対象者アイデンティティによる認証ポリシーを使用したアクセス権の管理 AWSCloudWatch のマネージド (事前定義) ポリシーお客様が管理するポリシーの例ポリシーの更新

Amazon CloudWatch 用 Identity and Access Management

AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に制御するために役立つ AWS のサービスです。IAM 管理者は、誰を認証 (サインインを許可) し、誰に CloudWatch リソースの使用を許可する (アクセス許可を付与する) かを制御します。IAM は、追加費用なしで使用できる AWS のサービスです。

トピック

対象者

AWS Identity and Access Management (IAM) の使用方法は、CloudWatch で行う作業によって異なります。

サービスユーザー – ジョブを実行するために CloudWatch サービスを使用する場合は、管理者から必要な認証情報とアクセス許可が与えられます。作業を実行するためにさらに多くの CloudWatch 機能を使用する場合、追加のアクセス許可が必要になることがあります。アクセスの管理方法を理解すると、管理者から適切な権限をリクエストするのに役に立ちます。CloudWatch の機能にアクセスできない場合は、「Amazon CloudWatch のアイデンティティとアクセスのトラブルシューティング」を参照してください。

サービス管理者 - 社内の CloudWatch リソースを担当している管理者は、通常、CloudWatch にフルアクセスできます。サービスユーザーが CloudWatch のどの機能やリソースにアクセスするかを決めるのは管理者の仕事です。その後、IAM 管理者にリクエストを送信して、サービスユーザーの権限を変更する必要があります。このページの情報を点検して、IAM の基本概念を理解してください。CloudWatch で IAM をどのように自社で利用できるかの詳細については、「Amazon CloudWatch と IAM の連携方法」を参照してください。

IAM 管理者 - IAM 管理者は、CloudWatch へのアクセスを管理するポリシーの詳しい作成方法について確認する場合があります。IAM で使用できる CloudWatch アイデンティティベースのポリシー例については、「Amazon CloudWatch のアイデンティティベースのポリシー例」を参照してください。

アイデンティティによる認証

認証とは、アイデンティティ認証情報を使用して AWSにサインインする方法です。ユーザーは、AWS アカウントのルートユーザー、IAM ユーザーとして、または IAM ロールを引き受けることによって、認証される (AWSにサインインする) 必要があります。

ID ソースから提供された認証情報を使用して、フェデレーティッドアイデンティティとして AWS にサインインできます。AWS IAM Identity Centerフェデレーティッドアイデンティティの例としては、(IAM アイデンティティセンター) ユーザー、貴社のシングルサインオン認証、Google または Facebook の認証情報などがあります。フェデレーティッド ID としてサインインする場合、IAM ロールを使用して、前もって管理者により ID フェデレーションが設定されています。フェデレーションを使用して AWSにアクセスする場合、間接的にロールを引き受けることになります。

ユーザーのタイプに応じて、AWS Management Consoleまたは AWS アクセスポータルにサインインできます。AWS へのサインインの詳細については、AWS サインインユーザーガイドの「AWS アカウントにサインインする方法」を参照してください。

プログラムを使用して AWS にアクセスする場合、AWSは Software Development Kit (SDK) とコマンドラインインターフェイス (CLI) を提供し、認証情報を使用してリクエストに暗号で署名します。AWS ツールを使用しない場合は、リクエストに自分で署名する必要があります。リクエストに署名する推奨方法の使用については、「IAM ユーザーガイド」の「API リクエストに対する AWS Signature Version 4」を参照してください。

使用する認証方法を問わず、追加セキュリティ情報の提供をリクエストされる場合もあります。例えば、AWSは、アカウントのセキュリティを強化するために多要素認証 (MFA) を使用することをお勧めします。詳細については、「AWS IAM Identity Center ユーザーガイド」の「Multi-factor authentication」および「IAM ユーザーガイド」の「IAM の AWS 多要素認証」を参照してください。

AWS アカウントのルートユーザー

AWS アカウントを作成する場合は、このアカウントのすべての AWS のサービスとリソースに対して完全なアクセス権を持つ 1 つのサインインアイデンティティから始めます。このアイデンティティは AWS アカウントルートユーザーと呼ばれ、アカウントの作成に使用した E メールアドレスとパスワードでサインインすることによってアクセスできます。日常的なタスクには、ルートユーザーを使用しないことを強くお勧めします。ルートユーザーの認証情報は保護し、ルートユーザーでしか実行できないタスクを実行するときに使用します。ルートユーザーとしてサインインする必要があるタスクの完全なリストについては、IAM ユーザーガイドのルートユーザー認証情報が必要なタスクを参照してください。

フェデレーティッドアイデンティティ

ベストプラクティスとして、管理者アクセスを必要とするユーザーを含む人間のユーザーに対し、ID プロバイダーとのフェデレーションを使用して、一時的な認証情報の使用により、AWS のサービスにアクセスすることを要求します。

フェデレーティッド ID は、エンタープライズユーザーディレクトリ、ウェブ ID プロバイダ、AWS Directory Service、Identity Center ディレクトリのユーザーか、または ID ソースから提供された認証情報を使用して AWS のサービスにアクセスするユーザーです。フェデレーティッド ID が AWS アカウントにアクセスすると、ロールが継承され、ロールは一時的な認証情報を提供します。

アクセスを一元管理する場合は、AWS IAM Identity Centerを使用することをお勧めします。IAM アイデンティティセンターでユーザーとグループを作成するか、すべての AWS アカウントとアプリケーションで使用するために、独自の ID ソースで一連のユーザーとグループに接続して同期することもできます。IAM Identity Center の詳細については、「AWS IAM Identity Centerユーザーガイド」の「What is IAM Identity Center?」(IAM Identity Center とは) を参照してください。

IAM ユーザーとグループ

IAM ユーザーは、1 人のユーザーまたは 1 つのアプリケーションに対して特定の許可を持つ AWS アカウント内のアイデンティティです。可能であれば、パスワードやアクセスキーなどの長期的な認証情報を保有する IAM ユーザーを作成する代わりに、一時的な認証情報を使用することをお勧めします。ただし、IAM ユーザーでの長期的な認証情報が必要な特定のユースケースがある場合は、アクセスキーをローテーションすることをお勧めします。詳細については、IAM ユーザーガイドの長期的な認証情報を必要とするユースケースのためにアクセスキーを定期的にローテーションするを参照してください。

IAM グループは、IAM ユーザーの集団を指定するアイデンティティです。グループとしてサインインすることはできません。グループを使用して、複数のユーザーに対して一度に権限を指定できます。多数のユーザーグループがある場合、グループを使用することで権限の管理が容易になります。例えば、IAMAdminsという名前のグループを設定して、そのグループにIAM リソースを管理する許可を与えることができます。

ユーザーは、ロールとは異なります。ユーザーは 1 人の人または 1 つのアプリケーションに一意に関連付けられますが、ロールはそれを必要とする任意の人が引き受けるようになっています。ユーザーには永続的な長期の認証情報がありますが、ロールでは一時認証情報が提供されます。詳細については、「IAM ユーザーガイド」の「IAM ユーザーに関するユースケース」を参照してください。

IAM ロール

IAM ロールは、特定の許可を持つ、AWS アカウント内のアイデンティティです。これは IAM ユーザーに似ていますが、特定のユーザーには関連付けられていません。AWS Management Console で IAM ロールを一時的に引き受けるには、ユーザーから IAM ロール (コンソール) に切り替えることができます。ロールを引き受けるには、AWS CLIまたは AWS API オペレーションを呼び出すか、カスタム URL を使用します。ロールを使用する方法の詳細については、「IAM ユーザーガイド」の「ロールを引き受けるための各種方法」を参照してください。

IAM ロールと一時的な認証情報は、次の状況で役立ちます:

フェデレーションユーザーアクセス – フェデレーティッド ID に許可を割り当てるには、ロールを作成してそのロールの許可を定義します。フェデレーティッド ID が認証されると、その ID はロールに関連付けられ、ロールで定義されている許可が付与されます。フェデレーションの詳細については、「IAM ユーザーガイド」の「Creating a role for a third-party Identity Provider」(サードパーティーアイデンティティプロバイダー向けロールの作成) を参照してください。IAM Identity Center を使用する場合は、許可セットを設定します。アイデンティティが認証後にアクセスできるものを制御するため、IAM Identity Center は、権限セットを IAM のロールに関連付けます。アクセス許可セットの詳細については、「AWS IAM Identity Centerユーザーガイド」の「アクセス許可セット」を参照してください。
一時的な IAM ユーザー権限 - IAM ユーザーまたはロールは、特定のタスクに対して複数の異なる権限を一時的に IAM ロールで引き受けることができます。
クロスアカウントアクセス - IAM ロールを使用して、自分のアカウントのリソースにアクセスすることを、別のアカウントの人物 (信頼済みプリンシパル) に許可できます。クロスアカウントアクセス権を付与する主な方法は、ロールを使用することです。ただし、一部の AWS のサービスでは、(ロールをプロキシとして使用する代わりに) リソースにポリシーを直接アタッチできます。クロスアカウントアクセスにおけるロールとリソースベースのポリシーの違いについては、「IAM ユーザーガイド」の「IAM でのクロスアカウントのリソースへのアクセス」を参照してください。
クロスサービスアクセス権 - 一部の AWS のサービスでは、他の AWS のサービスの機能を使用します。例えば、あるサービスで呼び出しを行うと、通常そのサービスによって Amazon EC2 でアプリケーションが実行されたり、Amazon S3 にオブジェクトが保存されたりします。サービスでは、呼び出し元プリンシパルの許可、サービスロール、またはサービスリンクロールを使用してこれを行う場合があります。
- 転送アクセスセッション (FAS) – IAM ユーザーまたはロールを使用して AWS でアクションを実行するユーザーは、プリンシパルと見なされます。一部のサービスを使用する際に、アクションを実行することで、別のサービスの別のアクションがトリガーされることがあります。FAS は、AWS のサービスを呼び出すプリンシパルの権限を、AWS のサービスのリクエストと合わせて使用し、ダウンストリームのサービスに対してリクエストを行います。FAS リクエストは、サービスが、完了するために他の AWS のサービスまたはリソースとのやりとりを必要とするリクエストを受け取ったときにのみ行われます。この場合、両方のアクションを実行するためのアクセス許可が必要です。FAS リクエストを行う際のポリシーの詳細については、「転送アクセスセッション」を参照してください。
- サービスロール - サービスがユーザーに代わってアクションを実行するために引き受ける IAM ロールです。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、「IAM ユーザーガイド」の「AWS のサービスにアクセス許可を委任するロールの作成」を参照してください。
- サービスにリンクされたロール - サービスにリンクされたロールは、AWS のサービスにリンクされたサービスロールの一種です。サービスがロールを引き受け、ユーザーに代わってアクションを実行できるようになります。サービスにリンクされたロールは、AWS アカウントに表示され、サービスによって所有されます。IAM 管理者は、サービスリンクロールの許可を表示できますが、編集することはできません。
Amazon EC2 で実行されているアプリケーション - EC2 インスタンスで実行され、AWS CLIまたは AWS API 要求を行っているアプリケーションの一時的な認証情報を管理するには、IAM ロールを使用できます。これは、EC2 インスタンス内でのアクセスキーの保存に推奨されます。AWS ロールを EC2 インスタンスに割り当て、そのすべてのアプリケーションで使用できるようにするには、インスタンスに添付されたインスタンスプロファイルを作成します。インスタンスプロファイルにはロールが含まれ、EC2 インスタンスで実行されるプログラムは一時的な認証情報を取得できます。詳細については、IAM ユーザーガイドのAmazon EC2 インスタンスで実行されるアプリケーションに IAM ロールを使用して許可を付与するを参照してください。

ポリシーを使用したアクセス権の管理

AWS でアクセスを制御するには、ポリシーを作成して AWS ID またはリソースにアタッチします。ポリシーは AWS のオブジェクトであり、アイデンティティやリソースに関連付けて、これらのアクセス許可を定義します。AWSは、プリンシパル (ユーザー、ルートユーザー、またはロールセッション) がリクエストを行うと、これらのポリシーを評価します。ポリシーでの権限により、リクエストが許可されるか拒否されるかが決まります。大半のポリシーは JSON ドキュメントとして AWSに保存されます。JSON ポリシードキュメントの構造と内容の詳細については、IAM ユーザーガイドのJSON ポリシー概要を参照してください。

管理者は AWSJSON ポリシーを使用して、だれが何にアクセスできるかを指定できます。つまり、どのプリンシパルがどんなリソースにどんな条件でアクションを実行できるかということです。

デフォルトでは、ユーザーやロールに権限はありません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。その後、管理者はロールに IAM ポリシーを追加し、ユーザーはロールを引き継ぐことができます。

IAM ポリシーは、オペレーションの実行方法を問わず、アクションの許可を定義します。例えば、iam:GetRoleアクションを許可するポリシーがあるとします。このポリシーがあるユーザーは、AWS Management Console、AWS CLI、または AWS API からロール情報を取得できます。

アイデンティティベースポリシー

アイデンティティベースポリシーは、IAM ユーザーグループ、ユーザーのグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。ID ベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「Define custom IAM permissions with customer managed policies」を参照してください。

アイデンティティベースのポリシーは、さらにインラインポリシーまたはマネージドポリシーに分類できます。インラインポリシーは、単一のユーザー、グループ、またはロールに直接埋め込まれます。マネージドポリシーは、AWS アカウント内の複数のユーザー、グループ、およびロールにアタッチできるスタンドアロンポリシーです。マネージドポリシーには、AWS マネージドポリシーとカスタマー管理ポリシーがあります。マネージドポリシーまたはインラインポリシーのいずれかを選択する方法については、「IAM ユーザーガイド」の「管理ポリシーとインラインポリシーのいずれかを選択する」を参照してください。

リソースベースのポリシー

リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM ロールの信頼ポリシー や Amazon S3 バケットポリシー があげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスを制御できます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーでは、プリンシパルを指定する必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーションユーザー、または AWS のサービスを含めることができます。

リソースベースのポリシーは、そのサービス内にあるインラインポリシーです。リソースベースのポリシーでは IAM の AWSマネージドポリシーは使用できません。

アクセスコントロールリスト (ACL)

アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするための許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。

Amazon S3、AWS WAF、および Amazon VPC は、ACL をサポートするサービスの例です。ACL の詳細については、Amazon Simple Storage Service デベロッパーガイドのアクセスコントロールリスト (ACL) の概要を参照してください。

その他のポリシータイプ

AWS では、他の一般的ではないポリシータイプをサポートしています。これらのポリシータイプでは、より一般的なポリシータイプで付与された最大の権限を設定できます。

アクセス許可の境界 - アクセス許可の境界は、アイデンティティベースのポリシーによって IAM エンティティ (IAM ユーザーまたはロール) に付与できる権限の上限を設定する高度な機能です。エンティティにアクセス許可の境界を設定できます。結果として得られる権限は、エンティティのアイデンティティベースポリシーとそのアクセス許可の境界の共通部分になります。Principal フィールドでユーザーまたはロールを指定するリソースベースのポリシーでは、アクセス許可の境界は制限されません。これらのポリシーのいずれかを明示的に拒否した場合、権限は無効になります。アクセス許可の境界の詳細については、IAM ユーザーガイドのIAM エンティティのアクセス許可の境界を参照してください。
サービスコントロールポリシー (SCP) - SCP は、AWS Organizationsで組織や組織単位 (OU) の最大許可を指定する JSON ポリシーです。AWS Organizationsは、顧客のビジネスが所有する複数の AWS アカウントをグループ化し、一元的に管理するサービスです。組織内のすべての機能を有効にすると、サービスコントロールポリシー (SCP) を一部またはすべてのアカウントに適用できます。SCP はメンバーアカウントのエンティティに対する権限を制限します (各 AWS アカウントのルートユーザーなど)。Organizations と SCP の詳細については、「AWS Organizations ユーザーガイド」の「サービスコントロールポリシー (SCP)」を参照してください。
セッションポリシー - セッションポリシーは、ロールまたはフェデレーションユーザーの一時的なセッションをプログラムで作成する際にパラメータとして渡す高度なポリシーです。結果としてセッションの権限は、ユーザーまたはロールのアイデンティティベースポリシーとセッションポリシーの共通部分になります。また、リソースベースのポリシーから権限が派生する場合もあります。これらのポリシーのいずれかを明示的に拒否した場合、権限は無効になります。詳細については、IAM ユーザーガイドのセッションポリシーを参照してください。

複数のポリシータイプ

1 つのリクエストに複数のタイプのポリシーが適用されると、結果として作成される権限を理解するのがさらに難しくなります。複数のポリシータイプが関連するとき、リクエストを許可するかどうかを AWS が決定する方法の詳細については、IAM ユーザーガイドのポリシーの評価ロジックを参照してください。

AWSCloudWatch のマネージド (事前定義) ポリシー

AWS は、によって作成され管理されるスタンドアロンの IAM ポリシーを提供することで、多くの一般的ユースケースに対応します。AWSこれらの AWS 管理ポリシーは、一般的ユースケースに必要なアクセス権限を付与することで、どの権限が必要なのかをユーザーが調査する必要をなくすことができます。詳細については、IAM ユーザーガイドの AWS管理ポリシーを参照してください。

アカウントのユーザーにアタッチ可能な以下の AWS マネージドポリシーは、CloudWatch に固有のものです。

トピック

CloudWatchFullAccessV2
CloudWatchFullAccess
CloudWatchReadOnlyAccess
CloudWatchActionsEC2Access
CloudWatchAutomaticDashboardsAccess
CloudWatchAgentServerPolicy
CloudWatchAgentAdminPolicy
CloudWatch クロスアカウントのオブザーバビリティの AWS マネージド (事前定義済み) ポリシー
CloudWatch Application Signals の AWS マネージド (事前定義) ポリシー
CloudWatch Synthetics の AWS マネージド (事前定義された) ポリシー
Amazon CloudWatch RUM の AWS マネージド (事前定義) ポリシー
CloudWatch Evidently の AWS マネージド (事前定義) ポリシー
AWS Systems Manager Incident Manager の AWS マネージドポリシー

CloudWatchFullAccessV2

AWS に CloudWatchFullAccessV2 マネージド IAM ポリシーが追加されました。このポリシーは、CloudWatch のアクションとリソースへのフルアクセスを許可し、Amazon SNS や Amazon EC2 Auto Scaling などの他のサービスに付与されるアクセス許可の範囲をより適切に設定します。CloudWatchFullAccess を使用する代わりに、このポリシーを使用し始めることをお勧めします。AWS は近い将来に CloudWatchFullAccess を廃止する予定です。

これには、ユーザーが Application Signals の CloudWatch コンソールからすべての機能にアクセスできる application-signals: アクセス許可が含まれています。これには、このポリシーを持つユーザーが CloudWatch アラームに関連付けられた Auto Scaling アクションを表示できるようにするためのいくつかの autoscaling:Describe アクセス許可が含まれます。これには、このポリシーを持つユーザーが Amazon SNS トピックを取得して CloudWatch アラームに関連付けることができるように、いくつかの sns 権限が含まれています。これには、このポリシーを持つユーザーが CloudWatch に関連付けられたサービスリンクロールに関する情報を表示できるようにするための IAM 許可が含まれます。これには、このポリシーを持つユーザーがコンソールを使用して、CloudWatch のクロスアカウントオブザーバビリティでソースアカウントから共有されたデータを表示できるようにするための oam:ListSinks および oam:ListAttachedLinks 許可が含まれます。

これには rum、synthetics、xray の各アクセス許可が含まれているため、ユーザーは CloudWatch Synthetics、AWS X-Ray、CloudWatch RUM にフルアクセスできます。いずれも、CloudWatch サービスの下にあります。

CloudWatchFullAccessV2 の内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchFullAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "application-signals:*",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribePolicies",
                "cloudwatch:*",
                "logs:*",
                "sns:CreateTopic",
                "sns:ListSubscriptions",
                "sns:ListSubscriptionsByTopic",
                "sns:ListTopics",
                "sns:Subscribe",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks",
                "rum:*",
                "synthetics:*",
                "xray:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CloudWatchApplicationSignalsServiceLinkedRolePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "application-signals.cloudwatch.amazonaws.com"
                }
            }
        },
        {
            "Sid": "EventsServicePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
         {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchFullAccess

CloudWatchFullAccess ポリシーは、近い将来に廃止されます。このポリシーの使用を中止し、代わりに CloudWatchFullAccessV2 を使用することをお勧めします。

CloudWatchFullAccess の内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "autoscaling:Describe*",
                "cloudwatch:*",
                "logs:*",
                "sns:*",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchReadOnlyAccess

CloudWatchReadOnlyAccess ポリシーは、CloudWatch への読み取り専用のアクセス権限を付与します。

このポリシーには logs: アクセス許可がいくつか含まれているため、このポリシーを持つユーザーはコンソールを使用して CloudWatch Logs 情報と CloudWatch Logs Insights クエリを表示できます。これには autoscaling:Describe* が含まれているため、このポリシーを持つユーザーは CloudWatch アラームに関連付けられた Auto Scaling アクションを確認できます。これには、ユーザーが Application Signals を使用してサービスの状態をモニタリングできるようにする application-signals: アクセス許可が含まれています。これには application-autoscaling:DescribeScalingPolicies が含まれているため、このポリシーを持つユーザーは Application Auto Scaling ポリシーに関する情報にアクセスできます。これには sns:Get* と sns:List* が含まれているため、このポリシーを持つユーザーはどの Amazon SNS トピックを取得すれば CloudWatch アラームに関する通知が届くのか、必要な情報を得ることができます。これには oam:ListSinks と oam:ListAttachedLinks の各アクセス許可が含まれているため、このポリシーを持つユーザーはコンソールを使用して CloudWatch のクロスアカウントオブザーバビリティでソースアカウントから共有されたデータを表示できます。これには、ユーザーが CloudWatch Application Signals がセットアップされているかどうかを確認するための iam:GetRole アクセス許可が含まれています。

これには rum、synthetics、xray の各アクセス許可が含まれているため、ユーザーは CloudWatch Synthetics、AWS X-Ray、CloudWatch RUM に読み取り専用でアクセスできます。いずれも、CloudWatch サービスの下にあります。

CloudWatchReadOnlyAccess ポリシーの内容は次のとおりです。


{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchReadOnlyAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "application-signals:BatchGet*",
                "application-signals:Get*",
                "application-signals:List*",
                "autoscaling:Describe*",
                "cloudwatch:BatchGet*",
                "cloudwatch:Describe*",
                "cloudwatch:GenerateQuery",
                "cloudwatch:Get*",
                "cloudwatch:List*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:Describe*",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "logs:StartLiveTail",
                "logs:StopLiveTail",
                "oam:ListSinks",
                "sns:Get*",
                "sns:List*",
                "rum:BatchGet*",
                "rum:Get*",
                "rum:List*",
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "xray:BatchGet*",
                "xray:Get*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        },
        {
            "Sid": "CloudWatchReadOnlyGetRolePermissions",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals"
        }
     ]
}

CloudWatchActionsEC2Access

CloudWatchActionsEC2Access ポリシーは、Amazon EC2 メタデータに加えて CloudWatch アラームとメトリクスに対し、読み取り専用のアクセス許可を付与します。また、EC2 インスタンス用の API アクションに停止、終了、再起動のためのアクセス権限を付与します。

CloudWatchActionsEC2Access ポリシーの内容は次のとおりです。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:Describe*",
        "ec2:Describe*",
        "ec2:RebootInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*"
    }
  ]
}

CloudWatchAutomaticDashboardsAccess

CloudWatch-CrossAccountAccess 管理ポリシーは、CloudWatch-CrossAccountSharingRole IAM ロールにより使用されます。このロールとポリシーを使用することで、クロスアカウントダッシュボードのユーザーが、ダッシュボードを共有している各アカウントにおいて、自動ダッシュボードを表示できるようになります。

次に、CloudWatchAutomaticDashboardsAccess の内容を示します。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:DescribeAutoScalingGroups",
        "cloudfront:GetDistribution",
        "cloudfront:ListDistributions",
        "dynamodb:DescribeTable",
        "dynamodb:ListTables",
        "ec2:DescribeInstances",
        "ec2:DescribeVolumes",
        "ecs:DescribeClusters",
        "ecs:DescribeContainerInstances",
        "ecs:ListClusters",
        "ecs:ListContainerInstances",
        "ecs:ListServices",
        "elasticache:DescribeCacheClusters",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticfilesystem:DescribeFileSystems",
        "elasticloadbalancing:DescribeLoadBalancers",
        "kinesis:DescribeStream",
        "kinesis:ListStreams",
        "lambda:GetFunction",
        "lambda:ListFunctions",
        "rds:DescribeDBClusters",
        "rds:DescribeDBInstances",
        "resource-groups:ListGroupResources",
        "resource-groups:ListGroups",
        "route53:GetHealthCheck",
        "route53:ListHealthChecks",
        "s3:ListAllMyBuckets",
        "s3:ListBucket",
        "sns:ListTopics",
        "sqs:GetQueueAttributes",
        "sqs:GetQueueUrl",
        "sqs:ListQueues",
        "synthetics:DescribeCanariesLastRun",
        "tag:GetResources"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "apigateway:GET"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:apigateway:*::/restapis*"
      ]
    }
  ]

CloudWatchAgentServerPolicy

CloudWatchAgentServerPolicy ポリシーは、Amazon EC2 インスタンスにアタッチされた IAM ロールで使用でき、CloudWatch エージェントがインスタンスから情報を読み取り、CloudWatch に書き込むことを許可します。内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchServerPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeVolumes",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMServerPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}

CloudWatchAgentAdminPolicy

CloudWatchAgentAdminPolicy ポリシーは、Amazon EC2 インスタンスにアタッチされた IAM ロールで使用できます。このポリシーにより、CloudWatch エージェントはインスタンスから情報を読み取って CloudWatch に書き込み、パラメータストアに情報を書き込むことができます。内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}

注記

IAM コンソールにサインインし、特定のポリシーを検索することで、これらのアクセス許可ポリシーを確認できます。

独自のカスタム IAM ポリシーを作成して、CloudWatch アクションとリソースのためのアクセス権限を許可することもできます。これらのカスタムポリシーは、それらのアクセス許可が必要な IAM ユーザーまたはグループにアタッチできます。

CloudWatch クロスアカウントのオブザーバビリティの AWS マネージド (事前定義済み) ポリシー

このセクションのポリシーは、CloudWatch クロスアカウントオブザーバビリティに関連する許可を付与します。詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。

CloudWatchCrossAccountSharingConfiguration

CloudWatchCrossAccountSharingConfiguration ポリシーは、アカウント間で CloudWatch リソースを共有するための Observability Access Manager リンクを作成、管理、および表示するためのアクセス権を付与します。詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Link",
                "oam:ListLinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:DeleteLink",
                "oam:GetLink",
                "oam:TagResource"
            ],
            "Resource": "arn:aws:oam:*:*:link/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:CreateLink",
                "oam:UpdateLink"
            ],
            "Resource": [
                "arn:aws:oam:*:*:link/*",
                "arn:aws:oam:*:*:sink/*"
            ]
        }
    ]
}

OAMFullAccess

OAMFullAccess ポリシーは、CloudWatch クロスアカウントオブザーバビリティ用に使用される Observability Access Manager のシンクとリンクを作成、管理、および表示するためのアクセス権を付与します。

OAMFullAccess ポリシーだけでは、リンク間でのオブザーバビリティデータの共有は許可されません。CloudWatch メトリクスを共有するためのリンクを作成するには、CloudWatchFullAccess または CloudWatchCrossAccountSharingConfiguration も必要になります。CloudWatch Logs ロググループを共有するためのリンクを作成するには、CloudWatchLogsFullAccess または CloudWatchLogsCrossAccountSharingConfiguration も必要になります。X-Ray トレースを共有するためのリンクを作成するには、AWSXRayFullAccess または AWSXRayCrossAccountSharingConfiguration も必要になります。

詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:*"
            ],
            "Resource": "*"
        }
    ]
}

OAMReadOnlyAccess

OAMReadOnlyAccess ポリシーは、CloudWatch クロスアカウントオブザーバビリティ用に使用される Observability Access Manager リソースへの読み取り専用アクセス権を付与します。詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:Get*",
                "oam:List*"
            ],
            "Resource": "*"
        }
    ]
}

CloudWatch Application Signals の AWS マネージド (事前定義) ポリシー

このセクションのポリシーは、CloudWatch Application Signals に関連するアクセス許可を付与します。詳細については、「Application Signals」を参照してください。

CloudWatchApplicationSignalsReadOnlyAccess

AWS に CloudWatchApplicationSignalsReadOnlyAccess マネージド IAM ポリシーが追加されました。このポリシーは、Application Signals の CloudWatch コンソールでユーザーが使用できるアクションとリソースへの読み取り専用アクセスを許可します。これには、ユーザーが CloudWatch Application シグナルを使用してサービスの状態を表示、調査、モニタリングできるようにする application-signals: ポリシーが含まれています。これには、IAM ロールに関する情報の取得をユーザーに許可する iam:GetRole ポリシーが含まれています。これには、クエリの開始と停止、メトリックフィルターの設定の取得、クエリ結果の取得を行うための logs: ポリシーが含まれています。これには、ユーザーが CloudWatch アラームまたはメトリクスに関する情報を取得できるようにする cloudwatch: ポリシーが含まれています。これには、ユーザーが Synthetics Canary の実行に関する情報を取得できるようにする synthetics: ポリシーが含まれています。これには、バッチオペレーションの実行、データの取得、および RUM クライアントのメトリクス定義の更新を行うための rum: ポリシーが含まれています。これには、トレースの概要を取得するための xray: ポリシーが含まれています。

CloudWatchApplicationSignalsReadOnlyAccess ポリシーの内容は次のとおりです。


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CloudWatchApplicationSignalsReadOnlyAccessPermissions",
			"Effect": "Allow",
			"Action": [
				"application-signals:BatchGetServiceLevelObjectiveBudgetReport",
				"application-signals:GetService",
				"application-signals:GetServiceLevelObjective",
				"application-signals:ListServiceLevelObjectives",
				"application-signals:ListServiceDependencies",
				"application-signals:ListServiceDependents",
				"application-signals:ListServiceOperations",
				"application-signals:ListServices",
				"application-signals:ListTagsForResource"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsGetRolePermissions",
			"Effect": "Allow",
			"Action": "iam:GetRole",
			"Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals"
		},
		{
			"Sid": "CloudWatchApplicationSignalsLogGroupPermissions",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsLogsPermissions",
			"Effect": "Allow",
			"Action": [
				"logs:StopQuery",
				"logs:GetQueryResults"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsAlarmsReadPermissions",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:DescribeAlarms"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsMetricsReadPermissions",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData",
				"cloudwatch:ListMetrics"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsSyntheticsReadPermissions",
			"Effect": "Allow",
			"Action": [
				"synthetics:DescribeCanaries",
				"synthetics:DescribeCanariesLastRun",
				"synthetics:GetCanaryRuns"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsRumReadPermissions",
			"Effect": "Allow",
			"Action": [
				"rum:BatchGetRumMetricDefinitions",
				"rum:GetAppMonitor",
				"rum:GetAppMonitorData",
				"rum:ListAppMonitors"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsXrayReadPermissions",
			"Effect": "Allow",
			"Action": [
				"xray:GetTraceSummaries"
			],
			"Resource": "*"
		}
	]
}

CloudWatchApplicationSignalsFullAccess

AWS に CloudWatchApplicationSignalsFullAccess マネージド IAM ポリシーが追加されました。このポリシーは、CloudWatch コンソールでユーザーが使用できるすべてのアクションとリソースへのアクセスを許可します。これには、ユーザーが CloudWatch Application シグナルを使用してサービスの状態を表示、調査、モニタリングできるようにする application-signals: ポリシーが含まれています。cloudwatch: ポリシーを使用して、メトリクスとアラームからデータを取得します。logs: ポリシーを使用して、クエリとフィルターを管理します。synthetics: ポリシーを使用して、ユーザーが Synthetics Canary の実行に関する情報を取得できるようにします。これには、バッチオペレーションの実行、データの取得、および RUM クライアントのメトリクス定義の更新を行うための rum: ポリシーが含まれています。これには、トレースの概要を取得するための xray: ポリシーが含まれています。これには、ユーザーがサービスレベル目標 (SLO) アラームに関する情報を取得できるようにする arn:aws:cloudwatch:*:*:alarm: ポリシーが含まれています。これには、IAM ロールを管理するための iam: ポリシーが含まれています。sns: ポリシーを使用して、Amazon SNS トピックを作成、一覧表示、サブスクライブします。

CloudWatchApplicationSignalsFullAccess ポリシーの内容は次のとおりです。


{
 "Version": "2012-10-17",
 "Statement": [
    {
        "Sid": "CloudWatchApplicationSignalsFullAccessPermissions",
        "Effect": "Allow",
        "Action": "application-signals:*",
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsAlarmsPermissions",
        "Effect": "Allow",
        "Action": "cloudwatch:DescribeAlarms",
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsMetricsPermissions",
        "Effect": "Allow",
        "Action": [
            "cloudwatch:GetMetricData",
            "cloudwatch:ListMetrics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsLogGroupPermissions",
        "Effect": "Allow",
        "Action": [
            "logs:StartQuery"
        ],
        "Resource": "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsLogsPermissions",
        "Effect": "Allow",
        "Action": [
            "logs:StopQuery",
            "logs:GetQueryResults"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsSyntheticsPermissions",
        "Effect": "Allow",
        "Action": [
            "synthetics:DescribeCanaries",
            "synthetics:DescribeCanariesLastRun",
            "synthetics:GetCanaryRuns"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsRumPermissions",
        "Effect": "Allow",
        "Action": [
            "rum:BatchCreateRumMetricDefinitions",
            "rum:BatchDeleteRumMetricDefinitions",
            "rum:BatchGetRumMetricDefinitions",
            "rum:GetAppMonitor",
            "rum:GetAppMonitorData",
            "rum:ListAppMonitors",
            "rum:PutRumMetricsDestination",
            "rum:UpdateRumMetricDefinition"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsXrayPermissions",
        "Effect": "Allow",
        "Action": "xray:GetTraceSummaries",
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsPutMetricAlarmPermissions",
        "Effect": "Allow",
        "Action": "cloudwatch:PutMetricAlarm",
        "Resource": [
            "arn:aws:cloudwatch:*:*:alarm:SLO-AttainmentGoalAlarm-*",
            "arn:aws:cloudwatch:*:*:alarm:SLO-WarningAlarm-*",
            "arn:aws:cloudwatch:*:*:alarm:SLI-HealthAlarm-*"
        ]
    },
    {
        "Sid": "CloudWatchApplicationSignalsCreateServiceLinkedRolePermissions",
        "Effect": "Allow",
        "Action": "iam:CreateServiceLinkedRole",
        "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals",
        "Condition": {
            "StringLike": {
                "iam:AWSServiceName": "application-signals.cloudwatch.amazonaws.com"
            }
        }
    },
    {
        "Sid": "CloudWatchApplicationSignalsGetRolePermissions",
        "Effect": "Allow",
        "Action": "iam:GetRole",
        "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals"
    },
    {
        "Sid": "CloudWatchApplicationSignalsSnsWritePermissions",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:Subscribe"
        ],
        "Resource": "arn:aws:sns:*:*:cloudwatch-application-signals-*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsSnsReadPermissions",
        "Effect": "Allow",
        "Action": "sns:ListTopics",
        "Resource": "*"
    }
 ]
}

CloudWatchLambdaApplicationSignalsExecutionRolePolicy

このポリシーは、Lambda ワークロードに対して CloudWatch Application Signals が有効になっている場合に使用されます。これにより、X-Ray と CloudWatch Application Signals で使用されるロググループへの書き込みアクセスが可能になります。

[CloudWatchLambdaApplicationSignalsExecutionRolePolicy] ポリシーの内容は次のとおりです。


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CloudWatchApplicationSignalsXrayWritePermissions",
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CloudWatchApplicationSignalsLogGroupWritePermissions",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogGroup",
				"logs:CreateLogStream",
				"logs:PutLogEvents"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

CloudWatch Synthetics の AWS マネージド (事前定義された) ポリシー

CloudWatchSyntheticsFullAccess および CloudWatchSyntheticsReadOnlyAccess AWS マネージドポリシーは、CloudWatch Synthetics を管理または使用するユーザーに割り当てることができます。次の追加ポリシーも関連します。

AmazonS3ReadOnlyAccess および CloudWatchReadOnlyAccess – これらは、CloudWatch コンソールですべての Synthetics データを読み取ることができるようにするために必要です。
[AWSLambdaReadOnlyAccess] – Canary で使用されているソースコードを表示できるようにします。
[CloudWatchSyntheticsFullAccess] で、Canary を作成できるようになります。さらに、Canary 用に作成された新しい IAM ロールを持つ Canary の作成と削除には、次のインラインポリシーステートメントも必要です。
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:CreatePolicy",
                "iam:DeletePolicy",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*",
                "arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*"
            ]
        }
    ]
}
```
重要
ユーザーに iam:CreateRole、iam:DeleteRole、iam:CreatePolicy、iam:DeletePolicy、iam:AttachRolePolicy、および iam:DetachRolePolicy のアクセス許可を付与すると、arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole* および arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy* に一致する ARN を持つロールおよびポリシーを作成、アタッチ、および削除する完全な管理アクセス権がそのユーザーに付与されます。例えば、これらのアクセス許可を持つユーザーは、すべてのリソースに対する完全なアクセス許可を持つポリシーを作成し、そのポリシーを上記の ARN パターンに一致する任意のロールにアタッチできます。これらのアクセス許可を付与するユーザーには十分注意してください。

ポリシーのアタッチとユーザーへのアクセス許可の付与については、「IAM ユーザーのアクセス許可の変更」および「ユーザーまたはロールのインラインポリシーを埋め込むには」を参照してください。

CloudWatchSyntheticsFullAccess

CloudWatchSyntheticsFullAccess ポリシーの内容は次のとおりです。


    {
    	"Version": "2012-10-17",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": [
    				"synthetics:*"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:CreateBucket",
    				"s3:PutEncryptionConfiguration"
    			],
    			"Resource": [
    				"arn:aws:s3:::cw-syn-results-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"iam:ListRoles",
    				"s3:ListAllMyBuckets",
    				"xray:GetTraceSummaries",
    				"xray:BatchGetTraces",
    				"apigateway:GET"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:GetBucketLocation"
    			],
    			"Resource": "arn:aws:s3:::*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:GetObject",
    				"s3:ListBucket"
    			],
    			"Resource": "arn:aws:s3:::cw-syn-*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:GetObjectVersion"
    			],
    			"Resource": "arn:aws:s3:::aws-synthetics-library-*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"iam:PassRole"
    			],
    			"Resource": [
    				"arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
    			],
    			"Condition": {
    				"StringEquals": {
    					"iam:PassedToService": [
    						"lambda.amazonaws.com",
    						"synthetics.amazonaws.com"
    					]
    				}
    			}
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"iam:GetRole",
    				"iam:ListAttachedRolePolicies"
    			],
    			"Resource": [
    				"arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"cloudwatch:GetMetricData",
    				"cloudwatch:GetMetricStatistics"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"cloudwatch:PutMetricAlarm",
    				"cloudwatch:DeleteAlarms"
    			],
    			"Resource": [
    				"arn:aws:cloudwatch:*:*:alarm:Synthetics-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"cloudwatch:DescribeAlarms"
    			],
    			"Resource": [
    				"arn:aws:cloudwatch:*:*:alarm:*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"lambda:CreateFunction",
    				"lambda:AddPermission",
    				"lambda:PublishVersion",
    				"lambda:UpdateFunctionCode",
    				"lambda:UpdateFunctionConfiguration",
    				"lambda:GetFunctionConfiguration",
    				"lambda:DeleteFunction",
    				"lambda:ListTags",
    				"lambda:TagResource",
    				"lambda:UntagResource"
    			],
    			"Resource": [
    				"arn:aws:lambda:*:*:function:cwsyn-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"lambda:GetLayerVersion",
    				"lambda:PublishLayerVersion",
    				"lambda:DeleteLayerVersion"
    			],
    			"Resource": [
    				"arn:aws:lambda:*:*:layer:cwsyn-*",
    				"arn:aws:lambda:*:*:layer:Synthetics:*",
    				"arn:aws:lambda:*:*:layer:Synthetics_Selenium:*" 
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"ec2:DescribeVpcs",
    				"ec2:DescribeSubnets",
    				"ec2:DescribeSecurityGroups"
    			],
    			"Resource": [
    				"*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"sns:ListTopics"
    			],
    			"Resource": [
    				"*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"sns:CreateTopic",
    				"sns:Subscribe",
    				"sns:ListSubscriptionsByTopic"
    			],
    			"Resource": [
    				"arn:*:sns:*:*:Synthetics-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"kms:ListAliases"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"kms:DescribeKey"
    			],
    			"Resource": "arn:aws:kms:*:*:key/*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"kms:Decrypt"
    			],
    			"Resource": "arn:aws:kms:*:*:key/*",
    			"Condition": {
    				"StringLike": {
    					"kms:ViaService": [
    						"s3.*.amazonaws.com"
    					]
    				}
    			}
    		}
    	]
    }

CloudWatchSyntheticsReadOnlyAccess

CloudWatchSyntheticsReadOnlyAccess ポリシーの内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "lambda:GetFunctionConfiguration"
            ],
            "Resource": "*"
        }
    ]
}

Amazon CloudWatch RUM の AWS マネージド (事前定義) ポリシー

AmazonCloudWatchRUMFullAccess および AmazonCloudWatchRUMReadOnlyAccess AWS マネージドポリシーは、CloudWatch RUM を管理または使用するユーザーに割り当てることができます。

AmazonCloudWatchRUMFullAccess

AmazonCloudWatchRUMFullAccess ポリシーの内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rum:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/rum.amazonaws.com/AWSServiceRoleForRealUserMonitoring"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/RUM-Monitor*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "cognito-identity.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "arn:aws:cloudwatch:*:*:alarm:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cognito-identity:CreateIdentityPool",
                "cognito-identity:ListIdentityPools",
                "cognito-identity:DescribeIdentityPool",
                "cognito-identity:GetIdentityPoolRoles",
                "cognito-identity:SetIdentityPoolRoles"
            ],
            "Resource": "arn:aws:cognito-identity:*:*:identitypool/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:DeleteLogGroup",
                "logs:PutRetentionPolicy",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:*RUMService*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "logs:DescribeResourcePolicies"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:*:*:log-group::log-stream:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:describeCanaries",
                "synthetics:describeCanariesLastRun"
            ],
            "Resource": "arn:aws:synthetics:*:*:canary:*"
        }
    ]
}

AmazonCloudWatchRUMReadOnlyAccess

AmazonCloudWatchRUMReadOnlyAccess ポリシーの内容は次のとおりです。


{

	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"rum:GetAppMonitor",
				"rum:GetAppMonitorData",
				"rum:ListAppMonitors",
				"rum:ListRumMetricsDestinations",
				"rum:BatchGetRumMetricDefinitions"
			],
			"Resource": "*"
		}
	]
}

AmazonCloudWatchRUMServiceRolePolicy

AmazonCloudWatchRUMServiceRolePolicy は IAM エンティティにアタッチできません。このポリシーは、モニターリングデータを他の関連する AWS のサービスに CloudWatch RUM が公開することを許可する、サービスにリンクされたロールにアタッチされます。サービスにリンクされたこのロールの詳細については、「CloudWatch RUM のサービスにリンクされたロールの使用」を参照してください。

AmazonCloudWatchRUMServiceRolePolicy の詳細な内容は次のとおりです。


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"cloudwatch:namespace": [
						"RUM/CustomMetrics/*",
						"AWS/RUM"
					]
				}
			}
		}
	]
}

CloudWatch Evidently の AWS マネージド (事前定義) ポリシー

CloudWatchEvidentlyFullAccess および CloudWatchEvidentlyReadOnlyAccess AWS マネージドポリシーは、CloudWatch Evidently を管理または使用するユーザーに割り当てることができます。

CloudWatchEvidentlyFullAccess

CloudWatchEvidentlyFullAccess ポリシーの内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchRUMEvidentlyRole-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:DescribeAlarmHistory",
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms",
                "cloudwatch:TagResource",
                "cloudwatch:UnTagResource"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:Evidently-Alarm-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:ListSubscriptionsByTopic"
            ],
            "Resource": [
                "arn:*:sns:*:*:Evidently-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

CloudWatchEvidentlyReadOnlyAccess

CloudWatchEvidentlyReadOnlyAccess ポリシーの内容は次のとおりです。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:GetExperiment",
                "evidently:GetFeature",
                "evidently:GetLaunch",
                "evidently:GetProject",
                "evidently:GetSegment",
                "evidently:ListExperiments",
                "evidently:ListFeatures",
                "evidently:ListLaunches",
                "evidently:ListProjects",
                "evidently:ListSegments",
                "evidently:ListSegmentReferencs"                               
            ],
            "Resource": "*"
        }
    ]
}

AWS Systems Manager Incident Manager の AWS マネージドポリシー

AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy ポリシーは、サービスにリンクされたロールにアッタッチされ、CloudWatch がお客様に代わって AWS Systems Manager Incident Manager でインシデントを開始できるようにします。詳細については、「CloudWatch アラーム Systems Manager Incident Manager アクションのサービスにリンクされたロールの許可」を参照してください。

このポリシーには、以下のアクセス許可があります。

ssm-incidents:StartIncident

お客様が管理するポリシーの例

このセクションでは、さまざまな CloudWatch アクションのアクセス権限を付与するユーザーポリシー例を示しています。これらのポリシーは、CloudWatch API、AWS SDK、または AWS CLI を使用しているときに機能します。

例 1: ユーザーに CloudWatch への完全アクセスを許可する

CloudWatch へのフルアクセスをユーザーに付与するには、カスタマー管理ポリシーを作成する代わりに、CloudWatchFullAccess 管理ポリシーをユーザーに付与できます。CloudWatchFullAccess の内容を CloudWatchFullAccess に示します。

例 2: CloudWatch への読み取り専用アクセスを許可する

次のポリシーにより、ユーザーは CloudWatch への読み取り専用アクセスを行え、Amazon EC2 Auto Scaling アクション、CloudWatch メトリクス、CloudWatch Logs データ、アラーム関連の Amazon SNS データを表示できます。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:Describe*",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "logs:Get*",
        "logs:Describe*",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:TestMetricFilter",
        "logs:FilterLogEvents",
        "logs:StartLiveTail",
        "logs:StopLiveTail",
        "sns:Get*",
        "sns:List*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

例 3: Amazon EC2 インスタンスを停止または終了する

以下のポリシーは、CloudWatch アラームアクションにより EC2 インスタンスの停止または終了を許可します。下の例では、GetMetricData、ListMetrics、DescribeAlarms アクションはオプションです。これらのアクションを含めて、インスタンスが正常に停止または終了したことを確認することをお勧めします。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:PutMetricAlarm",
        "cloudwatch:GetMetricData",
        "cloudwatch:ListMetrics",
        "cloudwatch:DescribeAlarms"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    }
  ]
}

CloudWatch の AWS マネージドポリシーへの更新

CloudWatch の AWS マネージドポリシーの更新に関する詳細を、このサービスがこれらの変更の追跡を開始した以降の分について表示します。このページの変更に関する自動通知を入手するには、CloudWatch ドキュメントの履歴ページから、RSS フィードにサブスクライブしてください。

変更	説明	日付
CloudWatchLambdaApplicationSignalsExecutionRolePolicy – 新しいポリシー	CloudWatch に [CloudWatchLambdaApplicationSignalsExecutionRolePolicy] という名前の新しいポリシーが作成されました。このポリシーは、Lambda ワークロードに対して CloudWatch Application Signals が有効になっている場合に使用されます。これにより、X-Ray と CloudWatch Application Signals で使用されるロググループへの書き込みアクセスが可能になります。	2024 年 10 月 16 日
CloudWatchSyntheticsFullAccess – 既存のポリシーを更新	CloudWatch で、[CloudWatchSyntheticsFullAccess] という名前のポリシーが更新されました。 `lambda:ListTags`、`lambda:TagResource`、および `lambda:UntagResource` のアクセス許可が追加され、Canary にタグを適用または変更する際に、Synthetics は、Canary が使用する Lambda 関数にも同じタグや変更を適用できるようになりました。	2024 年 10 月 11 日
CloudWatchInternetMonitorFullAccess – 新しいポリシー	CloudWatch に CloudWatchInternetMonitorFullAccess という名前の新しいポリシーが作成されました。このポリシーは、Internet Monitor の CloudWatch コンソールで使用できるリソースとアクションへのフルアクセスを許可します。このポリシーの範囲には、ユーザーが Internet Monitor アクションとリソースを使用できるように `internetmonitor:` が含まれます。これには、CloudWatch アラームとメトリクスに関する情報を取得するためのいくつかの `cloudwatch:` ポリシーが含まれています。これには、ログクエリを管理するためのいくつかの `logs:` ポリシーが含まれています。これには、Internet Monitor がアプリケーションのトラフィックプロファイルを作成できるように、モニターに追加するリソースを操作するための `ec2:`、`cloudfront:`、`elasticloadbalancing:`、および `workspaces:` のポリシーが含まれています。これには、IAM ロールを管理するためのいくつかの `iam:` ポリシーが含まれています。	2024 年 10 月 23 日
CloudWatchApplicationSignalsReadOnlyAccess – 新しいポリシー	CloudWatch に CloudWatchApplicationSignalsReadOnlyAccess という名前の新しいポリシーが作成されました。このポリシーは、Application Signals の CloudWatch コンソールで使用できるリソースとアクションへの読み取り専用アクセスを許可します。このポリシーの範囲には、ユーザーが Application Signals の CloudWatch コンソールで使用できる読み取り専用アクションとリソースを使用できるようにする `application-signals:` ポリシーが含まれています。これには、IAM ロールを管理するための `iam:` ポリシーが含まれています。これには、ログクエリとフィルターを管理するためのいくつかの `logs:` ポリシーが含まれています。これには、CloudWatch アラームとメトリクスに関する情報を取得するための `cloudwatch:` ポリシーが含まれています。これには、Synthetics Canary に関する情報を取得するためのいくつかの `synthetics:` ポリシーが含まれています。これには、RUM クライアントとジョブを管理するための `rum:` ポリシーが含まれています。これには、トレースの概要を取得するための `xray:` ポリシーが含まれています。	2024 年 6 月 7 日
CloudWatchApplicationSignalsFullAccess – 新しいポリシー	CloudWatch に CloudWatchApplicationSignalsFullAccess という名前の新しいポリシーが作成されました。このポリシーは、Application Signals の CloudWatch コンソールで使用できるリソースとアクションへのフルアクセスを許可します。このポリシーの範囲には、ユーザーが Application Signals アクションとリソースを使用できるようにする `application-signals:` が含まれています。これには、CloudWatch アラームとメトリクスに関する情報を取得するためのいくつかの `cloudwatch:` ポリシーが含まれています。これには、ログクエリを管理するためのいくつかの `logs:` ポリシーが含まれています。これには、Synthetics Canary に関する情報を記述および取得するためのいくつかの `synthetics:` ポリシーが含まれています。これには、RUM クライアントとジョブを管理するための `rum:` ポリシーが含まれています。これには、トレースの概要を取得するための `xray:` ポリシーが含まれています。これには、CloudWatch アラームを管理するためのいくつかの `cloudwatch:` ポリシーが含まれています。これには、IAM ロールを管理するためのいくつかの `iam:` ポリシーが含まれています。これには、Amazon Simple Notification Service の通知を管理するためのいくつかの `sns:` ポリシーが含まれています。	2024 年 6 月 7 日
CloudWatchFullAccessV2 – 既存のポリシーに対する更新	CloudWatch で、CloudWatchFullAccessV2 という名前のポリシーが更新されました。 `CloudWatchFullAccessPermissions` ポリシーのスコープが更新されて `application-signals:*` が追加され、ユーザーは、CloudWatch Application Signals を使ってサービスの正常性を表示、調査、診断できるようになりました。	2024 年 5 月 20 日
CloudWatchReadOnlyAccess – 既存のポリシーに対する更新	CloudWatch で、CloudWatchReadOnlyAccess という名前のポリシーが更新されました。 `CloudWatchReadOnlyAccessPermissions` ポリシーのスコープが更新されて `application-signals:BatchGet`、`application-signals:List`、`application-signals:Get*` が追加され、ユーザーは、CloudWatch Application Signals を使ってサービスの正常性を表示、調査、診断できるようになりました。`CloudWatchReadOnlyGetRolePermissions` のスコープが更新されて `iam:GetRole` アクションが追加され、ユーザーは、CloudWatch Application Signals がセットアップされているかどうかをチェックできるようになりました。	2024 年 5 月 20 日
CloudWatchApplicationSignalsServiceRolePolicy – 既存のポリシーに対する更新	CloudWatch では、CloudWatchApplicationSignalsServiceRolePolicy という名前のポリシーが更新されました。 `logs:StartQuery` および `logs:GetQueryResults` のアクセス許可のスコープが変更され、`arn:aws:logs:::log-group:/aws/appsignals/:` および `arn:aws:logs:::log-group:/aws/application-signals/data:*` ARN が追加され、より多くのアーキテクチャで Application Signals を有効にできるようになりました。	2024 年 4 月 18 日
CloudWatchApplicationSignalsServiceRolePolicy – 既存のポリシーに対する更新	CloudWatch では、CloudWatchApplicationSignalsServiceRolePolicy のアクセス許可のスコープが変更されました。 `cloudwatch:GetMetricData` アクセス許可のスコープが `*` に変更され、Application Signals が連結アカウントのソースからメトリクスを取得できるようになりました。	2024 年 4 月 8 日
CloudWatchAgentServerPolicy – 既存のポリシーに対する更新	CloudWatch が、CloudWatchAgentServerPolicy に対するアクセス許可を追加しました。 `xray:PutTraceSegments`、`xray:PutTelemetryRecords`、`xray:GetSamplingRules`、`xray:GetSamplingTargets`、`xray:GetSamplingStatisticSummaries` および `logs:PutRetentionPolicy` のアクセス許可が追加され、CloudWatch エージェントが X-Ray トレースを公開し、ロググループの保持期間を変更できるようになりました。	2024 年 2 月 21 日
CloudWatchAgentAdminPolicy – 既存のポリシーに対する更新	CloudWatch が、CloudWatchAgentAdminPolicy に対するアクセス許可を追加しました。 `xray:PutTraceSegments`、`xray:PutTelemetryRecords`、`xray:GetSamplingRules`、`xray:GetSamplingTargets`、`xray:GetSamplingStatisticSummaries` および `logs:PutRetentionPolicy` のアクセス許可が追加され、CloudWatch エージェントが X-Ray トレースを公開し、ロググループの保持期間を変更できるようになりました。	2024 年 2 月 21 日
CloudWatchFullAccessV2 – 既存のポリシーに対する更新	CloudWatchFullAccessV2 に対するアクセス許可を追加しました。このポリシーを持つユーザーが CloudWatch Application Signals を管理できるように、CloudWatch Synthetics、X-Ray、CloudWatch RUM の各アクションに対する既存のアクセス許可と、CloudWatch Application Signals に対する新しいアクセス許可を追加しました。 CloudWatch Application Signals がログ、メトリクス、トレース、タグ内のテレメトリデータを検出できるように、CloudWatch Application Signals サービスリンクロールを作成するためのアクセス許可を追加しました。	2023 年 12 月 5 日
CloudWatchReadOnlyAccess – 既存のポリシーに対する更新	CloudWatch が、CloudWatchReadOnlyAccess に対する許可を追加しました。このポリシーを持つユーザーが CloudWatch Application Signals から報告されたサービス状態の問題をトリアージして診断できるように、CloudWatch Synthetics、X-Ray、CloudWatch RUM の各アクションに対する既存の読み取り専用アクセス許可と、CloudWatch Application Signals に対する新しい読み取り専用アクセス許可を追加しました。このポリシーを持つユーザーが自然言語プロンプトから CloudWatch Metrics Insights クエリ文字列を生成できるように、`cloudwatch:GenerateQuery` アクセス許可を追加しました。	2023 年 12 月 5 日
CloudWatchReadOnlyAccess – 既存のポリシーに対する更新。	CloudWatch が、CloudWatchReadOnlyAccess に対するアクセス許可を追加しました。このポリシーを持つユーザーが自然言語プロンプトから CloudWatch Metrics Insights クエリ文字列を生成できるように、`cloudwatch:GenerateQuery` アクセス許可を追加しました。	2023 年 12 月 1 日
CloudWatchApplicationSignalsServiceRolePolicy — 新しいポリシー	CloudWatch に新しいポリシー CloudWatchApplicationSignalsServiceRolePolicy が追加されました。 CloudWatchApplicationSignalsServiceRolePolicy により、CloudWatch Logs データ、X-Ray トレースデータ、CloudWatch メトリクスデータ、タグ付けデータを収集するための、今後の機能へのアクセス許可が付与されます。	2023 年 11 月 9 日
AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy – 新しいポリシー	CloudWatch に新しいポリシー AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy が追加されました。 AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy は、ユーザーに代わってデータベースから Performance Insights メトリクスを取得するアクセス許可を CloudWatch に付与します。	2023 年 9 月 20 日
CloudWatchReadOnlyAccess – 既存のポリシーに対する更新	CloudWatch が、CloudWatchReadOnlyAccess に対するアクセス許可を追加しました。このポリシーを持つユーザーが Application Auto Scaling ポリシーに関する情報にアクセスできるように `application-autoscaling:DescribeScalingPolicies` アクセス許可が追加されました。	2023 年 9 月 14 日
CloudWatchFullAccessV2 — 新しいポリシー	CloudWatch に新しいポリシー CloudWatchFullAccessV2 が追加されました。 CloudWatchFullAccessV2 は、CloudWatch アクションとリソースへのフルアクセスを許可すると同時に、Amazon SNS や Amazon EC2 Auto Scaling などの他のサービスに付与されるアクセス許可の範囲をより適切に設定します。詳細については、「CloudWatchFullAccess V2」を参照してください。	2023 年 8 月 1 日
AWSServiceRoleForInternetMonitor – 既存のポリシーへの更新	Amazon CloudWatch Internet Monitor が、Network Load Balancer リソースをモニタリングするための新しいアクセス許可を追加しました。 Internet Monitor が NLB リソースのフローログを分析して顧客の Network Load Balancer トラフィックを監視できるようにするには、`elasticloadbalancing:DescribeLoadBalancers` および `ec2:DescribeNetworkInterfaces` アクセス許可が必要です。詳細については、「Amazon CloudWatch Internet Monitor の使用」を参照してください。	2023 年 7 月 15 日
CloudWatchReadOnlyAccess – 既存のポリシーに対する更新	CloudWatch が、CloudWatchReadOnlyAccess に対する許可を追加しました。 `logs:StartLiveTail` および `logs:StopLiveTail` 許可が追加されたため、このポリシーを持つユーザーがコンソールを使用して CloudWatch Logs ライブテールセッションを開始および停止できるようになりました。詳細については、「ライブテールを使用してほぼリアルタイムでログを表示する」を参照してください。	2023 年 6 月 6 日
CloudWatchCrossAccountSharingConfiguration – 新しいポリシー	CloudWatch が、CloudWatch メトリクスを共有する CloudWatch クロスアカウントオブザーバビリティのリンクを管理できるようにする新しいポリシーを追加しました。詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。	2022 年 11 月 27 日
OAMFullAccess – 新しいポリシー	CloudWatch が、CloudWatch クロスアカウントオブザーバビリティのリンクとシンクを完全に管理できるようにする新しいポリシーを追加しました。詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。	2022 年 11 月 27 日
OAMReadOnlyAccess – 新しいポリシー	CloudWatch が、CloudWatch クロスアカウントオブザーバビリティのリンクとシンクに関する情報を表示できるようにする新しいポリシーを追加しました。詳細については、「CloudWatch のクロスアカウントオブザーバビリティ」を参照してください。	2022 年 11 月 27 日
CloudWatchFullAccess – 既存のポリシーに対する更新	CloudWatch が、CloudWatchFullAccess に対する許可を追加しました。このポリシーを持つユーザーがコンソールを使用して、CloudWatch のクロスアカウントオブザーバビリティでソースアカウントから共有されたデータを表示できるようにするための `oam:ListSinks` および `oam:ListAttachedLinks` 許可が追加されました。	2022 年 11 月 27 日
CloudWatchReadOnlyAccess – 既存のポリシーに対する更新	CloudWatch が、CloudWatchReadOnlyAccess に対する許可を追加しました。このポリシーを持つユーザーがコンソールを使用して、CloudWatch のクロスアカウントオブザーバビリティでソースアカウントから共有されたデータを表示できるようにするための `oam:ListSinks` および `oam:ListAttachedLinks` 許可が追加されました。	2022 年 11 月 27 日
AmazonCloudWatchRUMServiceRolePolicy – 既存のポリシーへの更新	CloudWatch RUM が AmazonCloudWatchRUMServiceRolePolicy の条件キーを更新しました。 CloudWatch RUM がカスタムメトリクスをカスタムメトリクス名前空間に送信できるように、`"Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/RUM" } }` 条件キーが次のように変更されました。 `"Condition": { "StringLike": { "cloudwatch:namespace": [ "RUM/CustomMetrics/*", "AWS/RUM" ] } }`	2023 年 2 月 2 日
AmazonCloudWatchRUMReadOnlyAccess – ポリシーを更新	CloudWatch で AmazonCloudWatchRUMReadOnlyAccess ポリシーにアクセス許可が追加されました。 CloudWatch RUM が拡張メトリクスを CloudWatch と Evidently に送信できるように、`rum:ListRumMetricsDestinations` および `rum:BatchGetRumMetricsDefinitions` アクセス許可が追加されました。	2022 年 10 月 27 日
AmazonCloudWatchRUMServiceRolePolicy – 既存のポリシーへの更新	CloudWatch RUM で AmazonCloudWatchRUMServiceRolePolicy へのアクセス許可が追加されました。 CloudWatch RUM が拡張メトリクスを CloudWatch に送信できるように、`cloudwatch:PutMetricData` アクセス許可が追加されました。	2022 年 10 月 26 日
CloudWatchEvidentlyReadOnlyAccess — 既存のポリシーへの更新	CloudWatch Evidently が、CloudWatchEvidentlyReadOnlyAccess にアクセス許可を追加しました。このポリシーを持つユーザーが、作成された Evidently のオーディエンスセグメントを表示できるように `evidently:GetSegment`、`evidently:ListSegments`、および `evidently:ListSegmentReferences` のアクセス許可が追加されました。	2022 年 8 月 12 日
CloudWatchSyntheticsFullAccess – 既存のポリシーを更新	CloudWatch Synthetics が、CloudWatchSyntheticsFullAccess にアクセス許可を追加しました。 Canary が削除されたときに CloudWatch Synthetics が関連リソースを削除できるように、`lambda:DeleteFunction` および `lambda:DeleteLayerVersion` アクセス許可が追加されました。Canary の IAM ロールにアタッチされているポリシーを顧客が表示できるように `iam:ListAttachedRolePolicies` が追加されました。	2022 年 5 月 6 日
AmazonCloudWatchRUMFullAccess – 新しいポリシー	CloudWatch に CloudWatch RUM の完全な管理を有効にする新しいポリシーが追加されました。 CloudWatch RUM を使用すると、ウェブアプリケーションの実際のユーザーモニターリングを実行できます。詳細については、「CloudWatch RUM」を参照してください。	2021 年 11 月 29 日
AmazonCloudWatchRUMReadOnlyAccess – 新しいポリシー	CloudWatch に CloudWatch RUM への読み取り専用のアクセス権限を有効にする新しいポリシーが追加されました。 CloudWatch RUM を使用すると、ウェブアプリケーションの実際のユーザーモニターリングを実行できます。詳細については、「CloudWatch RUM」を参照してください。	2021 年 11 月 29 日
CloudWatchEvidentlyFullAccess – 新しいポリシー	CloudWatch に CloudWatch Evidently の完全な管理を有効にする新しいポリシーが追加されました。 CloudWatch Evidently では、ウェブアプリケーションの A/B 実験を実行し、徐々にロールアウトすることができます。詳細については、「CloudWatch Evidently での起動と A/B 実験を実行する」を参照してください。	2021 年 11 月 29 日
CloudWatchEvidentlyReadOnlyAccess – 新しいポリシー	CloudWatch に CloudWatch Evidently への読み取り専用のアクセスを有効にする新しいポリシーが追加されました。 CloudWatch Evidently では、ウェブアプリケーションの A/B 実験を実行し、徐々にロールアウトすることができます。詳細については、「CloudWatch Evidently での起動と A/B 実験を実行する」を参照してください。	2021 年 11 月 29 日
AWSServiceRoleForCloudWatchRUM – 新しい管理ポリシー	CloudWatch にサービスにリンクされた新しいロールのポリシーが追加されて、CloudWatch RUM がモニターリングデータを他の関連する AWS のサービスに公開できるようになりました。	2021 年 11 月 29 日
CloudWatchSyntheticsFullAccess – 既存のポリシーを更新	CloudWatch Synthetics で CloudWatchSyntheticsFullAccess へのアクセス許可が追加され、また、1 つのアクセス許可の範囲も変更されました。 `kms:ListAliases` アクセス許可が追加され、canary アーティファクトの暗号化に使用できる AWS KMS キーのリストをユーザーが表示できるようになりました。`kms:DescribeKey` アクセス許可が追加され、canary アーティファクトの暗号化に使用できるキーの詳細をユーザーが表示できるようになりました。そして、ユーザーが canary アーティファクトを復号化できるようにする `kms:Decrypt` アクセス許可が追加されました。この復号化機能は、Amazon S3 バケット内のリソースでの使用に制限されています。 `s3:GetBucketLocation` アクセス許可の `Resource` 範囲が `` から `arn:aws:s3:::` に変更されました。	2021 年 9 月 29 日
CloudWatchSyntheticsFullAccess – 既存のポリシーを更新	CloudWatch Synthetics が、CloudWatchSyntheticsFullAccess に許可を追加しました。このポリシーを持つユーザーが Canary のランタイムバージョンを変更できるように、`lambda:UpdateFunctionCode` 許可が追加されました。	2021 年 7 月 20 日
AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy – 新しい管理ポリシー	CloudWatch は、AWS Systems Manager Incident Manager でインシデントを作成できるように、新しい IAM マネージドポリシーを追加しました。	2021 年 5 月 10 日
CloudWatchAutomaticDashboardsAccess – 既存のポリシーに対する更新	CloudWatch が、CloudWatchAutomaticDashboardsAccess 管理ポリシーにアクセス権限を追加しました。クロスアカウントダッシュボードユーザーが、CloudWatch Synthetics Canary 実行の詳細を表示するための `synthetics:DescribeCanariesLastRun` アクセス許可が、このポリシーに追加されました。	2021 年 4 月 20 日
CloudWatch が変更の追跡を開始しました	CloudWatch が、AWS マネージドポリシーの変更の追跡を開始しました。	2021 年 4 月 14 日

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

データ保護

Amazon CloudWatch と IAM の連携方法

Amazon CloudWatch 用 Identity and Access Management

トピック

対象者

アイデンティティによる認証

AWS アカウントのルートユーザー

フェデレーティッドアイデンティティ

IAM ユーザーとグループ

IAM ロール

ポリシーを使用したアクセス権の管理

アイデンティティベースポリシー

リソースベースのポリシー

アクセスコントロールリスト (ACL)

その他のポリシータイプ

複数のポリシータイプ

AWSCloudWatch の マネージド (事前定義) ポリシー

トピック

CloudWatchFullAccessV2

CloudWatchFullAccess

CloudWatchReadOnlyAccess

CloudWatchActionsEC2Access

CloudWatchAutomaticDashboardsAccess

CloudWatchAgentServerPolicy

CloudWatchAgentAdminPolicy

注記

CloudWatch クロスアカウントのオブザーバビリティの AWS マネージド (事前定義済み) ポリシー

CloudWatchCrossAccountSharingConfiguration

OAMFullAccess

OAMReadOnlyAccess

CloudWatch Application Signals の AWS マネージド (事前定義) ポリシー

CloudWatchApplicationSignalsReadOnlyAccess

CloudWatchApplicationSignalsFullAccess

CloudWatchLambdaApplicationSignalsExecutionRolePolicy

CloudWatch Synthetics の AWS マネージド (事前定義された) ポリシー

重要

CloudWatchSyntheticsFullAccess

CloudWatchSyntheticsReadOnlyAccess

Amazon CloudWatch RUM の AWS マネージド (事前定義) ポリシー

AmazonCloudWatchRUMFullAccess

AmazonCloudWatchRUMReadOnlyAccess

AmazonCloudWatchRUMServiceRolePolicy

CloudWatch Evidently の AWS マネージド (事前定義) ポリシー

CloudWatchEvidentlyFullAccess

CloudWatchEvidentlyReadOnlyAccess

AWS Systems Manager Incident Manager の AWS マネージドポリシー

お客様が管理するポリシーの例

例

例 1: ユーザーに CloudWatch への完全アクセスを許可する

例 2: CloudWatch への読み取り専用アクセスを許可する

例 3: Amazon EC2 インスタンスを停止または終了する

CloudWatch の AWS マネージドポリシーへの更新

AWSCloudWatch のマネージド (事前定義) ポリシー