Gestione delle identità e degli accessi per Amazon CloudWatch - Amazon CloudWatch
DestinatariAutenticazione con identitàGestione dell'accesso con policyAWS politiche gestite (predefinite) per CloudWatchEsempi di policy gestite dal clienteAggiornamenti alle policy

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Gestione delle identità e degli accessi per Amazon CloudWatch

AWS Identity and Access Management (IAM) è un software Servizio AWS che aiuta un amministratore a controllare in modo sicuro l'accesso alle AWS risorse. Gli amministratori IAM controllano chi può essere autenticato (effettuato l'accesso) e autorizzato (disporre delle autorizzazioni) a utilizzare le risorse. CloudWatch IAM è uno Servizio AWS strumento che puoi utilizzare senza costi aggiuntivi.

Argomenti

Destinatari

Il modo in cui usi AWS Identity and Access Management (IAM) varia a seconda del lavoro che CloudWatch svolgi.

Utente del servizio: se utilizzi il CloudWatch servizio per svolgere il tuo lavoro, l'amministratore ti fornisce le credenziali e le autorizzazioni necessarie. Man mano che utilizzi più CloudWatch funzionalità per svolgere il tuo lavoro, potresti aver bisogno di autorizzazioni aggiuntive. La comprensione della gestione dell'accesso ti consente di richiedere le autorizzazioni corrette all'amministratore. Se non riesci ad accedere a una funzionalità di CloudWatch, consulta Risoluzione dei problemi relativi all' CloudWatch identità e all'accesso ad Amazon.

Amministratore del servizio: se sei responsabile delle CloudWatch risorse della tua azienda, probabilmente hai pieno accesso a CloudWatch. È tuo compito determinare a quali CloudWatch funzionalità e risorse devono accedere gli utenti del servizio. Devi inviare le richieste all'amministratore IAM per cambiare le autorizzazioni degli utenti del servizio. Esamina le informazioni contenute in questa pagina per comprendere i concetti di base relativi a IAM. Per saperne di più su come la tua azienda può utilizzare IAM con CloudWatch, consultaCome CloudWatch funziona Amazon con IAM.

Amministratore IAM: un amministratore IAM potrebbe essere interessato a ottenere dei dettagli su come scrivere policy per gestire l'accesso a CloudWatch. Per visualizzare esempi di policy CloudWatch basate sull'identità che puoi utilizzare in IAM, consulta. Esempi di policy basate sull'identità per Amazon CloudWatch

Autenticazione con identità

L'autenticazione è il modo in cui accedi AWS utilizzando le tue credenziali di identità. Devi essere autenticato (aver effettuato l' Utente root dell'account AWSaccesso AWS) come utente IAM o assumendo un ruolo IAM.

Puoi accedere AWS come identità federata utilizzando le credenziali fornite tramite una fonte di identità. AWS IAM Identity Center Gli utenti (IAM Identity Center), l'autenticazione Single Sign-On della tua azienda e le tue credenziali di Google o Facebook sono esempi di identità federate. Se accedi come identità federata, l'amministratore ha configurato in precedenza la federazione delle identità utilizzando i ruoli IAM. Quando accedi AWS utilizzando la federazione, assumi indirettamente un ruolo.

A seconda del tipo di utente, puoi accedere al AWS Management Console o al portale di AWS accesso. Per ulteriori informazioni sull'accesso a AWS, vedi Come accedere al tuo Account AWS nella Guida per l'Accedi ad AWS utente.

Se accedi a AWS livello di codice, AWS fornisce un kit di sviluppo software (SDK) e un'interfaccia a riga di comando (CLI) per firmare crittograficamente le tue richieste utilizzando le tue credenziali. Se non utilizzi AWS strumenti, devi firmare tu stesso le richieste. Per ulteriori informazioni sull'utilizzo del metodo consigliato per firmare autonomamente le richieste, consulta Signing AWS API request nella IAM User Guide.

A prescindere dal metodo di autenticazione utilizzato, potrebbe essere necessario specificare ulteriori informazioni sulla sicurezza. Ad esempio, ti AWS consiglia di utilizzare l'autenticazione a più fattori (MFA) per aumentare la sicurezza del tuo account. Per ulteriori informazioni, consulta Autenticazione a più fattori nella Guida per l'utente di AWS IAM Identity Center e Utilizzo dell'autenticazione a più fattori (MFA) in AWS nella Guida per l'utente di IAM.

Account AWS utente root

Quando si crea un account Account AWS, si inizia con un'identità di accesso che ha accesso completo a tutte Servizi AWS le risorse dell'account. Questa identità è denominata utente Account AWS root ed è accessibile effettuando l'accesso con l'indirizzo e-mail e la password utilizzati per creare l'account. Si consiglia vivamente di non utilizzare l'utente root per le attività quotidiane. Conserva le credenziali dell'utente root e utilizzarle per eseguire le operazioni che solo l'utente root può eseguire. Per un elenco completo delle attività che richiedono l'accesso come utente root, consulta la sezione Attività che richiedono le credenziali dell'utente root nella Guida per l'utente di IAM.

Identità federata

Come procedura consigliata, richiedi agli utenti umani, compresi gli utenti che richiedono l'accesso come amministratore, di utilizzare la federazione con un provider di identità per accedere Servizi AWS utilizzando credenziali temporanee.

Un'identità federata è un utente dell'elenco utenti aziendale, di un provider di identità Web AWS Directory Service, della directory Identity Center o di qualsiasi utente che accede utilizzando le Servizi AWS credenziali fornite tramite un'origine di identità. Quando le identità federate accedono Account AWS, assumono ruoli e i ruoli forniscono credenziali temporanee.

Per la gestione centralizzata degli accessi, consigliamo di utilizzare AWS IAM Identity Center. Puoi creare utenti e gruppi in IAM Identity Center oppure puoi connetterti e sincronizzarti con un set di utenti e gruppi nella tua fonte di identità per utilizzarli su tutte le tue applicazioni. Account AWS Per ulteriori informazioni sul Centro identità IAM, consulta Cos'è Centro identità IAM? nella Guida per l'utente di AWS IAM Identity Center .

Utenti e gruppi IAM

Un utente IAM è un'identità interna Account AWS che dispone di autorizzazioni specifiche per una singola persona o applicazione. Ove possibile, consigliamo di fare affidamento a credenziali temporanee invece di creare utenti IAM con credenziali a lungo termine come le password e le chiavi di accesso. Tuttavia, per casi d'uso specifici che richiedono credenziali a lungo termine con utenti IAM, si consiglia di ruotare le chiavi di accesso. Per ulteriori informazioni, consulta la pagina Rotazione periodica delle chiavi di accesso per casi d'uso che richiedono credenziali a lungo termine nella Guida per l'utente di IAM.

Un gruppo IAM è un'identità che specifica un insieme di utenti IAM. Non è possibile eseguire l'accesso come gruppo. È possibile utilizzare gruppi per specificare le autorizzazioni per più utenti alla volta. I gruppi semplificano la gestione delle autorizzazioni per set di utenti di grandi dimensioni. Ad esempio, è possibile avere un gruppo denominato Amministratori IAM e concedere a tale gruppo le autorizzazioni per amministrare le risorse IAM.

Gli utenti sono diversi dai ruoli. Un utente è associato in modo univoco a una persona o un'applicazione, mentre un ruolo è destinato a essere assunto da chiunque ne abbia bisogno. Gli utenti dispongono di credenziali a lungo termine permanenti, mentre i ruoli forniscono credenziali temporanee. Per ulteriori informazioni, consulta Quando creare un utente IAM (invece di un ruolo) nella Guida per l'utente di IAM.

Ruoli IAM

Un ruolo IAM è un'identità interna all'utente Account AWS che dispone di autorizzazioni specifiche. È simile a un utente IAM, ma non è associato a una persona specifica. Puoi assumere temporaneamente un ruolo IAM in AWS Management Console cambiando ruolo. Puoi assumere un ruolo chiamando un'operazione AWS CLI o AWS API o utilizzando un URL personalizzato. Per ulteriori informazioni sui metodi per l'utilizzo dei ruoli, consulta Utilizzo di ruoli IAM nella Guida per l'utente di IAM.

I ruoli IAM con credenziali temporanee sono utili nelle seguenti situazioni:

  • Accesso utente federato: per assegnare le autorizzazioni a una identità federata, è possibile creare un ruolo e definire le autorizzazioni per il ruolo. Quando un'identità federata viene autenticata, l'identità viene associata al ruolo e ottiene le autorizzazioni da esso definite. Per ulteriori informazioni sulla federazione dei ruoli, consulta Creazione di un ruolo per un provider di identità di terza parte nella Guida per l'utente di IAM. Se utilizzi IAM Identity Center, configura un set di autorizzazioni. IAM Identity Center mette in correlazione il set di autorizzazioni con un ruolo in IAM per controllare a cosa possono accedere le identità dopo l'autenticazione. Per ulteriori informazioni sui set di autorizzazioni, consulta Set di autorizzazioni nella Guida per l'utente di AWS IAM Identity Center .

  • Autorizzazioni utente IAM temporanee: un utente IAM o un ruolo può assumere un ruolo IAM per ottenere temporaneamente autorizzazioni diverse per un'attività specifica.

  • Accesso multi-account: è possibile utilizzare un ruolo IAM per permettere a un utente (un principale affidabile) con un account diverso di accedere alle risorse nell'account. I ruoli sono lo strumento principale per concedere l'accesso multi-account. Tuttavia, con alcuni Servizi AWS, è possibile allegare una policy direttamente a una risorsa (anziché utilizzare un ruolo come proxy). Per informazioni sulle differenze tra ruoli e policy basate su risorse per l'accesso multi-account, consulta Differenza tra i ruoli IAM e le policy basate su risorse nella Guida per l'utente di IAM.

  • Accesso a più servizi: alcuni Servizi AWS utilizzano le funzionalità di altri Servizi AWS. Ad esempio, quando effettui una chiamata in un servizio, è comune che tale servizio esegua applicazioni in Amazon EC2 o archivi oggetti in Amazon S3. Un servizio può eseguire questa operazione utilizzando le autorizzazioni dell'entità chiamante, utilizzando un ruolo di servizio o utilizzando un ruolo collegato al servizio.

    • Sessioni di accesso diretto (FAS): quando utilizzi un utente o un ruolo IAM per eseguire azioni AWS, sei considerato un preside. Quando si utilizzano alcuni servizi, è possibile eseguire un'operazione che attiva un'altra azione in un servizio diverso. FAS utilizza le autorizzazioni del principale che chiama an Servizio AWS, combinate con la richiesta Servizio AWS per effettuare richieste ai servizi downstream. Le richieste FAS vengono effettuate solo quando un servizio riceve una richiesta che richiede interazioni con altri Servizi AWS o risorse per essere completata. In questo caso è necessario disporre delle autorizzazioni per eseguire entrambe le operazioni. Per i dettagli delle policy relative alle richieste FAS, consulta la pagina Forward access sessions.

    • Ruolo di servizio: un ruolo di servizio è un ruolo IAM assunto da un servizio per eseguire operazioni per conto dell'utente. Un amministratore IAM può creare, modificare ed eliminare un ruolo di servizio dall'interno di IAM. Per ulteriori informazioni, consulta la sezione Creazione di un ruolo per delegare le autorizzazioni a un Servizio AWS nella Guida per l'utente di IAM.

    • Ruolo collegato al servizio: un ruolo collegato al servizio è un tipo di ruolo di servizio collegato a un. Servizio AWS Il servizio può assumere il ruolo per eseguire un'azione per tuo conto. I ruoli collegati al servizio vengono visualizzati nel tuo account Account AWS e sono di proprietà del servizio. Un amministratore IAM può visualizzare le autorizzazioni per i ruoli collegati ai servizi, ma non modificarle.

  • Applicazioni in esecuzione su Amazon EC2: puoi utilizzare un ruolo IAM per gestire le credenziali temporanee per le applicazioni in esecuzione su un'istanza EC2 e che AWS CLI effettuano richieste API. AWS Ciò è preferibile all'archiviazione delle chiavi di accesso nell'istanza EC2. Per assegnare un AWS ruolo a un'istanza EC2 e renderlo disponibile per tutte le sue applicazioni, crei un profilo di istanza collegato all'istanza. Un profilo dell'istanza contiene il ruolo e consente ai programmi in esecuzione sull'istanza EC2 di ottenere le credenziali temporanee. Per ulteriori informazioni, consulta Utilizzo di un ruolo IAM per concedere autorizzazioni ad applicazioni in esecuzione su istanze di Amazon EC2 nella Guida per l'utente di IAM.

Per informazioni sull'utilizzo dei ruoli IAM, consulta Quando creare un ruolo IAM (invece di un utente) nella Guida per l'utente di IAM.

Gestione dell'accesso con policy

Puoi controllare l'accesso AWS creando policy e collegandole a AWS identità o risorse. Una policy è un oggetto AWS che, se associato a un'identità o a una risorsa, ne definisce le autorizzazioni. AWS valuta queste politiche quando un principale (utente, utente root o sessione di ruolo) effettua una richiesta. Le autorizzazioni nelle policy determinano l'approvazione o il rifiuto della richiesta. La maggior parte delle politiche viene archiviata AWS come documenti JSON. Per ulteriori informazioni sulla struttura e sui contenuti dei documenti delle policy JSON, consulta Panoramica delle policy JSON nella Guida per l'utente di IAM.

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale principale può eseguire azioni su quali risorse e in quali condizioni.

Per impostazione predefinita, utenti e ruoli non dispongono di autorizzazioni. Per concedere agli utenti l'autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. Successivamente l'amministratore può aggiungere le policy IAM ai ruoli e gli utenti possono assumere i ruoli.

Le policy IAM definiscono le autorizzazioni relative a un'operazione, a prescindere dal metodo utilizzato per eseguirla. Ad esempio, supponiamo di disporre di una policy che consente l'azione iam:GetRole. Un utente con tale policy può ottenere informazioni sul ruolo dall' AWS Management Console AWS CLI, dall'o dall' AWS API.

Policy basate su identità

Le policy basate su identità sono documenti di policy di autorizzazione JSON che è possibile allegare a un'identità (utente, gruppo di utenti o ruolo IAM). Tali policy definiscono le azioni che utenti e ruoli possono eseguire, su quali risorse e in quali condizioni. Per informazioni su come creare una policy basata su identità, consulta Creazione di policy IAM nella Guida per l'utente di IAM.

Le policy basate su identità possono essere ulteriormente classificate come policy inline o policy gestite. Le policy inline sono incorporate direttamente in un singolo utente, gruppo o ruolo. Le politiche gestite sono politiche autonome che puoi allegare a più utenti, gruppi e ruoli nel tuo Account AWS. Le politiche gestite includono politiche AWS gestite e politiche gestite dai clienti. Per informazioni su come scegliere tra una policy gestita o una policy inline, consulta Scelta fra policy gestite e policy inline nella Guida per l'utente di IAM.

Policy basate su risorse

Le policy basate su risorse sono documenti di policy JSON che è possibile allegare a una risorsa. Gli esempi più comuni di policy basate su risorse sono le policy di attendibilità dei ruoli IAM e le policy dei bucket Amazon S3. Nei servizi che supportano policy basate sulle risorse, gli amministratori dei servizi possono utilizzarle per controllare l'accesso a una risorsa specifica. Quando è allegata a una risorsa, una policy definisce le azioni che un principale può eseguire su tale risorsa e a quali condizioni. È necessario specificare un principale in una policy basata sulle risorse. I principali possono includere account, utenti, ruoli, utenti federati o. Servizi AWS

Le policy basate sulle risorse sono policy inline che si trovano in tale servizio. Non puoi utilizzare le policy AWS gestite di IAM in una policy basata sulle risorse.

Liste di controllo degli accessi (ACL)

Le liste di controllo degli accessi (ACL) controllano quali principali (membri, utenti o ruoli dell'account) hanno le autorizzazioni per accedere a una risorsa. Le ACL sono simili alle policy basate su risorse, sebbene non utilizzino il formato del documento di policy JSON.

Amazon S3 e Amazon VPC sono esempi di servizi che supportano gli ACL. AWS WAF Per maggiori informazioni sulle ACL, consulta Panoramica delle liste di controllo degli accessi (ACL) nella Guida per gli sviluppatori di Amazon Simple Storage Service.

Altri tipi di policy

AWS supporta tipi di policy aggiuntivi e meno comuni. Questi tipi di policy possono impostare il numero massimo di autorizzazioni concesse dai tipi di policy più comuni.

  • Limiti delle autorizzazioni: un limite delle autorizzazioni è una funzione avanzata nella quale si imposta il numero massimo di autorizzazioni che una policy basata su identità può concedere a un'entità IAM (utente o ruolo IAM). È possibile impostare un limite delle autorizzazioni per un'entità. Le autorizzazioni risultanti sono l'intersezione delle policy basate su identità dell'entità e i relativi limiti delle autorizzazioni. Le policy basate su risorse che specificano l'utente o il ruolo nel campo Principal sono condizionate dal limite delle autorizzazioni. Un rifiuto esplicito in una qualsiasi di queste policy sostituisce l'autorizzazione. Per ulteriori informazioni sui limiti delle autorizzazioni, consulta Limiti delle autorizzazioni per le entità IAM nella Guida per l'utente di IAM.

  • Politiche di controllo dei servizi (SCP): le SCP sono politiche JSON che specificano le autorizzazioni massime per un'organizzazione o un'unità organizzativa (OU) in. AWS Organizations AWS Organizations è un servizio per il raggruppamento e la gestione centralizzata di più Account AWS di proprietà dell'azienda. Se abiliti tutte le funzionalità in un'organizzazione, puoi applicare le policy di controllo dei servizi (SCP) a uno o tutti i tuoi account. L'SCP limita le autorizzazioni per le entità negli account dei membri, inclusa ciascuna. Utente root dell'account AWS Per ulteriori informazioni su organizzazioni e policy SCP, consulta la pagina sulle Policy di controllo dei servizi nella Guida per l'utente di AWS Organizations .

  • Policy di sessione: le policy di sessione sono policy avanzate che vengono trasmesse come parametro quando si crea in modo programmatico una sessione temporanea per un ruolo o un utente federato. Le autorizzazioni della sessione risultante sono l'intersezione delle policy basate su identità del ruolo o dell'utente e le policy di sessione. Le autorizzazioni possono anche provenire da una policy basata su risorse. Un rifiuto esplicito in una qualsiasi di queste policy sostituisce l'autorizzazione. Per ulteriori informazioni, consulta Policy di sessione nella Guida per l'utente di IAM.

Più tipi di policy

Quando più tipi di policy si applicano a una richiesta, le autorizzazioni risultanti sono più complicate da comprendere. Per scoprire come si AWS determina se consentire una richiesta quando sono coinvolti più tipi di policy, consulta Logica di valutazione delle policy nella IAM User Guide.

AWS politiche gestite (predefinite) per CloudWatch

AWS affronta molti casi d'uso comuni fornendo politiche IAM autonome create e amministrate da AWS. Queste policy AWS gestite concedono le autorizzazioni necessarie per i casi d'uso comuni in modo da evitare di dover esaminare quali autorizzazioni sono necessarie. Per ulteriori informazioni, consultare Policy gestite da AWSnella Guida per l'utente di IAM.

Le seguenti politiche AWS gestite, che puoi allegare agli utenti del tuo account, sono specifiche per. CloudWatch

CloudWatchFullAccessV2

AWS ha recentemente aggiunto la politica IAM gestita CloudWatchFullAccessV2. Questa politica garantisce l'accesso completo ad CloudWatch azioni e risorse e definisce anche in modo più adeguato le autorizzazioni concesse per altri servizi come Amazon SNS e. Amazon EC2 Auto Scaling Ti consigliamo di iniziare a utilizzare questa politica anziché utilizzare. CloudWatchFullAccess AWS piani per diventare obsoleti CloudWatchFullAccessnelle prossime future.

Include alcune autoscaling:Describe autorizzazioni in modo che gli utenti con questo criterio possano vedere le azioni di Auto Scaling associate CloudWatch agli allarmi. Include alcune sns autorizzazioni in modo che gli utenti con questa politica possano recuperare, creare argomenti Amazon SNS e associarli agli allarmi. CloudWatch Include le autorizzazioni IAM in modo che gli utenti con questa policy possano visualizzare le informazioni sui ruoli collegati ai servizi associati a. CloudWatch Include le autorizzazioni oam:ListSinks e le oam:ListAttachedLinks autorizzazioni in modo che gli utenti con questa politica possano utilizzare la console per visualizzare i dati condivisi dagli account di origine in modo osservabile su più account. CloudWatch

Include rum e xray autorizzazioni in modo che gli utenti possano avere pieno accesso a CloudWatch Synthetics CloudWatch e RUM AWS X-Ray, tutti inclusi nel servizio. synthetics CloudWatch

I contenuti della CloudWatchFullAccessV2 sono i seguenti:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchFullAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribePolicies",
                "cloudwatch:*",
                "logs:*",
                "sns:CreateTopic",
                "sns:ListSubscriptions",
                "sns:ListSubscriptionsByTopic",
                "sns:ListTopics",
                "sns:Subscribe",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks",
                "rum:*",
                "synthetics:*",
                "xray:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CloudWatchApplicationSignalsServiceLinkedRolePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "application-signals.cloudwatch.amazonaws.com"
                }
            }
        },
        {
            "Sid": "EventsServicePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
         {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchFullAccess

La CloudWatchFullAccesspolitica è sulla buona strada verso la deprecazione. Ti consigliamo di smettere di usarla e di utilizzare invece la V2. CloudWatchFullAccess

I contenuti di CloudWatchFullAccesssono i seguenti:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "autoscaling:Describe*",
                "cloudwatch:*",
                "logs:*",
                "sns:*",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchReadOnlyAccess

La CloudWatchReadOnlyAccesspolitica garantisce l'accesso in sola lettura a. CloudWatch

La politica include alcune logs: autorizzazioni, in modo che gli utenti con questa politica possano utilizzare la console per visualizzare le informazioni di Logs e le query di CloudWatch Logs Insights. CloudWatch Includeautoscaling:Describe*, in modo che gli utenti con questo criterio possano vedere le azioni di Auto Scaling associate CloudWatch agli allarmi. Include application-autoscaling:DescribeScalingPolicies, in modo che gli utenti con questa policy possano accedere alle informazioni sulle policy Application Auto Scaling. Include sns:Get* esns:List*, in modo che gli utenti con questa politica possano recuperare informazioni sugli argomenti di Amazon SNS che ricevono notifiche CloudWatch sugli allarmi. Include le oam:ListAttachedLinks autorizzazioni oam:ListSinks e, in modo che gli utenti con questa politica possano utilizzare la console per visualizzare i dati condivisi dagli account di origine in modo osservabile su più account. CloudWatch

Include rum e xray autorizzazioni in modo che gli utenti possano avere accesso in sola lettura a Synthetics CloudWatch e CloudWatch RUM AWS X-Ray, tutti inclusi nel servizio. synthetics CloudWatch

Di seguito è riportato il contenuto della politica. CloudWatchReadOnlyAccess

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchReadOnlyAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "autoscaling:Describe*",
                "cloudwatch:BatchGet*",
                "cloudwatch:Describe*",
                "cloudwatch:GenerateQuery",
                "cloudwatch:Get*",
                "cloudwatch:List*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:Describe*",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "logs:StartLiveTail",
                "logs:StopLiveTail",
                "oam:ListSinks",
                "sns:Get*",
                "sns:List*",
                "rum:BatchGet*",
                "rum:Get*",
                "rum:List*",
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "xray:BatchGet*",
                "xray:Get*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
     ]
}

CloudWatchActionsEC2Access

La policy CloudWatchActionsEC2Access garantisce l'accesso in sola lettura ad CloudWatch allarmi e metriche oltre ai metadati di Amazon EC2. Concede inoltre l'accesso alle operazioni API di arresto, termine e riavvio per le istanze EC2.

Di seguito è riportato il contenuto della policy EC2Access. CloudWatchActions

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:Describe*",
        "ec2:Describe*",
        "ec2:RebootInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*"
    }
  ]
}

CloudWatchAutomaticDashboardsAccess

La policy CloudWatch- CrossAccountAccess gestita viene utilizzata dal ruolo CloudWatch- CrossAccountSharingRole IAM. Questo ruolo e la policy consentono agli utenti dei pannelli di controllo tra più account di visualizzare pannelli di controllo automatici in ciascun account che condivide i pannelli di controllo.

Di seguito è riportato il contenuto di CloudWatchAutomaticDashboardsAccess:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:DescribeAutoScalingGroups",
        "cloudfront:GetDistribution",
        "cloudfront:ListDistributions",
        "dynamodb:DescribeTable",
        "dynamodb:ListTables",
        "ec2:DescribeInstances",
        "ec2:DescribeVolumes",
        "ecs:DescribeClusters",
        "ecs:DescribeContainerInstances",
        "ecs:ListClusters",
        "ecs:ListContainerInstances",
        "ecs:ListServices",
        "elasticache:DescribeCacheClusters",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticfilesystem:DescribeFileSystems",
        "elasticloadbalancing:DescribeLoadBalancers",
        "kinesis:DescribeStream",
        "kinesis:ListStreams",
        "lambda:GetFunction",
        "lambda:ListFunctions",
        "rds:DescribeDBClusters",
        "rds:DescribeDBInstances",
        "resource-groups:ListGroupResources",
        "resource-groups:ListGroups",
        "route53:GetHealthCheck",
        "route53:ListHealthChecks",
        "s3:ListAllMyBuckets",
        "s3:ListBucket",
        "sns:ListTopics",
        "sqs:GetQueueAttributes",
        "sqs:GetQueueUrl",
        "sqs:ListQueues",
        "synthetics:DescribeCanariesLastRun",
        "tag:GetResources"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "apigateway:GET"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:apigateway:*::/restapis*"
      ]
    }
  ]

CloudWatchAgentServerPolicy

La CloudWatchAgentServerPolicypolicy può essere utilizzata nei ruoli IAM collegati alle istanze Amazon EC2 per consentire all' CloudWatch agente di leggere le informazioni dall'istanza e scriverle su. CloudWatch I suoi contenuti sono i seguenti.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchServerPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeVolumes",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMServerPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}

CloudWatchAgentAdminPolicy

La CloudWatchAgentAdminPolicypolicy può essere utilizzata nei ruoli IAM collegati alle istanze Amazon EC2. Questa policy consente all' CloudWatch agente di leggere le informazioni dall'istanza e di scriverle CloudWatch, nonché di scrivere informazioni su Parameter Store. I suoi contenuti sono i seguenti.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}
Nota

Per esaminare queste policy di autorizzazione, accedi alla console IAM ed esegui la ricerca delle policy specifiche.

È inoltre possibile creare policy IAM personalizzate per concedere le autorizzazioni per operazioni e risorse CloudWatch . Puoi associare queste policy personalizzate agli utenti o ai gruppi IAM che richiedono tali autorizzazioni.

AWS politiche gestite (predefinite) per l'osservabilità CloudWatch tra account

Le politiche di questa sezione concedono le autorizzazioni relative all'osservabilità tra account. CloudWatch Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account.

CloudWatchCrossAccountSharingConfiguration

La CloudWatchCrossAccountSharingConfigurationpolitica consente l'accesso per creare, gestire e visualizzare i collegamenti di Observability Access Manager per la condivisione di risorse tra account. CloudWatch Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account. I contenuti sono come indicato di seguito:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Link",
                "oam:ListLinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:DeleteLink",
                "oam:GetLink",
                "oam:TagResource"
            ],
            "Resource": "arn:aws:oam:*:*:link/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:CreateLink",
                "oam:UpdateLink"
            ],
            "Resource": [
                "arn:aws:oam:*:*:link/*",
                "arn:aws:oam:*:*:sink/*"
            ]
        }
    ]
}

OAM FullAccess

La FullAccess politica OAM consente l'accesso per creare, gestire e visualizzare i sink e i link di Observability Access Manager, utilizzati per l'osservabilità tra account. CloudWatch

La FullAccess politica OAM di per sé non consente di condividere i dati di osservabilità tra link. Per creare un link per condividere le CloudWatch metriche, è necessario anche uno o. CloudWatchFullAccessCloudWatchCrossAccountSharingConfiguration Per creare un link per condividere i gruppi di log di CloudWatch Logs, è necessario anche uno o CloudWatchLogsFullAccess. CloudWatchLogsCrossAccountSharingConfiguration Per creare un link per condividere le tracce a raggi X, è necessario anche uno o AWSXRayFullAccess. AWSXRayCrossAccountSharingConfiguration

Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account. I contenuti sono come indicato di seguito:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:*"
            ],
            "Resource": "*"
        }
    ]
}

OAM ReadOnlyAccess

La ReadOnlyAccess politica OAM garantisce l'accesso in sola lettura alle risorse di Observability Access Manager, che vengono utilizzate per l'osservabilità tra account. CloudWatch Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account. I contenuti sono come indicato di seguito:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:Get*",
                "oam:List*"
            ],
            "Resource": "*"
        }
    ]
}

AWS politiche gestite (predefinite) per CloudWatch Synthetics

Le policy CloudWatchSyntheticsReadOnlyAccess AWS gestite sono disponibili CloudWatchSyntheticsFullAccesse possono essere assegnate agli utenti che gestiranno o utilizzeranno CloudWatch Synthetics. Sono rilevanti anche le seguenti policy aggiuntive:

  • AmazonS3 ReadOnlyAccess e CloudWatchReadOnlyAccess— Questi sono necessari per poter leggere tutti i dati Synthetics nella console. CloudWatch

  • AWSLambdaReadOnlyAccess— Per poter visualizzare il codice sorgente usato dai canarini.

  • CloudWatchSyntheticsFullAccessconsente di creare canarini. Inoltre, per creare ed eliminare canarini a cui è stato creato un nuovo ruolo IAM, è necessaria anche la seguente dichiarazione politica in linea:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:CreatePolicy",
                "iam:DeletePolicy",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*",
                "arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*"
            ]
        }
    ]
}
    Importante

    Concedere a un utente le autorizzazioni iam:CreateRole, iam:DeleteRole, iam:CreatePolicy, iam:DeletePolicy, iam:AttachRolePolicy e iam:DetachRolePolicy fornisce all'utente l'accesso amministrativo completo per creare, allegare ed eliminare ruoli e policy con ARN corrispondentiarn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*earn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*. Ad esempio, un utente con queste autorizzazioni può creare una policy che dispone di autorizzazioni complete per tutte le risorse e collegare tale policy a qualsiasi ruolo che coincide con il modello ARN. Presta molta attenzione a chi concedi queste autorizzazioni.

    Per informazioni su come collegare policy e concedere autorizzazioni a utenti, consulta Modifica delle autorizzazioni per un utente IAM e Per incorporare una policy inline per un utente o un ruolo.

CloudWatchSyntheticsFullAccess

Di seguito è riportato il contenuto della policy. CloudWatchSyntheticsFullAccess

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::cw-syn-results-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "s3:ListAllMyBuckets",
                "xray:GetTraceSummaries",
                "xray:BatchGetTraces",
                "apigateway:GET"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::cw-syn-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::aws-synthetics-library-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "lambda.amazonaws.com",
                        "synthetics.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:ListAttachedRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm",
                "cloudwatch:DeleteAlarms"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:Synthetics-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:CreateFunction",
                "lambda:AddPermission",
                "lambda:PublishVersion",
                "lambda:UpdateFunctionCode",
                "lambda:UpdateFunctionConfiguration",
                "lambda:GetFunctionConfiguration",
                "lambda:DeleteFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:cwsyn-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:GetLayerVersion",
                "lambda:PublishLayerVersion",
                "lambda:DeleteLayerVersion"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:layer:cwsyn-*",
                "arn:aws:lambda:*:*:layer:Synthetics:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:ListSubscriptionsByTopic"
            ],
            "Resource": [
                "arn:*:sns:*:*:Synthetics-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:*:*:key/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:*:*:key/*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "s3.*.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

CloudWatchSyntheticsReadOnlyAccess

Di seguito è riportato il contenuto della CloudWatchSyntheticsReadOnlyAccesspolitica.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "lambda:GetFunctionConfiguration"
            ],
            "Resource": "*"
        }
    ]
}

AWS politiche gestite (predefinite) per Amazon RUM CloudWatch

Le AmazonCloudWatch politiche ReadOnlyAccess AWS gestite AmazonCloudWatchRUM FullAccess e RUM possono essere assegnate agli utenti che gestiranno o utilizzeranno CloudWatch RUM.

AmazonCloudWatchRUM FullAccess

Di seguito sono riportati i contenuti della FullAccess politica AmazonCloudWatchRUM.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rum:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/rum.amazonaws.com/AWSServiceRoleForRealUserMonitoring"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/RUM-Monitor*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "cognito-identity.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "arn:aws:cloudwatch:*:*:alarm:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cognito-identity:CreateIdentityPool",
                "cognito-identity:ListIdentityPools",
                "cognito-identity:DescribeIdentityPool",
                "cognito-identity:GetIdentityPoolRoles",
                "cognito-identity:SetIdentityPoolRoles"
            ],
            "Resource": "arn:aws:cognito-identity:*:*:identitypool/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:DeleteLogGroup",
                "logs:PutRetentionPolicy",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:*RUMService*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "logs:DescribeResourcePolicies"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:*:*:log-group::log-stream:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:describeCanaries",
                "synthetics:describeCanariesLastRun"
            ],
            "Resource": "arn:aws:synthetics:*:*:canary:*"
        }
    ]
}

AmazonCloudWatchRUM ReadOnlyAccess

Di seguito sono riportati i contenuti della ReadOnlyAccess politica AmazonCloudWatchRUM.

{

	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"rum:GetAppMonitor",
				"rum:GetAppMonitorData",
				"rum:ListAppMonitors",
				"rum:ListRumMetricsDestinations",
				"rum:BatchGetRumMetricDefinitions"
			],
			"Resource": "*"
		}
	]
}

AmazonCloudWatchRUM ServiceRolePolicy

Non puoi collegare AmazonCloudWatchRUM ServiceRolePolicy alle tue entità IAM. Questa policy è associata a un ruolo collegato al servizio che consente a CloudWatch RUM di pubblicare i dati di monitoraggio su altri servizi pertinenti AWS . Per ulteriori informazioni su questo ruolo collegato alservizio, consultare Utilizzo di ruoli collegati ai servizi per RUM CloudWatch .

Il contenuto completo di AmazonCloudWatchRUM è il ServiceRolePolicy seguente.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"cloudwatch:namespace": [
						"RUM/CustomMetrics/*",
						"AWS/RUM"
					]
				}
			}
		}
	]
}

AWS politiche gestite (predefinite) per CloudWatch Evidently

Le politiche CloudWatchEvidentlyReadOnlyAccess AWS gestite sono disponibili CloudWatchEvidentlyFullAccesse possono essere assegnate agli utenti che gestiranno o CloudWatch utilizzeranno Evidently.

CloudWatchEvidentlyFullAccess

Di seguito sono riportati i contenuti della CloudWatchEvidentlyFullAccesspolitica.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchRUMEvidentlyRole-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:DescribeAlarmHistory",
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms",
                "cloudwatch:TagResource",
                "cloudwatch:UnTagResource"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:Evidently-Alarm-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:ListSubscriptionsByTopic"
            ],
            "Resource": [
                "arn:*:sns:*:*:Evidently-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

CloudWatchEvidentlyReadOnlyAccess

Di seguito sono riportati i contenuti della CloudWatchEvidentlyReadOnlyAccesspolitica.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:GetExperiment",
                "evidently:GetFeature",
                "evidently:GetLaunch",
                "evidently:GetProject",
                "evidently:GetSegment",
                "evidently:ListExperiments",
                "evidently:ListFeatures",
                "evidently:ListLaunches",
                "evidently:ListProjects",
                "evidently:ListSegments",
                "evidently:ListSegmentReferencs"                               
            ],
            "Resource": "*"
        }
    ]
}

AWS policy gestita per AWS Systems Manager Incident Manager

La AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicypolicy è associata a un ruolo collegato al servizio che consente di CloudWatch avviare incidenti in AWS Systems Manager Incident Manager per conto dell'utente. Per ulteriori informazioni, consulta la pagina Autorizzazioni di ruolo collegate ai servizi per le azioni di CloudWatch Systems Manager Incident Manager degli allarmi.

La policy ha le seguenti autorizzazioni:

  • incidenti ssm: StartIncident

Esempi di policy gestite dal cliente

In questa sezione, puoi trovare esempi di politiche utente che concedono autorizzazioni per varie CloudWatch azioni. Queste politiche funzionano quando utilizzi l' CloudWatch API, gli AWS SDK o il. AWS CLI

Esempio 1: consenti all'utente l'accesso completo a CloudWatch

Per concedere a un utente l'accesso completo a CloudWatch, puoi utilizzare la politica CloudWatchFullAccessgestita anziché creare una politica gestita dal cliente. I contenuti di CloudWatchFullAccesssono elencati in. CloudWatchFullAccess

Esempio 2: consentire l'accesso in sola lettura a CloudWatch

La seguente policy consente a un utente di accedere CloudWatch e visualizzare in sola lettura le CloudWatch azioni, i CloudWatch parametri, i dati di log e i dati di Amazon SNS relativi agli allarmi di Amazon EC2 Auto Scaling.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:Describe*",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "logs:Get*",
        "logs:Describe*",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:TestMetricFilter",
        "logs:FilterLogEvents",
        "logs:StartLiveTail",
        "logs:StopLiveTail",
        "sns:Get*",
        "sns:List*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Esempio 3: interrompere o terminare un'istanza Amazon EC2

La seguente policy consente a un'azione di allarme di interrompere o terminare un'istanza EC2 CloudWatch . Nell'esempio seguente GetMetricData ListMetrics, le DescribeAlarms azioni e sono facoltative. Ti consigliamo di includere tali operazioni per assicurarti di aver arrestato o terminato correttamente l'istanza.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:PutMetricAlarm",
        "cloudwatch:GetMetricData",
        "cloudwatch:ListMetrics",
        "cloudwatch:DescribeAlarms"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    }
  ]
}

CloudWatch aggiornamenti alle politiche AWS gestite

Visualizza i dettagli sugli aggiornamenti delle politiche AWS gestite CloudWatch da quando questo servizio ha iniziato a tenere traccia di queste modifiche. Per ricevere avvisi automatici sulle modifiche a questa pagina, iscriviti al feed RSS nella pagina della cronologia dei CloudWatch documenti.

Modifica Descrizione Data

CloudWatchAgentServerPolicy: aggiornamento a una policy esistente

CloudWatch ha aggiunto i permessi a. CloudWatchAgentServerPolicy

Le logs:PutRetentionPolicy autorizzazioni xray:PutTraceSegmentsxray:PutTelemetryRecords,xray:GetSamplingRules,xray:GetSamplingTargets, xray:GetSamplingStatisticSummaries e sono state aggiunte in modo che l' CloudWatch agente possa pubblicare tracce X-Ray e modificare i periodi di conservazione dei gruppi di log.

 12 febbraio 2024

CloudWatchAgentAdminPolicy: aggiornamento a una policy esistente

CloudWatch ha aggiunto i permessi a. CloudWatchAgentAdminPolicy

Le logs:PutRetentionPolicy autorizzazioni xray:PutTraceSegmentsxray:PutTelemetryRecords,xray:GetSamplingRules,xray:GetSamplingTargets, xray:GetSamplingStatisticSummaries e sono state aggiunte in modo che l' CloudWatch agente possa pubblicare tracce X-Ray e modificare i periodi di conservazione dei gruppi di log.

 12 febbraio 2024

CloudWatchFullAccessV2 — Aggiornamento a una politica esistente

CloudWatch autorizzazioni aggiunte alla CloudWatchFullAccess V2.

Sono state aggiunte le autorizzazioni esistenti per le azioni CloudWatch Synthetics, CloudWatch X-Ray e RUM e nuove CloudWatch autorizzazioni per Application Signals in modo che gli utenti con questa politica possano gestire Application Signals. CloudWatch

L'autorizzazione a creare il ruolo collegato al servizio CloudWatch Application Signals è stata aggiunta per consentire ad CloudWatch Application Signals di scoprire i dati di telemetria in log, metriche, tracce e tag.

 5 dicembre 2023

CloudWatchReadOnlyAccess: aggiornamento a una policy esistente

CloudWatch CloudWatchReadOnlyAccessha aggiunto autorizzazioni a.

Sono state aggiunte le autorizzazioni di sola lettura esistenti per le azioni CloudWatch Synthetics, X-Ray CloudWatch e RUM e le nuove autorizzazioni di sola lettura CloudWatch per Application Signals in modo che gli utenti con questa politica possano valutare e diagnosticare i problemi di integrità del servizio, come riportato da Application Signals. CloudWatch

L'cloudwatch:GenerateQueryautorizzazione è stata aggiunta in modo che gli utenti con questa policy possano generare una stringa di query Metrics Insights da un prompt in linguaggio naturale. CloudWatch

5 dicembre 2023

CloudWatchApplicationSignalsServiceRolePolicy: nuova policy

CloudWatch ha aggiunto una nuova politica. CloudWatchApplicationSignalsServiceRolePolicy

CloudWatchApplicationSignalsServiceRolePolicyConcede a una funzionalità imminente le autorizzazioni per raccogliere dati di CloudWatch registro, dati di traccia a raggi X, dati di CloudWatch metrica e dati di etichettatura.

 9 novembre 2023

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy: nuova policy

CloudWatch AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicyha aggiunto una nuova politica.

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicyConcede l'autorizzazione CloudWatch a recuperare le metriche di Performance Insights dai database per tuo conto.

 20 settembre 2023

CloudWatchReadOnlyAccess: aggiornamento a una policy esistente

CloudWatch ha aggiunto un'autorizzazione a. CloudWatchReadOnlyAccess

L'autorizzazione application-autoscaling:DescribeScalingPolicies è stata aggiunta in modo che gli utenti con questa policy possano accedere alle informazioni sulle policy Application Auto Scaling.

 14 settembre 2023

CloudWatchFullAccessV2 — Nuova politica

CloudWatch ha aggiunto una nuova politica CloudWatchFullAccessV2.

La CloudWatchFullAccessV2 garantisce l'accesso completo ad CloudWatch azioni e risorse, definendo al contempo meglio le autorizzazioni concesse ad altri servizi come Amazon SNS e. Amazon EC2 Auto Scaling Per ulteriori informazioni, consulta V2. CloudWatchFullAccess

 1° agosto 2023

AWSServiceRoleForInternetMonitor: aggiornamento a una policy esistente

Amazon CloudWatch Internet Monitor ha aggiunto nuove autorizzazioni per monitorare le risorse di Network Load Balancer.

Le autorizzazioni elasticloadbalancing:DescribeLoadBalancers e ec2:DescribeNetworkInterfaces sono necessarie affinché Monitor Internet possa monitorare il traffico Network Load Balancer dei clienti tramite l'analisi dei log di flusso per le risorse NLB.

Per ulteriori informazioni, consulta Utilizzo di Amazon CloudWatch Internet Monitor.

 15 luglio 2023

CloudWatchReadOnlyAccess: aggiornamento a una policy esistente

CloudWatch ha aggiunto autorizzazioni a. CloudWatchReadOnlyAccess

Le logs:StopLiveTail autorizzazioni logs:StartLiveTail e sono state aggiunte in modo che gli utenti con questo criterio possano utilizzare la console per avviare e interrompere le sessioni live tail di CloudWatch Logs. Per ulteriori informazioni, consulta Use live tail to view logs in near real time.

 6 giugno 2023

CloudWatchCrossAccountSharingConfiguration: nuova policy

CloudWatch ha aggiunto una nuova politica per consentire di gestire i link di osservabilità CloudWatch tra account che condividono le metriche. CloudWatch

Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account.

 27 novembre 2022

FullAccessOAM — Nuova politica

CloudWatch ha aggiunto una nuova politica per consentirti di gestire completamente i link e i CloudWatch sink di osservabilità tra account.

Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account.

 27 novembre 2022

ReadOnlyAccessOAM — Nuova politica

CloudWatch ha aggiunto una nuova politica che consente di visualizzare le informazioni sui link e sui CloudWatch sink di osservabilità tra account.

Per ulteriori informazioni, consulta CloudWatch osservabilità tra più account.

 27 novembre 2022

CloudWatchFullAccess: aggiornamento a una policy esistente

CloudWatch ha aggiunto i permessi a. CloudWatchFullAccess

Le oam:ListAttachedLinks autorizzazioni oam:ListSinks e sono state aggiunte in modo che gli utenti con questo criterio possano utilizzare la console per visualizzare i dati condivisi dagli account di origine in modo osservabile CloudWatch tra più account.

 27 novembre 2022

CloudWatchReadOnlyAccess: aggiornamento a una policy esistente

CloudWatch ha aggiunto le autorizzazioni a. CloudWatchReadOnlyAccess

Le oam:ListAttachedLinks autorizzazioni oam:ListSinks e sono state aggiunte in modo che gli utenti con questo criterio possano utilizzare la console per visualizzare i dati condivisi dagli account di origine in modo osservabile CloudWatch tra più account.

 27 novembre 2022

AmazonCloudWatchRUM ServiceRolePolicy: aggiornamento a una politica esistente

CloudWatch RUM ha aggiornato una chiave di condizione in AmazonCloudWatchRUM ServiceRolePolicy.

La chiave di "Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/RUM" } } condizione è stata modificata nella seguente in modo che CloudWatch RUM possa inviare metriche personalizzate a namespace di metriche personalizzate.

"Condition": {
    "StringLike": {
		"cloudwatch:namespace": [
			"RUM/CustomMetrics/*",
			"AWS/RUM"
		]
	}
}
2 febbraio 2023

AmazonCloudWatchRUM — Politica aggiornata ReadOnlyAccess

CloudWatch ha aggiunto i permessi alla ReadOnlyAccess politica AmazonCloudWatchRUM.

Le rum:BatchGetRumMetricsDefinitions autorizzazioni rum:ListRumMetricsDestinations e sono state aggiunte in modo che CloudWatch RUM possa inviare metriche estese a CloudWatch ed Evidently.

 27 ottobre 2022

AmazonCloudWatchRUM ServiceRolePolicy: aggiornamento a una politica esistente

CloudWatch RUM ha aggiunto le autorizzazioni al AmazonCloudWatchRUM ServiceRolePolicy.

L'cloudwatch:PutMetricDataautorizzazione è stata aggiunta in modo che CloudWatch RUM possa inviare metriche estese a. CloudWatch

 26 ottobre 2022

CloudWatchEvidentlyReadOnlyAccess: aggiornamento a una policy esistente

CloudWatch Evidentemente sono state aggiunte autorizzazioni a. CloudWatchEvidentlyReadOnlyAccess

Sono state aggiunte le autorizzazioni evidently:GetSegment, evidently:ListSegments e evidently:ListSegmentReferences, in modo che gli utenti con questa policy possano visualizzare i segmenti di destinatari Evidently che sono stati creati.

 12 agosto 2022

CloudWatchSyntheticsFullAccess: aggiornamento a una policy esistente

CloudWatch Synthetics ha aggiunto le autorizzazioni a. CloudWatchSyntheticsFullAccess

Le lambda:DeleteLayerVersion autorizzazioni lambda:DeleteFunction e sono state aggiunte in modo che CloudWatch Synthetics possa eliminare le risorse correlate quando viene eliminato un canarino. La iam:ListAttachedRolePolicies è stata aggiunta in modo che i clienti possano visualizzare le policy collegate al ruolo IAM di Canary.

 6 maggio 2022

AmazonCloudWatchRUM — Nuova politica FullAccess

CloudWatch ha aggiunto una nuova politica per consentire la gestione completa del CloudWatch RUM.

CloudWatch RUM ti consente di eseguire il monitoraggio reale degli utenti della tua applicazione web. Per ulteriori informazioni, consulta la pagina Usa CloudWatch RUM.

 29 novembre 2021

AmazonCloudWatchRUM ReadOnlyAccess — Nuova politica

CloudWatch ha aggiunto una nuova politica per abilitare l'accesso in sola lettura al CloudWatch RUM.

CloudWatch RUM ti consente di eseguire il monitoraggio reale degli utenti della tua applicazione web. Per ulteriori informazioni, consulta la pagina Usa CloudWatch RUM.

 29 novembre 2021

CloudWatchEvidentlyFullAccess: nuova policy

CloudWatch ha aggiunto una nuova politica per consentire la gestione completa di CloudWatch Evidently.

CloudWatch Evidently ti consente di eseguire esperimenti A/B sulle tue applicazioni web e di implementarle gradualmente. Per ulteriori informazioni, consulta la pagina Esegui lanci ed esperimenti A/B con Evidently CloudWatch .

 29 novembre 2021

CloudWatchEvidentlyReadOnlyAccess: nuova policy

CloudWatch ha aggiunto una nuova policy per abilitare l'accesso in sola lettura a Evidently. CloudWatch

CloudWatch Evidentemente ti consente di eseguire esperimenti A/B sulle tue applicazioni web e di implementarle gradualmente. Per ulteriori informazioni, consulta la pagina Esegui lanci ed esperimenti A/B con Evidently CloudWatch .

 29 novembre 2021

AWSServiceRoleForCloudWatchRUM— Nuova politica gestita

CloudWatch ha aggiunto una politica per un nuovo ruolo collegato ai servizi per consentire a CloudWatch RUM di pubblicare i dati di monitoraggio su altri servizi pertinenti. AWS

29 novembre 2021

CloudWatchSyntheticsFullAccess: aggiornamento a una policy esistente

CloudWatch Synthetics ha aggiunto le autorizzazioni CloudWatchSyntheticsFullAccesse ha anche modificato l'ambito di un'autorizzazione.

L'autorizzazione kms:ListAliases è stata aggiunta in modo che gli utenti possano elencare chiavi AWS KMS disponibili che è possibile utilizzare per crittografare gli artefatti canary. L'autorizzazione kms:DescribeKey è stata aggiunta in modo che gli utenti possano vedere i dettagli delle chiavi che verranno utilizzate per crittografare gli artefatti canary. L'autorizzazione kms:Decryptè stata aggiunta per consentire agli utenti di decrittare artefatti canary. Questa capacità di decrittografia è limitata all'utilizzo delle risorse all'interno dei bucket Amazon S3.

L'ambito Resource del permesso s3:GetBucketLocation è stato modificato da * a arn:aws:s3:::*.

 29 settembre 2021

CloudWatchSyntheticsFullAccess: aggiornamento a una policy esistente

CloudWatch Synthetics ha aggiunto un'autorizzazione a. CloudWatchSyntheticsFullAccess

L'autorizzazione lambda:UpdateFunctionCode è stata aggiunta in modo che gli utenti con questa policy possano modificare la versione di runtime dei canary.

 20 luglio 2021

AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy— Nuova politica gestita

CloudWatch ha aggiunto una nuova policy IAM gestita CloudWatch per consentire la creazione di incidenti in AWS Systems Manager Incident Manager.

 10 maggio 2021

CloudWatchAutomaticDashboardsAccess— Aggiornamento a una policy esistente

CloudWatch ha aggiunto un'autorizzazione alla politica CloudWatchAutomaticDashboardsAccessgestita. L'synthetics:DescribeCanariesLastRunautorizzazione è stata aggiunta a questa politica per consentire agli utenti della dashboard con più account di visualizzare i dettagli sulle corse canarie di CloudWatch Synthetics.

 20 aprile 2021

CloudWatch ha iniziato a tenere traccia delle modifiche

CloudWatch ha iniziato a tenere traccia delle modifiche per le sue politiche AWS gestite.

 14 aprile 2021