Tindakan, sumber daya, dan kunci kondisi untuk Amazon CloudWatch

Amazon CloudWatch (awalan layanan:cloudwatch) menyediakan kunci konteks sumber daya, tindakan, dan kondisi khusus layanan berikut untuk digunakan dalam kebijakan izin IAM.

Referensi:

• Pelajari cara mengonfigurasi layanan ini.

• Lihat daftar Operasi API yang tersedia untuk layanan ini.

• Pelajari cara mengamankan layanan ini dan sumber dayanya dengan menggunakan kebijakan izin IAM.

Tindakan yang ditentukan oleh Amazon CloudWatch

Anda dapat menyebutkan tindakan berikut dalam elemen Action pernyataan kebijakan IAM. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Saat Anda menggunakan sebuah tindakan dalam sebuah kebijakan, Anda biasanya mengizinkan atau menolak akses ke operasi API atau perintah CLI dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Kolom tipe sumber daya pada tabel Tindakan menunjukkan apakah setiap tindakan mendukung izin tingkat sumber daya. Jika tidak ada nilai untuk kolom ini, Anda harus menentukan semua sumber daya (“*”) yang berlaku kebijakan dalam Resource elemen pernyataan kebijakan Anda. Jika kolom mencantumkan jenis sumber daya, maka Anda dapat menyebutkan ARN dengan jenis tersebut dalam sebuah pernyataan dengan tindakan tersebut. Jika tindakan memiliki satu atau lebih sumber daya yang diperlukan, pemanggil harus memiliki izin untuk menggunakan tindakan dengan sumber daya tersebut. Sumber daya yang diperlukan ditunjukkan dalam tabel dengan tanda bintang (*). Jika Anda membatasi akses sumber daya dengan Resource elemen dalam kebijakan IAM, Anda harus menyertakan ARN atau pola untuk setiap jenis sumber daya yang diperlukan. Beberapa tindakan mendukung berbagai jenis sumber daya. Jika jenis sumber daya opsional (tidak ditunjukkan sesuai kebutuhan), maka Anda dapat memilih untuk menggunakan salah satu jenis sumber daya opsional.

Kolom Condition keys pada tabel Actions menyertakan kunci yang dapat Anda tentukan dalam Condition elemen pernyataan kebijakan. Untuk informasi selengkapnya tentang kunci kondisi yang terkait dengan sumber daya untuk layanan, lihat kolom Kunci kondisi pada tabel Jenis sumber daya.

catatan

Kunci kondisi sumber daya tercantum dalam tabel Jenis sumber daya. Anda dapat menemukan tautan ke jenis sumber daya yang berlaku untuk tindakan di kolom Jenis sumber daya (*wajib) pada tabel Tindakan. Jenis sumber daya dalam tabel Jenis sumber daya menyertakan kolom Kunci kondisi, yang merupakan kunci kondisi sumber daya yang berlaku untuk tindakan dalam tabel Tindakan.

Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tindakan.

Tindakan	Deskripsi	Tingkat akses	Jenis sumber daya (*diperlukan)	Kunci syarat	Tindakan bergantung
BatchGetServiceLevelIndicatorReport	Memberikan izin untuk mendapatkan laporan indikator tingkat layanan secara batch	Baca
BatchGetServiceLevelObjectiveBudgetReport	Memberikan izin untuk mengambil laporan anggaran objektif tingkat layanan secara batch	Baca	slo*
CreateServiceLevelObjective	Memberikan izin untuk membuat tujuan tingkat layanan	Tulis		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAlarms	Memberikan izin untuk menghapus kumpulan alarm	Tulis	alarm*
DeleteAnomalyDetector	Memberikan izin untuk menghapus model deteksi anomali yang ditentukan dari akun Anda	Tulis
DeleteDashboards	Memberikan izin untuk menghapus semua CloudWatch dasbor yang Anda tentukan	Tulis	dashboard*
DeleteInsightRules	Memberikan izin untuk menghapus kumpulan aturan wawasan	Tulis	insight-rule*
DeleteMetricStream	Memberikan izin untuk menghapus aliran CloudWatch metrik yang Anda tentukan	Tulis	metric-stream*
DeleteServiceLevelObjective	Memberikan izin untuk menghapus tujuan tingkat layanan	Tulis	slo*
DescribeAlarmHistory	Memberikan izin untuk mengambil riwayat untuk alarm yang ditentukan	Baca	alarm*
DescribeAlarms	Memberikan izin untuk mendeskripsikan semua alarm, yang saat ini dimiliki oleh akun pengguna	Baca	alarm*
DescribeAlarmsForMetric	Memberikan izin untuk menjelaskan semua alarm yang dikonfigurasi pada metrik yang ditentukan, yang saat ini dimiliki oleh akun pengguna	Baca
DescribeAnomalyDetectors	Memberikan izin untuk membuat daftar model deteksi anomali yang telah Anda buat di akun	Baca
DescribeInsightRules	Memberikan izin untuk menjelaskan semua aturan wawasan, yang saat ini dimiliki oleh akun pengguna	Baca
DisableAlarmActions	Memberikan izin untuk menonaktifkan tindakan untuk kumpulan alarm	Tulis	alarm*
DisableInsightRules	Memberikan izin untuk menonaktifkan kumpulan aturan wawasan	Tulis	insight-rule*
EnableAlarmActions	Memberikan izin untuk mengaktifkan tindakan untuk kumpulan alarm	Tulis	alarm*
EnableInsightRules	Memberikan izin untuk mengaktifkan kumpulan aturan wawasan	Tulis	insight-rule*
EnableTopologyDiscovery	Memberikan izin untuk mengaktifkan penemuan CloudWatch topologi	Tulis
GenerateQuery	Memberikan izin untuk membuat string kueri Wawasan Metrik atau Wawasan Log dari prompt bahasa alami	Baca
GetDashboard	Memberikan izin untuk menampilkan detail CloudWatch dasbor yang Anda tentukan	Baca	dashboard*
GetInsightRuleReport	Memberikan izin untuk mengembalikan laporan Top-n dari kontributor unik selama rentang waktu untuk aturan wawasan tertentu	Baca	insight-rule*
GetMetricData	Memberikan izin untuk mengambil jumlah batch data CloudWatch metrik dan melakukan matematika metrik pada data yang diambil	Baca
GetMetricStatistics	Memberikan izin untuk mengambil statistik untuk metrik yang ditentukan	Baca
GetMetricStream	Memberikan izin untuk mengembalikan detail aliran CloudWatch metrik	Baca	metric-stream*
GetMetricWidgetImage	Memberikan izin untuk mengambil snapshot widget metrik	Baca
GetService	Memberikan izin untuk mengambil informasi tentang layanan	Baca	service*
GetServiceData[hanya izin]	Memberikan izin untuk mengambil data layanan	Baca	service*
GetServiceLevelObjective	Memberikan izin untuk mengambil informasi tentang tujuan tingkat layanan	Baca	slo*
GetTopologyDiscoveryStatus[hanya izin]	Memberikan izin untuk mengambil status penemuan CloudWatch topologi	Baca
GetTopologyMap	Memberikan izin untuk mengambil peta topologi CloudWatch	Baca
Link[hanya izin]	Memberikan izin untuk berbagi CloudWatch sumber daya dengan akun pemantauan	Tulis
ListDashboards	Memberikan izin untuk mengembalikan daftar semua CloudWatch dasbor di akun Anda	Daftar
ListManagedInsightRules	Memberikan izin untuk mencantumkan Aturan Wawasan terkelola yang tersedia untuk ARN Sumber Daya tertentu	Baca		aws:RequestTag/${TagKey} aws:TagKeys cloudwatch:requestManagedResourceARNs
ListMetricStreams	Memberikan izin untuk mengembalikan daftar semua aliran CloudWatch metrik di akun Anda	Daftar
ListMetrics	Memberikan izin untuk mengambil daftar metrik valid yang disimpan untuk pemilik Akun AWS	Daftar
ListServiceLevelObjectives	Memberikan izin untuk membuat daftar tujuan tingkat layanan	Daftar
ListServices	Memberikan izin untuk membuat daftar layanan	Daftar
ListTagsForResource	Memberikan izin untuk mencantumkan tag untuk sumber daya Amazon CloudWatch	Daftar	alarm
			insight-rule
			slo
	SKENARIO: CloudWatch-Alarm		alarm*
	SKENARIO: CloudWatch-InsightRule		insight-rule*
	SKENARIO: CloudWatch-ServiceLevelObjective		slo*
PutAnomalyDetector	Memberikan izin untuk membuat atau memperbarui model deteksi anomali untuk metrik CloudWatch	Tulis
PutCompositeAlarm	Memberikan izin untuk membuat atau memperbarui alarm komposit	Tulis	alarm*
				aws:RequestTag/${TagKey} aws:TagKeys cloudwatch:AlarmActions
PutDashboard	Memberikan izin untuk membuat CloudWatch dasbor, atau memperbarui dasbor yang ada jika sudah ada	Tulis	dashboard*
PutInsightRule	Memberikan izin untuk membuat aturan wawasan baru atau mengganti aturan wawasan yang ada	Tulis	insight-rule*
				aws:RequestTag/${TagKey} aws:TagKeys cloudwatch:requestInsightRuleLogGroups
PutManagedInsightRules	Memberikan izin untuk membuat Aturan Wawasan terkelola	Tulis		aws:RequestTag/${TagKey} aws:TagKeys cloudwatch:requestManagedResourceARNs
PutMetricAlarm	Memberikan izin untuk membuat atau memperbarui alarm dan mengaitkannya dengan metrik Amazon yang ditentukan CloudWatch	Tulis	alarm*
				aws:RequestTag/${TagKey} aws:TagKeys cloudwatch:AlarmActions
PutMetricData	Memberikan izin untuk mempublikasikan titik data metrik ke Amazon CloudWatch	Tulis		cloudwatch:namespace
PutMetricStream	Memberikan izin untuk membuat aliran CloudWatch metrik, atau memperbarui aliran metrik yang ada jika sudah ada	Tulis	metric-stream*
				aws:RequestTag/${TagKey} aws:TagKeys
SetAlarmState	Memberikan izin untuk mengatur sementara status alarm untuk tujuan pengujian	Tulis	alarm*
StartMetricStreams	Memberikan izin untuk memulai semua aliran CloudWatch metrik yang Anda tentukan	Tulis	metric-stream*
StopMetricStreams	Memberikan izin untuk menghentikan semua aliran CloudWatch metrik yang Anda tentukan	Tulis	metric-stream*
TagResource	Memberikan izin untuk menambahkan tag ke sumber daya Amazon CloudWatch	Penandaan	alarm
			insight-rule
			slo
				aws:TagKeys aws:RequestTag/${TagKey}
	SKENARIO: CloudWatch-Alarm		alarm*
	SKENARIO: CloudWatch-InsightRule		insight-rule*
	SKENARIO: CloudWatch-ServiceLevelObjective		slo*
UntagResource	Memberikan izin untuk menghapus tag dari sumber daya Amazon CloudWatch	Penandaan	alarm
			insight-rule
			slo
				aws:TagKeys
	SKENARIO: CloudWatch-Alarm		alarm*
	SKENARIO: CloudWatch-InsightRule		insight-rule*
	SKENARIO: CloudWatch-ServiceLevelObjective		slo*
UpdateServiceLevelObjective	Memberikan izin untuk memperbarui tujuan tingkat layanan	Tulis	slo*

Jenis sumber daya yang ditentukan oleh Amazon CloudWatch

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam elemen Resource pernyataan kebijakan izin IAM. Setiap tindakan dalam Tabel tindakan mengidentifikasi jenis sumber daya yang dapat ditentukan dengan tindakan tersebut. Jenis sumber daya juga dapat menentukan kunci kondisi mana yang dapat Anda sertakan dalam kebijakan. Tombol-tombol ini ditampilkan di kolom terakhir dari tabel Jenis sumber daya. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tipe sumber daya.

Jenis sumber daya	ARN	Kunci syarat
alarm	arn:${Partition}:cloudwatch:${Region}:${Account}:alarm:${AlarmName}	aws:ResourceTag/${TagKey}
dashboard	arn:${Partition}:cloudwatch::${Account}:dashboard/${DashboardName}
insight-rule	arn:${Partition}:cloudwatch:${Region}:${Account}:insight-rule/${InsightRuleName}	aws:ResourceTag/${TagKey}
metric-stream	arn:${Partition}:cloudwatch:${Region}:${Account}:metric-stream/${MetricStreamName}	aws:ResourceTag/${TagKey}
slo	arn:${Partition}:cloudwatch:${Region}:${Account}:slo/${SloName}	aws:ResourceTag/${TagKey}
service	arn:${Partition}:cloudwatch:${Region}:${Account}:service/${ServiceName}-${UniqueAttributesHex}	aws:ResourceTag/${TagKey}

Kunci kondisi untuk Amazon CloudWatch

Amazon CloudWatch mendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen kebijakan IAM. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tombol kondisi.

Untuk melihat kunci kondisi global yang tersedia untuk semua layanan, lihat Kunci kondisi global yang tersedia.

Kunci syarat	Deskripsi	Jenis
aws:RequestTag/${TagKey}	Menyaring tindakan berdasarkan kumpulan nilai yang diizinkan untuk masing-masing tag	String
aws:ResourceTag/${TagKey}	Memfilter tindakan berdasarkan nilai tag yang terkait dengan sumber daya	String
aws:TagKeys	Menyaring tindakan berdasarkan keberadaan tag wajib dalam permintaan	ArrayOfString
cloudwatch:AlarmActions	Menyaring tindakan berdasarkan tindakan alarm yang ditentukan	ArrayOfString
cloudwatch:namespace	Menyaring tindakan berdasarkan keberadaan nilai namespace opsional	String
cloudwatch:requestInsightRuleLogGroups	Memfilter tindakan berdasarkan Grup Log yang ditentukan dalam Aturan Wawasan	ArrayOfString
cloudwatch:requestManagedResourceARNs	Memfilter akses menurut ARN Sumber Daya yang ditentukan dalam Aturan Wawasan terkelola	ArrayOfARN