetricAlarm",
        "cloudwatch:SetAlarmState"
      ],
      "Resource": "*"
    }
  ]
}