Mengelola akses ke sumber data

CloudWatch digunakan AWS CloudFormation untuk membuat sumber daya yang diperlukan di akun Anda. Kami menyarankan Anda menggunakan cloudformation:TemplateUrl kondisi ini untuk mengontrol akses ke AWS CloudFormation templat saat Anda memberikan CreateStack izin kepada pengguna IAM.

Awas

Setiap pengguna yang mendapatkan izin invokasi sumber data dari Anda dapat menjalankan kueri terhadap metrik dari sumber data tersebut meskipun pengguna tersebut tidak memiliki izin IAM langsung ke sumber data tersebut. Sebagai contoh, jika Anda memberikan izin lambda:InvokeFunction pada sebuah Layanan Terkelola Amazon untuk fungsi Lambda sumber data Prometheus kepada seorang pengguna, pengguna tersebut akan dapat menjalankan kueri terhadap metrik dari Layanan Terkelola Amazon yang sesuai untuk workspace Prometheus meskipun Anda tidak memberikan akses IAM langsung ke workspace tersebut kepada mereka.

Anda dapat menemukan template URLs untuk sumber data di halaman Buat tumpukan di Konsol CloudWatch Pengaturan.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect" : "Allow",
      "Action" : [ "cloudformation:CreateStack" ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "cloudformation:TemplateUrl" : [ data-source-template-url ]
        }
      }
    }
  ]
}

Untuk informasi selengkapnya tentang mengontrol AWS CloudFormation akses, lihat Mengontrol akses dengan AWS Identity and Access Management