Gerenciamento de Identidade e Acesso para o Amazon CloudWatch - Amazon CloudWatch
PúblicoAutenticando com identidadesGerenciando acesso usando políticasPolíticas gerenciadas (predefinidas) pela AWS para o CloudWatchExemplos de política gerenciada pelo clienteAtualizações da política

Gerenciamento de Identidade e Acesso para o Amazon CloudWatch

AWS Identity and Access Management (IAM) é um serviço da AWS service (Serviço da AWS) que ajuda o administrador no controle de segurança de acesso aos recursos da AWS de forma segura. Os administradores do IAM controlam quem pode ser autenticado (fazer login) e autorizado (ter permissões) para usar os recursos do CloudWatch. O IAM é um AWS service (Serviço da AWS) que pode ser usado sem custo adicional.

Tópicos

Público

O seu uso do AWS Identity and Access Management (IAM) varia, dependendo do trabalho realizado no CloudWatch.

Usuário do serviço: se você usar o serviço CloudWatch para fazer o trabalho, o administrador fornecerá as credenciais e as permissões necessárias. À medida que usar mais recursos do CloudWatch para fazer seu trabalho, será possível precisar de permissões adicionais. Entender como o acesso é gerenciado pode ajudar você a solicitar as permissões corretas ao seu administrador. Se não for possível acessar um recurso no CloudWatch, consulte Solução de problemas de identidade e acesso da Amazon CloudWatch.

Administrador do serviço: se você for o responsável pelos recursos do CloudWatch na empresa, provavelmente terá acesso total ao CloudWatch. É seu trabalho determinar quais funcionalidades e recursos do CloudWatch seus usuários de serviço devem acessar. Assim, você deve enviar solicitações ao administrador do IAM para alterar as permissões dos usuários de seu serviço. Revise as informações nesta página para entender os Introdução ao IAM. Para saber mais sobre como a empresa pode usar o IAM com o CloudWatch, consulte Como o Amazon CloudWatch funciona com o IAM.

Administrador do IAM: se você for um administrador do IAM, talvez queira saber detalhes sobre a criação de políticas para gerenciar o acesso ao CloudWatch. Para visualizar exemplos de políticas baseadas em identidade do CloudWatch que podem ser usadas no IAM, consulte Exemplos de políticas baseadas em identidade do Amazon CloudWatch.

Autenticando com identidades

A autenticação é a forma como você faz login na AWS usando suas credenciais de identidade. É necessário ser autenticado (fazer login na AWS) como Usuário raiz da conta da AWS, como usuário do IAM, ou assumindo um perfil do IAM.

Você pode fazer login na AWS como uma identidade federada usando credenciais fornecidas por uma fonte de identidades. AWS IAM Identity Center Os usuários (IAM Identity Center), a autenticação única da empresa e as suas credenciais do Google ou do Facebook são exemplos de identidades federadas. Quando você faz login como identidade federada, o administrador já configurou anteriormente a federação de identidades usando perfis do IAM. Quando você acessa a AWS usando a federação, está indiretamente assumindo um perfil.

A depender do tipo de usuário, você pode fazer login no AWS Management Console ou no portal de acesso AWS. Para obter mais informações sobre como fazer login na AWS, consulte Como fazer login na contaConta da AWS no Início de Sessão da AWS Guia do usuário .

Se você acessar a AWS programaticamente, a AWS fornecerá um kit de desenvolvimento de software (SDK) e uma interface de linha de comando (CLI) para você assinar criptograficamente as solicitações usando as suas credenciais. Se você não utilizar as ferramentas AWS, deverá designar as solicitações por conta própria. Para obter mais informações sobre como usar o método recomendado para assinar solicitações por conta própria, consulte AWS Signature Version 4 para solicitações de API no Guia do usuário do IAM.

Independente do método de autenticação usado, também pode ser exigido que você forneça informações adicionais de segurança. Por exemplo, a AWS recomenda o uso da autenticação multifator (MFA) para aumentar a segurança de sua conta. Para saber mais, consulte Autenticação multifator no Guia do usuário do AWS IAM Identity Center e Autenticação multifator (MFA) da AWS no IAM no Guia do usuário do IAM.

Usuário raiz Conta da AWS

Ao criar uma Conta da AWS, você começa com uma identidade de login com acesso completo a todos os Serviços da AWS e recursos na conta. Essa identidade, chamada usuário raiz da Conta da AWS, é acessada por login com o endereço de e-mail e a senha usada para criar a conta. É altamente recomendável não usar o usuário raiz para tarefas diárias. Proteja as credenciais do usuário raiz e use-as para executar as tarefas que somente ele puder executar. Para obter a lista completa das tarefas que exigem login como usuário raiz, consulte Tarefas que exigem credenciais de usuário raiz no Guia do Usuário do IAM.

Identidade federada

Como prática recomendada, exija que os usuários, inclusive os que precisam de acesso de administrador, usem a federação com um provedor de identidades para acessar os Serviços da AWS usando credenciais temporárias.

Identidade federada é um usuário de seu diretório de usuários corporativos, um provedor de identidades da web, o AWS Directory Service, o diretório do Identity Center, ou qualquer usuário que acesse os Serviços da AWS usando credenciais fornecidas por meio de uma fonte de identidade. Quando as identidades federadas acessam Contas da AWS, elas assumem perfis que fornecem credenciais temporárias.

Para o gerenciamento de acesso centralizado, recomendamos usar o AWS IAM Identity Center. Você pode criar usuários e grupos no IAM Identity Center ou conectar-se e sincronizar com um conjunto de usuários e grupos em sua própria fonte de identidade para uso em todas as suas Contas da AWS e aplicações. Para obter mais informações sobre o Centro de Identidade do IAM, consulte O que é o Centro de Identidade do IAM? no Manual do Usuário doAWS IAM Identity Center.

Usuários e grupos do IAM

Um usuário do IAM é uma identidade dentro da Conta da AWS que tem permissões específicas para uma única pessoa ou aplicativo. Sempre que possível, recomendamos contar com credenciais temporárias em vez de criar usuários do IAM com credenciais de longo prazo, como senhas e chaves de acesso. No entanto, se você tiver casos de uso específicos que exijam credenciais de longo prazo com usuários do IAM, recomendamos alternar as chaves de acesso. Para obter mais informações, consulte Alterne as chaves de acesso regularmente para casos de uso que exijam credenciais de longo prazo no Guia do Usuário do IAM.

Um grupo do IAM é uma identidade que especifica uma coleção de usuários do IAM. Não é possível fazer login como um grupo. É possível usar grupos para especificar permissões para vários usuários de uma vez. Os grupos facilitam o gerenciamento de permissões para grandes conjuntos de usuários. Por exemplo, você pode ter um grupo chamado IAMAdmins e conceder a esse grupo permissões para administrar recursos do IAM.

Usuários são diferentes de perfis. Um usuário é exclusivamente associado a uma pessoa ou a uma aplicação, mas um perfil pode ser assumido por qualquer pessoa que precisar dele. Os usuários têm credenciais permanentes de longo prazo, mas os perfis fornecem credenciais temporárias. Para saber mais, consulte Casos de uso para usuários do IAM no Guia do usuário do IAM.

Perfis do IAM

Um perfil do IAM é uma identidade dentro da Conta da AWS que tem permissões específicas. Ele é semelhante a um usuário do IAM, mas não está associado a uma pessoa específica. Para assumir temporariamente um perfil do IAM no AWS Management Console, você pode alternar de um usuário para um perfil do IAM (console). É possível presumir um perfil chamando uma operação de API da AWS CLI ou da AWS, ou usando um URL personalizado. Para obter mais informações sobre métodos para usar perfis, consulte Métodos para assumir um perfil no Guia do usuário do IAM.

Funções do IAM com credenciais temporárias são úteis nas seguintes situações:

  • Acesso de usuário federado: para atribuir permissões a identidades federadas, você pode criar um perfil e definir permissões para ele. Quando uma identidade federada é autenticada, essa identidade é associada ao perfil e recebe as permissões definidas pelo mesmo. Para obter mais informações sobre perfis para federação, consulte Criar um perfil para um provedor de identidades de terceiros no Guia do Usuário do IAM. Se você usar o Centro de identidade do IAM, configure um conjunto de permissões. Para controlar o que suas identidades podem acessar após a autenticação, o Centro de identidade do IAM correlaciona o conjunto de permissões a um perfil no IAM. Para obter informações sobre conjuntos de permissões, consulte Conjuntos de Permissões no Manual do Usuário do AWS IAM Identity Center.

  • Permissões temporárias para usuários do IAM –- um usuário ou um perfil do IAM pode presumir um perfil do IAM para obter temporariamente permissões diferentes para uma tarefa específica.

  • Acesso entre contas –- é possível usar um perfil do IAM para permitir que alguém (uma entidade principal confiável) em outra conta acesse recursos em sua conta. Os perfis são a principal forma de conceder acesso entre contas. No entanto, alguns Serviços da AWS permitem que você anexe uma política diretamente a um recurso (em vez de usar um perfil como proxy). Para saber a diferença entre perfis e políticas baseadas em recurso para acesso entre contas, consulte Acesso a recursos entre contas no IAM no Guia do usuário do IAM.

  • Acesso entre serviços: alguns Serviços da AWS usam atributos em outros Serviços da AWS. Por exemplo, quando você faz uma chamada em um serviço, é comum que esse serviço execute aplicativos no Amazon EC2 ou armazene objetos no Amazon S3. Um serviço pode fazer isso usando as permissões do principal de chamada, usando um perfil de serviço ou um perfil vinculado a serviço.

    • Encaminhamento de sessões de acesso (FAS): qualquer pessoa que utilizar uma função ou usuário do IAM para realizar ações na AWS é considerada uma entidade principal. Ao usar alguns serviços, você pode executar uma ação que inicia outra ação em um serviço diferente. O recurso FAS utiliza as permissões da entidade principal que chama um AWS service (Serviço da AWS), combinadas às permissões do AWS service (Serviço da AWS) solicitante, para realizar solicitações para serviços downstream. As solicitações de FAS só são feitas quando um serviço recebe uma solicitação que exige interações com outros Serviços da AWS ou com recursos para serem concluídas. Nesse caso, você precisa ter permissões para executar ambas as ações. Para obter detalhes da política ao fazer solicitações de FAS, consulte Encaminhar sessões de acesso.

    • Função de serviço: um perfil de serviço é um perfil do IAM que um serviço assume para realizar ações em seu nome. Um administrador do IAM pode criar, modificar e excluir um perfil de serviço do IAM. Para obter mais informações, consulte Criar um perfil para delegar permissões a um AWS service (Serviço da AWS) no Guia do Usuário do IAM.

    • Perfil vinculado a serviço: um perfil vinculado a serviço é um tipo de perfil de serviço vinculado a um AWS service (Serviço da AWS). O serviço pode presumir a função de executar uma ação em seu nome. Funções vinculadas ao serviço aparecem em sua Conta da AWS e são de propriedade do serviço. Um administrador do IAM pode visualizar, mas não editar as permissões para funções vinculadas ao serviço.

  • Aplicações em execução no Amazon EC2: é possível usar um perfil do IAM para gerenciar credenciais temporárias para aplicações em execução em uma instância do EC2 e fazer solicitações da AWS CLI ou da AWS API. É preferível fazer isso a armazenar chaves de acesso na instância do EC2. Para atribuir um perfil da AWS a uma instância do EC2 e disponibilizá-la para todas as suas aplicações, crie um perfil de instância que esteja anexado a ela. Um perfil de instância contém o perfil e permite que os programas em execução na instância do EC2 obtenham credenciais temporárias. Para mais informações, consulte Utilizar um perfil do IAM para conceder permissões a aplicações em execução nas instâncias do Amazon EC2 no Guia do usuário do IAM.

Gerenciando acesso usando políticas

Você controla o acesso na AWS criando políticas e anexando-as a identidades ou atributos da AWS. Uma política é um objeto na AWS que, quando associado a uma identidade ou recurso, define suas permissões. A AWS avalia essas políticas quando uma entidade principal (usuário, usuário raiz ou sessão de perfil) faz uma solicitação. As permissões nas políticas determinam se a solicitação será permitida ou negada. A maioria das políticas é armazenada na AWS como documentos JSON. Para obter mais informações sobre a estrutura e o conteúdo de documentos de políticas JSON, consulte Visão geral das políticas JSON no Guia do Usuário do IAM.

Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a o quê. Ou seja, qual entidade principal pode executar ações em quais recursos e em que condições.

Por padrão, usuários e funções não têm permissões. Para conceder aos usuários permissões para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM. O administrador pode então adicionar as políticas do IAM aos perfis e os usuários podem presumir os perfis.

As políticas do IAM definem permissões para uma ação independente do método usado para executar a operação. Por exemplo, suponha que você tenha uma política que permite a ação iam:GetRole. Um usuário com essa política pode obter informações de perfis do AWS Management Console, da AWS CLI ou da API da AWS.

Políticas baseadas em identidade

As políticas baseadas em identidade são documentos de políticas de permissões JSON que você pode anexar a uma identidade, como usuário do IAM, grupo de usuários ou perfil. Essas políticas controlam quais ações os usuários e perfis podem realizar, em quais recursos e em que condições. Para saber como criar uma política baseada em identidade, consulte Definir permissões do IAM personalizadas com políticas gerenciadas pelo cliente no Guia do usuário do IAM.

As políticas baseadas em identidade podem ser categorizadas ainda adicionalmente como políticas em linha ou políticas gerenciadas. As políticas em linha são anexadas diretamente a um único usuário, grupo ou perfil. As políticas gerenciadas são políticas independentes que podem ser anexadas a vários usuários, grupos e perfis na Conta da AWS. As políticas gerenciadas incluem políticas gerenciadas pela AWS e políticas gerenciadas pelo cliente. Para saber como escolher entre uma política gerenciada ou uma política em linha, consulte Escolher entre políticas gerenciadas e políticas em linha no Guia do usuário do IAM.

Políticas baseadas no recurso

Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. São exemplos de políticas baseadas em recursos as políticas de confiança de perfil do IAM e as políticas de bucket do Amazon S3. Em serviços que suportem políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. Para o recurso ao qual a política está anexada, a política define quais ações um principal especificado pode executar nesse recurso e em que condições. Você deve especificar uma entidade principal em uma política baseada em recursos. As entidades principais podem incluir contas, usuários, perfis, usuários federados ou Serviços da AWS.

Políticas baseadas em recursos são políticas em linha localizadas nesse serviço. Não é possível usar as políticas gerenciadas da AWS do IAM em uma política baseada em atributos.

Listas de controle de acesso (ACLs)

As listas de controle de acesso (ACLs) controlam quais entidades principais (membros, usuários ou perfis da conta) têm permissões para acessar um recurso. As ACLs são semelhantes as políticas baseadas em recursos, embora não usem o formato de documento de política JSON.

Amazon S3, AWS WAF e Amazon VPC são exemplos de serviços que oferecem compatibilidade com ACLs. Para saber mais sobre ACLs, consulte Visão geral da lista de controle de acesso (ACL) no Guia do Desenvolvedor do Amazon Simple Storage Service.

Outros tipos de política

A AWS oferece compatibilidade com tipos de política menos comuns. Esses tipos de política podem definir o máximo de permissões concedidas a você pelos tipos de política mais comuns.

  • Limites de permissões: um limite de permissões é um atributo avançado no qual você define o máximo de permissões que uma política baseada em identidade pode conceder a uma entidade do IAM (usuário ou perfil do IAM). É possível definir um limite de permissões para uma entidade. As permissões resultantes são a interseção das políticas baseadas em identidade de uma entidade com seus limites de permissões. As políticas baseadas em recurso que especificam o usuário ou o perfil no campo Principal não são limitadas pelo limite de permissões. Uma negação explícita em qualquer uma dessas políticas substitui a permissão. Para obter mais informações sobre limites de permissões, consulte Limites de permissões para identidades do IAM no Guia do Usuário do IAM.

  • Políticas de controle de serviço (SCPs) –- SCPs são políticas JSON que especificam as permissões máximas para uma organização ou unidade organizacional (UO) no AWS Organizations. O AWS Organizations é um serviço que agrupa e gerencia centralmente várias Contas da AWS pertencentes a sua empresa. Se você habilitar todos os atributos em uma organização, poderá aplicar políticas de controle de serviço (SCPs) a qualquer uma ou a todas as contas. O SCP limita as permissões para entidades em contas membro, o que inclui cada Usuário raiz da conta da AWS. Para obter mais informações sobre o Organizations e SCPs, consulte Service control policies no Guia do usuário do AWS Organizations.

  • Políticas de sessão: são políticas avançadas que você transmite como um parâmetro quando cria de forma programática uma sessão temporária para um perfil ou um usuário federado. As permissões da sessão resultante são a interseção das políticas baseadas em identidade do usuário ou do perfil e das políticas de sessão. As permissões também podem ser provenientes de uma política baseada em atributo. Uma negação explícita em qualquer uma dessas políticas substitui a permissão. Para obter mais informações, consulte Políticas de sessão no Guia do Usuário do IAM.

Vários tipos de política

Quando vários tipos de política são aplicáveis a uma solicitação, é mais complicado compreender as permissões resultantes. Para saber como a AWS determina permitir ou não uma solicitação quando há vários tipos de política envolvidos, consulte Lógica da avaliação de políticas no Guia do Usuário do IAM.

Políticas gerenciadas (predefinidas) pela AWS para o CloudWatch

A AWS aborda muitos casos de uso comuns fornecendo políticas autônomas do IAM que são criadas e administradas pela AWS. Essas políticas gerenciadas pela AWS concedem as permissões indispensáveis para casos de uso comuns para que você não precise investigar quais permissões são necessárias. Para obter mais informações, consulte Políticas gerenciadas pela AWS no Guia do usuário do IAM.

As seguintes políticas gerenciadas pelaAWS , que é possível associar a usuários na sua conta, são específicas do CloudWatch.

CloudWatchFullAccessV2

A AWS adicionou recentemente a política do IAM gerenciada CloudWatchFullAccessV2. Essa política concede acesso total às ações e recursos do CloudWatch, ao mesmo tempo em que define melhor o escopo das permissões concedidas para outros serviços, como o Amazon SNS e o Amazon EC2 Auto Scaling. Recomendamos que você comece a usar essa política em vez de usar CloudWatchFullAccess. A AWS planeja descontinuar o uso de CloudWatchFullAccess em um futuro próximo.

A política inclui permissões application-signals: para que os usuários possam acessar todas as funcionalidades do console do CloudWatch no Application Signals. Isso inclui algumas permissões autoscaling:Describe para que os usuários com essa política possam ver as ações do Auto Scaling associadas aos alarmes do CloudWatch. Isso inclui algumas permissões sns para que os usuários com essa política possam recuperar tópicos criados do Amazon SNS e associá-los a alarmes do CloudWatch. Inclui permissões do IAM para que os usuários com essa política possam visualizar informações sobre perfis vinculados a serviço associados ao CloudWatch. Inclui as permissões oam:ListSinks e oam:ListAttachedLinks para que os usuários com essa política possam usar o console para visualizar dados compartilhados das contas de origem na observabilidade entre contas do CloudWatch.

Inclui as permissões rum, synthetics e xray para que os usuários possam ter acesso total ao CloudWatch Synthetics, ao AWS X-Ray e ao CloudWatch RUM usando o serviço CloudWatch.

O conteúdo da política CloudWatchFullAccessV2 é o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchFullAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "application-signals:*",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribePolicies",
                "cloudwatch:*",
                "logs:*",
                "sns:CreateTopic",
                "sns:ListSubscriptions",
                "sns:ListSubscriptionsByTopic",
                "sns:ListTopics",
                "sns:Subscribe",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks",
                "rum:*",
                "synthetics:*",
                "xray:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CloudWatchApplicationSignalsServiceLinkedRolePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "application-signals.cloudwatch.amazonaws.com"
                }
            }
        },
        {
            "Sid": "EventsServicePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
         {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchFullAccess

A política CloudWatchFullAccess está prestes a ser descontinuada. Recomendamos que você pare de usá-la e use CloudWatchFullAccessV2 em seu lugar.

O conteúdo da política CloudWatchFullAccess é o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "autoscaling:Describe*",
                "cloudwatch:*",
                "logs:*",
                "sns:*",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchReadOnlyAccess

A política CloudWatchReadOnlyAccess concede acesso somente leitura ao CloudWatch.

A política inclui algumas permissões logs:, portanto, os usuários com essa política podem usar o console para visualizar as informações do CloudWatch Logs e as consultas do CloudWatch Logs Insights. Ela inclui autoscaling:Describe* para que os usuários com essa política possam visualizar as ações do Auto Scaling associadas aos alarmes do CloudWatch. A política inclui permissões application-signals: para que os usuários possam usar o Application Signals para monitorar a integridade dos serviços. Ela inclui application-autoscaling:DescribeScalingPolicies para que os usuários com essa política possam acessar informações sobre as políticas do Application Auto Scaling. Ela inclui sns:Get* e sns:List* para que os usuários com essa política possam recuperar informações sobre os tópicos do Amazon SNS que recebem notificações sobre alarmes do CloudWatch. Ela inclui as permissões oam:ListSinks e oam:ListAttachedLinks para que os usuários com essa política possam usar o console para visualizar os dados compartilhados de contas de origem na observabilidade entre contas do CloudWatch. Ela inclui as permissões iam:GetRole para que os usuários possam verificar se o CloudWatch Application Signals foi configurado.

Ela inclui permissões rum, synthetics e xray para que os usuários possam ter acesso somente leitura ao CloudWatch Synthetics, ao AWS X-Ray e ao CloudWatch RUM usando o serviço CloudWatch.

A seguir, temos o conteúdo da política CloudWatchReadOnlyAccess.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchReadOnlyAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "application-signals:BatchGet*",
                "application-signals:Get*",
                "application-signals:List*",
                "autoscaling:Describe*",
                "cloudwatch:BatchGet*",
                "cloudwatch:Describe*",
                "cloudwatch:GenerateQuery",
                "cloudwatch:Get*",
                "cloudwatch:List*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:Describe*",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "logs:StartLiveTail",
                "logs:StopLiveTail",
                "oam:ListSinks",
                "sns:Get*",
                "sns:List*",
                "rum:BatchGet*",
                "rum:Get*",
                "rum:List*",
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "xray:BatchGet*",
                "xray:Get*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        },
        {
            "Sid": "CloudWatchReadOnlyGetRolePermissions",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals"
        }
     ]
}

CloudWatchActionsEC2Access

A política CloudWatchActionsEC2Access concede acesso somente leitura aos alarmes e às métricas do CloudWatch, bem como aos metadados do Amazon EC2. Também concede acesso às ações da API de interromper, terminar e reinicializar para instâncias do EC2.

A seguir, temos o conteúdo da política CloudWatchActionsEC2Access

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:Describe*",
        "ec2:Describe*",
        "ec2:RebootInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*"
    }
  ]
}

CloudWatchAutomaticDashboardsAccess

A política gerenciada CloudWatch-CrossAccountAccess é usada pela função do IAM CloudWatch-CrossAccountSharingRole. Essa função e política permitem que os usuários de painéis entre contas visualizem painéis automáticos em cada conta que está compartilhando painéis.

Este é o conteúdo da política CloudWatchAutomaticDashboardsAccess:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:DescribeAutoScalingGroups",
        "cloudfront:GetDistribution",
        "cloudfront:ListDistributions",
        "dynamodb:DescribeTable",
        "dynamodb:ListTables",
        "ec2:DescribeInstances",
        "ec2:DescribeVolumes",
        "ecs:DescribeClusters",
        "ecs:DescribeContainerInstances",
        "ecs:ListClusters",
        "ecs:ListContainerInstances",
        "ecs:ListServices",
        "elasticache:DescribeCacheClusters",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticfilesystem:DescribeFileSystems",
        "elasticloadbalancing:DescribeLoadBalancers",
        "kinesis:DescribeStream",
        "kinesis:ListStreams",
        "lambda:GetFunction",
        "lambda:ListFunctions",
        "rds:DescribeDBClusters",
        "rds:DescribeDBInstances",
        "resource-groups:ListGroupResources",
        "resource-groups:ListGroups",
        "route53:GetHealthCheck",
        "route53:ListHealthChecks",
        "s3:ListAllMyBuckets",
        "s3:ListBucket",
        "sns:ListTopics",
        "sqs:GetQueueAttributes",
        "sqs:GetQueueUrl",
        "sqs:ListQueues",
        "synthetics:DescribeCanariesLastRun",
        "tag:GetResources"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "apigateway:GET"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:apigateway:*::/restapis*"
      ]
    }
  ]

Política: CloudWatchAgentServerPolicy

A política CloudWatchAgentServerPolicy pode ser usada em funções do IAM anexadas às instâncias do Amazon EC2 para permitir que o atendente do CloudWatch leia informações da instância e as grave no CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchServerPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeVolumes",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMServerPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}

CloudWatchAgentAdminPolicy

A política CloudWatchAgentAdminPolicy pode ser usada em funções do IAM anexadas às instâncias do Amazon EC2. Essa política permite que o atendente do CloudWatch leia informações da instância, grave-as no CloudWatch e grave informações no Parameter Store. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}
nota

É possível analisar essas políticas de permissões fazendo login no console do IAM e pesquisando políticas específicas.

Você também pode criar as próprias políticas do IAM personalizadas a fim de conceder permissões para ações e recursos do CloudWatch. Você pode anexar essas políticas personalizadas a usuários ou grupos do IAM que exijam essas permissões.

Políticas gerenciadas da (predefinidas) da AWS para a observabilidade entre contas do CloudWatch

As políticas dessa seção concedem permissões relacionadas à observabilidade entre contas do CloudWatch. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

CloudWatchCrossAccountSharingConfiguration

A política CloudWatchCrossAccountSharingConfiguration dá acesso para criar, gerenciar e exibir links do Observability Access Manager para compartilhar recursos do CloudWatch entre contas. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Link",
                "oam:ListLinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:DeleteLink",
                "oam:GetLink",
                "oam:TagResource"
            ],
            "Resource": "arn:aws:oam:*:*:link/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:CreateLink",
                "oam:UpdateLink"
            ],
            "Resource": [
                "arn:aws:oam:*:*:link/*",
                "arn:aws:oam:*:*:sink/*"
            ]
        }
    ]
}

OAMFullAccess

A política OAMFullAccess dá acesso para criar, gerenciar e visualizar coletores e links do Observability Access Manager, que são utilizadas para a observabilidade entre contas do CloudWatch.

A política OAMFullAccess por si só não permite compartilhar dados de observabilidade entre links. Para criar um link para compartilhar métricas do CloudWatch, você também precisa da política CloudWatchFullAccess ou CloudWatchCrossAccountSharingConfiguration. Para criar um link para compartilhar grupos de logs do CloudWatch Logs, você também precisa da política CloudWatchLogsFullAccess ou CloudWatchLogsCrossAccountSharingConfiguration. Para criar um link para compartilhar rastreamentos do X-Ray, você também precisa da política AWSXRayFullAccess ou AWSXRayCrossAccountSharingConfiguration.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:*"
            ],
            "Resource": "*"
        }
    ]
}

OAMReadOnlyAccess

A política OAMReadOnlyAccess dá acesso somente leitura aos recursos do Observability Access Manager, que são utilizados para a observabilidade entre contas do CloudWatch. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:Get*",
                "oam:List*"
            ],
            "Resource": "*"
        }
    ]
}

Políticas (predefinidas) gerenciadas pela AWS para o CloudWatch Application Signals

As políticas desta seção concedem permissões relacionadas ao CloudWatch Application Signals. Para ter mais informações, consulte Application Signals.

CloudWatchApplicationSignalsReadOnlyAccess

A AWS adicionou a política do IAM gerenciada CloudWatchApplicationSignalsReadOnlyAccess. Essa política concede acesso somente leitura às ações e aos recursos disponíveis para os usuários no console do CloudWatch em Application Signals. Inclui políticas de application-signals: para que os usuários possam usar o CloudWatch Application Signals para visualizar, investigar e monitorar a integridade de seus serviços. Inclui uma política de iam:GetRole para permitir que os usuários recuperem informações sobre um perfil do IAM. Inclui políticas de logs: para iniciar e interromper consultas, recuperar a configuração de um filtro de métricas e obter resultados de consultas. Inclui políticas de cloudwatch: para que os usuários possam obter informações sobre um alarme ou métricas do CloudWatch. Inclui políticas de synthetics: para que os usuários possam recuperar as informações sobre execuções de canários do Synthetics. Inclui políticas de rum: para executar operações em lote, recuperar dados e atualizar definições de métricas para clientes do RUM. Inclui uma política de xray: para recuperar resumos de rastreamento.

Veja a seguir o conteúdo da política CloudWatchApplicationSignalsReadOnlyAccess.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CloudWatchApplicationSignalsReadOnlyAccessPermissions",
			"Effect": "Allow",
			"Action": [
				"application-signals:BatchGetServiceLevelObjectiveBudgetReport",
				"application-signals:GetService",
				"application-signals:GetServiceLevelObjective",
				"application-signals:ListServiceLevelObjectives",
				"application-signals:ListServiceDependencies",
				"application-signals:ListServiceDependents",
				"application-signals:ListServiceOperations",
				"application-signals:ListServices",
				"application-signals:ListTagsForResource"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsGetRolePermissions",
			"Effect": "Allow",
			"Action": "iam:GetRole",
			"Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals"
		},
		{
			"Sid": "CloudWatchApplicationSignalsLogGroupPermissions",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsLogsPermissions",
			"Effect": "Allow",
			"Action": [
				"logs:StopQuery",
				"logs:GetQueryResults"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsAlarmsReadPermissions",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:DescribeAlarms"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsMetricsReadPermissions",
			"Effect": "Allow",
			"Action": [
				"cloudwatch:GetMetricData",
				"cloudwatch:ListMetrics"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsSyntheticsReadPermissions",
			"Effect": "Allow",
			"Action": [
				"synthetics:DescribeCanaries",
				"synthetics:DescribeCanariesLastRun",
				"synthetics:GetCanaryRuns"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsRumReadPermissions",
			"Effect": "Allow",
			"Action": [
				"rum:BatchGetRumMetricDefinitions",
				"rum:GetAppMonitor",
				"rum:GetAppMonitorData",
				"rum:ListAppMonitors"
			],
			"Resource": "*"
		},
		{
			"Sid": "CloudWatchApplicationSignalsXrayReadPermissions",
			"Effect": "Allow",
			"Action": [
				"xray:GetTraceSummaries"
			],
			"Resource": "*"
		}
	]
}

CloudWatchApplicationSignalsFullAccess

A AWS adicionou a política do IAM gerenciada CloudWatchApplicationSignalsFullAccess. Essa política concede acesso a todas as ações e recursos disponíveis para os usuários no console do CloudWatch. Inclui políticas de application-signals: para que os usuários possam usar o CloudWatch Application Signals para visualizar, investigar e monitorar a integridade de seus serviços. Usa políticas de cloudwatch: para recuperar dados de métricas e alarmes. Usa políticas de logs: para gerenciar consultas e filtros. Usa políticas de synthetics: para que os usuários possam recuperar as informações sobre execuções de canários do Synthetics. Inclui políticas de rum: para executar operações em lote, recuperar dados e atualizar definições de métricas para clientes do RUM. Inclui uma política de xray: para recuperar resumos de rastreamento. Inclui políticas de arn:aws:cloudwatch:*:*:alarm: para que os usuários possam recuperar as informações sobre um alarme de objetivo de nível de serviço (SLO). Inclui políticas de iam: para gerenciar os perfis do IAM. Usa políticas de sns: para criar, listar e assinar um tópico do Amazon SNS.

Veja a seguir o conteúdo da política CloudWatchApplicationSignalsFullAccess.

{
 "Version": "2012-10-17",
 "Statement": [
    {
        "Sid": "CloudWatchApplicationSignalsFullAccessPermissions",
        "Effect": "Allow",
        "Action": "application-signals:*",
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsAlarmsPermissions",
        "Effect": "Allow",
        "Action": "cloudwatch:DescribeAlarms",
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsMetricsPermissions",
        "Effect": "Allow",
        "Action": [
            "cloudwatch:GetMetricData",
            "cloudwatch:ListMetrics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsLogGroupPermissions",
        "Effect": "Allow",
        "Action": [
            "logs:StartQuery"
        ],
        "Resource": "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsLogsPermissions",
        "Effect": "Allow",
        "Action": [
            "logs:StopQuery",
            "logs:GetQueryResults"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsSyntheticsPermissions",
        "Effect": "Allow",
        "Action": [
            "synthetics:DescribeCanaries",
            "synthetics:DescribeCanariesLastRun",
            "synthetics:GetCanaryRuns"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsRumPermissions",
        "Effect": "Allow",
        "Action": [
            "rum:BatchCreateRumMetricDefinitions",
            "rum:BatchDeleteRumMetricDefinitions",
            "rum:BatchGetRumMetricDefinitions",
            "rum:GetAppMonitor",
            "rum:GetAppMonitorData",
            "rum:ListAppMonitors",
            "rum:PutRumMetricsDestination",
            "rum:UpdateRumMetricDefinition"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsXrayPermissions",
        "Effect": "Allow",
        "Action": "xray:GetTraceSummaries",
        "Resource": "*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsPutMetricAlarmPermissions",
        "Effect": "Allow",
        "Action": "cloudwatch:PutMetricAlarm",
        "Resource": [
            "arn:aws:cloudwatch:*:*:alarm:SLO-AttainmentGoalAlarm-*",
            "arn:aws:cloudwatch:*:*:alarm:SLO-WarningAlarm-*",
            "arn:aws:cloudwatch:*:*:alarm:SLI-HealthAlarm-*"
        ]
    },
    {
        "Sid": "CloudWatchApplicationSignalsCreateServiceLinkedRolePermissions",
        "Effect": "Allow",
        "Action": "iam:CreateServiceLinkedRole",
        "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals",
        "Condition": {
            "StringLike": {
                "iam:AWSServiceName": "application-signals.cloudwatch.amazonaws.com"
            }
        }
    },
    {
        "Sid": "CloudWatchApplicationSignalsGetRolePermissions",
        "Effect": "Allow",
        "Action": "iam:GetRole",
        "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals"
    },
    {
        "Sid": "CloudWatchApplicationSignalsSnsWritePermissions",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:Subscribe"
        ],
        "Resource": "arn:aws:sns:*:*:cloudwatch-application-signals-*"
    },
    {
        "Sid": "CloudWatchApplicationSignalsSnsReadPermissions",
        "Effect": "Allow",
        "Action": "sns:ListTopics",
        "Resource": "*"
    }
 ]
}

CloudWatchLambdaApplicationSignalsExecutionRolePolicy

Essa política é usada quando o CloudWatch Application Signals está habilitado para workloads do Lambda. Ela permite acesso de gravação ao X-Ray e ao grupo de logs usado pelo CloudWatch Application Signals.

Veja a seguir o conteúdo da política CloudWatchLambdaApplicationSignalsExecutionRolePolicy.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CloudWatchApplicationSignalsXrayWritePermissions",
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "CloudWatchApplicationSignalsLogGroupWritePermissions",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogGroup",
				"logs:CreateLogStream",
				"logs:PutLogEvents"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/application-signals/data:*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		}
	]
}

Políticas gerenciadas (predefinidas) pela AWS para o CloudWatch Synthetics

As políticas CloudWatchSyntheticsFullAccess e CloudWatchSyntheticsReadOnlyAccess gerenciadas pela AWS estão disponíveis para você atribuir aos usuários que vão gerenciar ou usar CloudWatch Synthetics. Estas políticas adicionais também são relevantes:

  • AmazonS3ReadOnlyAccess e CloudWatchReadOnlyAccess: são necessárias para poder ler todos os dados do Synthetics no console do CloudWatch.

  • AWSLambdaReadOnlyAccess: para ser capaz de visualizar o código-fonte usado pelos canaries.

  • CloudWatchSyntheticsFullAccess permite que você crie canaries. Além disso, para criar e excluir canaries que tenham uma nova função do IAM criada para eles, você também precisa da seguinte instrução de política em linha:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:CreatePolicy",
                "iam:DeletePolicy",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*",
                "arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*"
            ]
        }
    ]
}
    Importante

    A concessão das permissões iam:CreateRole, iam:DeleteRole, iam:CreatePolicy, iam:DeletePolicy, iam:AttachRolePolicy e iam:DetachRolePolicy a um usuário proporciona acesso administrativo total para esse usuário criar, anexar e excluir funções e políticas que tenham ARNs correspondentes a arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole* e arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*. Por exemplo, um usuário com essas permissões pode criar uma política com permissões completas para todos os recursos e anexar essa política a qualquer função correspondente ao padrão de ARN. Seja muito cuidadoso a quem você concede essas permissões.

    Para obter informações sobre como anexar políticas e conceder permissões a usuários, consulte Alterar permissões para um usuário do IAM e Incorporar uma política em linha para um usuário ou para uma função.

CloudWatchSyntheticsFullAccess

A seguir está o conteúdo da política CloudWatchSyntheticsFullAccess.

    {
    	"Version": "2012-10-17",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": [
    				"synthetics:*"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:CreateBucket",
    				"s3:PutEncryptionConfiguration"
    			],
    			"Resource": [
    				"arn:aws:s3:::cw-syn-results-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"iam:ListRoles",
    				"s3:ListAllMyBuckets",
    				"xray:GetTraceSummaries",
    				"xray:BatchGetTraces",
    				"apigateway:GET"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:GetBucketLocation"
    			],
    			"Resource": "arn:aws:s3:::*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:GetObject",
    				"s3:ListBucket"
    			],
    			"Resource": "arn:aws:s3:::cw-syn-*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"s3:GetObjectVersion"
    			],
    			"Resource": "arn:aws:s3:::aws-synthetics-library-*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"iam:PassRole"
    			],
    			"Resource": [
    				"arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
    			],
    			"Condition": {
    				"StringEquals": {
    					"iam:PassedToService": [
    						"lambda.amazonaws.com",
    						"synthetics.amazonaws.com"
    					]
    				}
    			}
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"iam:GetRole",
    				"iam:ListAttachedRolePolicies"
    			],
    			"Resource": [
    				"arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"cloudwatch:GetMetricData",
    				"cloudwatch:GetMetricStatistics"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"cloudwatch:PutMetricAlarm",
    				"cloudwatch:DeleteAlarms"
    			],
    			"Resource": [
    				"arn:aws:cloudwatch:*:*:alarm:Synthetics-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"cloudwatch:DescribeAlarms"
    			],
    			"Resource": [
    				"arn:aws:cloudwatch:*:*:alarm:*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"lambda:CreateFunction",
    				"lambda:AddPermission",
    				"lambda:PublishVersion",
    				"lambda:UpdateFunctionCode",
    				"lambda:UpdateFunctionConfiguration",
    				"lambda:GetFunctionConfiguration",
    				"lambda:DeleteFunction",
    				"lambda:ListTags",
    				"lambda:TagResource",
    				"lambda:UntagResource"
    			],
    			"Resource": [
    				"arn:aws:lambda:*:*:function:cwsyn-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"lambda:GetLayerVersion",
    				"lambda:PublishLayerVersion",
    				"lambda:DeleteLayerVersion"
    			],
    			"Resource": [
    				"arn:aws:lambda:*:*:layer:cwsyn-*",
    				"arn:aws:lambda:*:*:layer:Synthetics:*",
    				"arn:aws:lambda:*:*:layer:Synthetics_Selenium:*" 
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"ec2:DescribeVpcs",
    				"ec2:DescribeSubnets",
    				"ec2:DescribeSecurityGroups"
    			],
    			"Resource": [
    				"*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"sns:ListTopics"
    			],
    			"Resource": [
    				"*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"sns:CreateTopic",
    				"sns:Subscribe",
    				"sns:ListSubscriptionsByTopic"
    			],
    			"Resource": [
    				"arn:*:sns:*:*:Synthetics-*"
    			]
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"kms:ListAliases"
    			],
    			"Resource": "*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"kms:DescribeKey"
    			],
    			"Resource": "arn:aws:kms:*:*:key/*"
    		},
    		{
    			"Effect": "Allow",
    			"Action": [
    				"kms:Decrypt"
    			],
    			"Resource": "arn:aws:kms:*:*:key/*",
    			"Condition": {
    				"StringLike": {
    					"kms:ViaService": [
    						"s3.*.amazonaws.com"
    					]
    				}
    			}
    		}
    	]
    }

CloudWatchSyntheticsReadOnlyAccess

A seguir está o conteúdo da política CloudWatchSyntheticsReadOnlyAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "lambda:GetFunctionConfiguration"
            ],
            "Resource": "*"
        }
    ]
}

Políticas gerenciadas (predefinidas) da AWS para o Amazon CloudWatch RUM

As políticas gerenciadas da AWSAmazonCloudWatchRUMFullAccess e AmazonCloudWatchRUMReadOnlyAccess estão disponíveis para que você as atribua a usuários que gerenciarão ou usarão o CloudWatch RUM.

AmazonCloudWatchRUMFullAccess

Veja a seguir o conteúdo da política AmazonCloudWatchRUMFullAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rum:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/rum.amazonaws.com/AWSServiceRoleForRealUserMonitoring"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/RUM-Monitor*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "cognito-identity.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "arn:aws:cloudwatch:*:*:alarm:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cognito-identity:CreateIdentityPool",
                "cognito-identity:ListIdentityPools",
                "cognito-identity:DescribeIdentityPool",
                "cognito-identity:GetIdentityPoolRoles",
                "cognito-identity:SetIdentityPoolRoles"
            ],
            "Resource": "arn:aws:cognito-identity:*:*:identitypool/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:DeleteLogGroup",
                "logs:PutRetentionPolicy",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:*RUMService*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "logs:DescribeResourcePolicies"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:*:*:log-group::log-stream:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:describeCanaries",
                "synthetics:describeCanariesLastRun"
            ],
            "Resource": "arn:aws:synthetics:*:*:canary:*"
        }
    ]
}

AmazonCloudWatchRUMReadOnlyAccess

Veja a seguir o conteúdo da política AmazonCloudWatchRUMReadOnlyAccess.

{

	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"rum:GetAppMonitor",
				"rum:GetAppMonitorData",
				"rum:ListAppMonitors",
				"rum:ListRumMetricsDestinations",
				"rum:BatchGetRumMetricDefinitions"
			],
			"Resource": "*"
		}
	]
}

AmazonCloudWatchRUMServiceRolePolicy

Não é possível anexar o AmazonCloudWatchRUMServiceRolePolicy em suas entidades do IAM. Essa política é anexada a uma função vinculada a serviços que permite que o CloudWatch RUM publique dados de monitoramento para outros serviços relevantes da AWS. Para obter mais informações sobre essa função vinculada ao serviço, consulte Usar funções vinculadas ao serviço para o CloudWatch RUM.

Este é o conteúdo completo da política AmazonCloudWatchRUMServiceRolePolicy.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"cloudwatch:namespace": [
						"RUM/CustomMetrics/*",
						"AWS/RUM"
					]
				}
			}
		}
	]
}

Políticas gerenciadas (predefinidas) pela AWS para o CloudWatch Evidently

As políticas CloudWatchSyntheticsFullAccess e CloudWatchSyntheticsReadOnlyAccess gerenciadas pela AWS estão disponíveis para você atribuir aos usuários que vão gerenciar ou usar o CloudWatch Evidently.

CloudWatChevidentlyFullAccess

A seguir está o conteúdo da política CloudWatchEvidentlyFullAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchRUMEvidentlyRole-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:DescribeAlarmHistory",
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms",
                "cloudwatch:TagResource",
                "cloudwatch:UnTagResource"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:Evidently-Alarm-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:ListSubscriptionsByTopic"
            ],
            "Resource": [
                "arn:*:sns:*:*:Evidently-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

CloudWatchEvidentlyReadOnlyAccess

A seguir está o conteúdo da política CloudWatchEvidentlyReadOnlyAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:GetExperiment",
                "evidently:GetFeature",
                "evidently:GetLaunch",
                "evidently:GetProject",
                "evidently:GetSegment",
                "evidently:ListExperiments",
                "evidently:ListFeatures",
                "evidently:ListLaunches",
                "evidently:ListProjects",
                "evidently:ListSegments",
                "evidently:ListSegmentReferencs"                               
            ],
            "Resource": "*"
        }
    ]
}

Política gerenciada pela AWS para o AWS Systems Manager Incident Manager

A política AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy está anexada a uma função vinculada ao serviço que permite que o CloudWatch inicie incidentes no AWS Systems Manager Incident Manager em seu nome. Para ter mais informações, consulte Permissões de função vinculada ao serviço para ações do Systems Manager Incident Manager de alarmes do CloudWatch.

A política tem a seguinte permissão:

  • ssm-incidents:StartIncident

Exemplos de política gerenciada pelo cliente

Nesta seção, você encontrará exemplos de políticas de usuário que concedem permissões para diversas ações do CloudWatch. Essas políticas funcionam quando você está usando a API do CloudWatch, os SDKs da AWS ou a AWS CLI.

Exemplo 1: Permitir acesso total ao CloudWatch

Para conceder a um usuário acesso total ao CloudWatch, você pode usar a política gerenciada CloudWatchFullAccess em vez de criar uma política gerenciada pelo cliente. O conteúdo de CloudWatchFullAccess está listado em CloudWatchFullAccess.

Exemplo 2: Permitir acesso somente leitura ao CloudWatch

A política a seguir permite a um usuário acesso somente leitura ao CloudWatch e visualização de ações do Amazon EC2 Auto Scaling, métricas do CloudWatch, dados do CloudWatch Logs e dados do Amazon SNS relacionados a alarmes.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:Describe*",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "logs:Get*",
        "logs:Describe*",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:TestMetricFilter",
        "logs:FilterLogEvents",
        "logs:StartLiveTail",
        "logs:StopLiveTail",
        "sns:Get*",
        "sns:List*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Exemplo 3: Interromper ou encerrar uma instância do instância do Amazon EC2

A política a seguir permite que uma ação de alarme do CloudWatch interrompa ou encerre uma instância do EC2. No exemplo abaixo, as ações GetMetricData, ListMetrics e DescribeAlarms são opcionais. Recomendamos que você inclua essas ações para interromper ou encerrar corretamente a instância.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:PutMetricAlarm",
        "cloudwatch:GetMetricData",
        "cloudwatch:ListMetrics",
        "cloudwatch:DescribeAlarms"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    }
  ]
}

Atualização do CloudWatch para políticas gerenciadas pela AWS

Veja detalhes sobre atualizações em políticas gerenciadas pela AWS para o CloudWatch desde que esse serviço começou a monitorar essas alterações. Para obter alertas automáticos sobre alterações feitas nesta página, inscreva-se no feed RSS na página Document history (Histórico de documentos) do CloudWatch.

Alteração Descrição Data

CloudWatchLambdaApplicationSignalsExecutionRolePolicy: nova política

O CloudWatch criou uma nova política denominada CloudWatchLambdaApplicationSignalsExecutionRolePolicy.

Essa política é usada quando o CloudWatch Application Signals está habilitado para workloads do Lambda. Ela permite acesso de gravação ao X-Ray e ao grupo de logs usado pelo CloudWatch Application Signals.

 16 de outubro de 2024

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch atualizou a política denominada CloudWatchSyntheticsFullAccess.

As permissões lambda:ListTags, lambda:TagResource e lambda:UntagResource foram adicionadas para que, ao aplicar ou alterar tags em um canário, você possa optar por fazer com que a Synthetics também aplique essas mesmas tags ou alterações na função do Lambda que o canário usa.

 11 de outubro de 2024

CloudWatchInternetMonitorFullAccess: nova política

O CloudWatch criou uma nova política denominada CloudWatchInternetMonitorFullAccess.

Essa política concede acesso total aos recursos e às ações disponíveis no console do CloudWatch para o Monitor de Internet. O escopo dessa política inclui internetmonitor: para que os usuários possam usar as ações e os recursos do Monitor de Internet. Inclui algumas políticas de cloudwatch: para recuperar informações sobre alarmes e métricas do CloudWatch. Inclui algumas políticas de logs: para gerenciar consultas de logs. Inclui algumas políticas de ec2:, cloudfront:, elasticloadbalancing: e workspaces: para trabalhar com recursos que você adiciona aos monitores para que o Monitor de Internet possa criar um perfil de tráfego para sua aplicação. Contém algumas políticas de iam: para gerenciar os perfis do IAM.

23 de outubro de 2024

CloudWatchApplicationSignalsReadOnlyAccess: nova política

O CloudWatch criou uma nova política chamada CloudWatchApplicationSignalsReadOnlyAccess.

Essa política concede acesso somente leitura às ações e aos recursos disponíveis no console do CloudWatch em Application Signals. O escopo dessa política inclui políticas de application-signals: para que os usuários possam usar as ações e os recursos somente leitura disponíveis no console do CloudWatch em Application Signals. Contém uma política de iam: para gerenciar os perfis do IAM. Inclui algumas políticas de logs: para gerenciar filtros e consultas de logs. Inclui políticas de cloudwatch: para recuperar informações sobre alarmes e métricas do CloudWatch. Inclui algumas políticas de synthetics: para recuperar informações sobre canários do Synthetics. Inclui políticas de rum: para gerenciar trabalhos e clientes do RUM. Contém uma política de xray: para obter resumos de rastreamento.

7 de junho de 2024

CloudWatchApplicationSignalsFullAccess: nova política

O CloudWatch criou uma nova política chamada CloudWatchApplicationSignalsFullAccess.

Essa política concede acesso total às ações e aos recursos disponíveis no console do CloudWatch em Application Signals. O escopo dessa política inclui application-signals: para que os usuários possam usar as ações e os recursos do Application Signals. Inclui algumas políticas de cloudwatch: para recuperar informações sobre alarmes e métricas do CloudWatch. Inclui algumas políticas de logs: para gerenciar consultas de logs. Inclui algumas políticas de synthetics: para gravar e recuperar informações sobre canários do Synthetics. Inclui políticas de rum: para gerenciar trabalhos e clientes do RUM. Contém uma política de xray: para obter resumos de rastreamento. Inclui algumas políticas de cloudwatch: para gerenciar os alarmes do CloudWatch. Contém algumas políticas de iam: para gerenciar os perfis do IAM. Inclui algumas políticas de sns: para gerenciar notificações do Amazon Simple Notification Service.

 7 de junho de 2024

CloudWatchFullAccessV2: atualização para uma política existente

O CloudWatch atualizou a política chamada CloudWatchFullAccessV2.

O escopo da política CloudWatchFullAccessPermissions foi atualizado para adicionar application-signals:* com a finalidade de que os usuários possam usar o CloudWatch Application Signals para visualizar, investigar e diagnosticar problemas relacionados com a integridade de seus serviços.

 20 de maio de 2024

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch atualizou a política chamada CloudWatchReadOnlyAccess.

O escopo da política CloudWatchReadOnlyAccessPermissions foi atualizado para adicionar application-signals:BatchGet*, application-signals:List* e application-signals:Get* com a finalidade de que os usuários possam usar o CloudWatch Application Signals para visualizar, investigar e diagnosticar problemas relacionados com a integridade de seus serviços. O escopo de CloudWatchReadOnlyGetRolePermissions foi atualizado para adicionar a ação iam:GetRole com a finalidade de que os usuários possam verificar se o CloudWatch Application Signals está configurado.

 20 de maio de 2024

CloudWatchApplicationSignalsServiceRolePolicy: atualização para uma política existente

O CloudWatch atualizou a política denominada CloudWatchApplicationSignalsServiceRolePolicy.

O escopo das permissões logs:StartQuery e logs:GetQueryResults foi alterado para adicionar os ARNs arn:aws:logs:*:*:log-group:/aws/appsignals/*:* e arn:aws:logs:*:*:log-group:/aws/application-signals/data:* com a finalidade de habilitar o Application Signals em mais arquiteturas.

 18 de abril de 2024

CloudWatchApplicationSignalsServiceRolePolicy: atualização para uma política existente

O CloudWatch alterou o escopo de uma permissão em CloudWatchApplicationSignalsServiceRolePolicy.

O escopo da permissão cloudwatch:GetMetricData foi alterado para * com a finalidade de que o Application Signals possa recuperar métricas de origens em contas vinculadas.

 8 de abril de 2024

CloudWatchAgentServerPolicy: atualização para uma política existente

O CloudWatch adicionou permissões à CloudWatchAgentServerPolicy.

As permissões xray:PutTraceSegments, xray:PutTelemetryRecords, xray:GetSamplingRules, xray:GetSamplingTargets, xray:GetSamplingStatisticSummaries e logs:PutRetentionPolicy foram adicionadas para que o agente do CloudWatch possa publicar rastreamentos do X-Ray e modificar os períodos de retenção do grupo de logs.

 12 de fevereiro de 2024

CloudWatchAgentAdminPolicy: atualização para uma política existente

O CloudWatch adicionou permissões à CloudWatchAgentAdminPolicy.

As permissões xray:PutTraceSegments, xray:PutTelemetryRecords, xray:GetSamplingRules, xray:GetSamplingTargets, xray:GetSamplingStatisticSummaries e logs:PutRetentionPolicy foram adicionadas para que o agente do CloudWatch possa publicar rastreamentos do X-Ray e modificar os períodos de retenção do grupo de logs.

 12 de fevereiro de 2024

CloudWatchFullAccessV2: atualização para uma política existente

O CloudWatch adicionou permissões para CloudWatchFullAccessV2.

Permissões existentes para as ações do CloudWatch Synthetics, do X-Ray e do CloudWatch RUM e novas permissões para o CloudWatch Application Signals foram adicionadas com a finalidade de que os usuários com essa política possam gerenciar o CloudWatch Application Signals.

A permissão para a criação de um perfil vinculado ao serviço CloudWatch Application Signals foi adicionada com a finalidade de permitir que o CloudWatch Application Signals descubra dados de telemetria em logs, métricas, rastreamentos e tags.

 5 de dezembro de 2023

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou permissões ao CloudWatchReadOnlyAccess.

Permissões somente leitura existentes para as ações do CloudWatch Synthetics, do X-Ray e do CloudWatch RUM e novas permissões somente leitura para o CloudWatch Application Signals foram adicionadas com a finalidade de que os usuários com essa política possam realizar a triagem e avaliar os problemas de integridade de serviço, conforme relatado pelo CloudWatch Application Signals.

A permissão cloudwatch:GenerateQuery foi adicionada para que os usuários com essa política possam gerar uma string de consulta do CloudWatch Metrics Insights de um prompt em linguagem natural.

5 de dezembro de 2023

CloudWatchReadOnlyAccess: atualização de uma política existente.

O CloudWatch adicionou uma permissão a CloudWatchReadOnlyAccess.

A permissão cloudwatch:GenerateQuery foi adicionada para que os usuários com essa política possam gerar uma string de consulta do CloudWatch Metrics Insights de um prompt em linguagem natural.

1.º de dezembro de 2023

CloudWatchApplicationSignalsServiceRolePolicy: nova política

O CloudWatch adicionou uma nova política CloudWatchApplicationSignalsServiceRolePolicy.

O CloudWatchApplicationSignalsServiceRolePolicy concede a um futuro recurso permissões para coletar dados de registros do CloudWatch, dados de rastreamento do X-Ray, dados de métricas do CloudWatch e dados de marcação.

 9 de novembro de 2023

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy: nova política

O CloudWatch adicionou uma nova política AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy.

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy concede permissão ao CloudWatch para buscar métricas do Insights de Performance de bancos de dados em seu nome.

 20 de setembro de 2023

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou uma permissão a CloudWatchReadOnlyAccess.

A permissão application-autoscaling:DescribeScalingPolicies foi adicionada de forma que os usuários com essa política possam acessar informações sobre as políticas do Application Auto Scaling.

 14 de setembro de 2023

CloudWatchFullAccessV2: nova política

O CloudWatch adicionou uma nova política: CloudWatchFullAccessV2.

CloudWatchFullAccessV2 concede acesso total às ações e recursos do CloudWatch, ao mesmo tempo em que define melhor o escopo das permissões concedidas a outros serviços, como o Amazon SNS e o Amazon EC2 Auto Scaling. Para obter mais informações, consulte CloudWatchFullAccessV2.

 1º de agosto de 2023

AWSServiceRoleForInternetMonitor: atualização de uma política existente

O Monitor de Internet do Amazon CloudWatch adicionou novas permissões para monitorar recursos do Network Load Balancer.

As permissões elasticloadbalancing:DescribeLoadBalancers e ec2:DescribeNetworkInterfaces são necessárias para que o Monitor de Internet possa monitorar o tráfego do Network Load Balancer dos clientes analisando os logs de fluxo dos recursos do NLB.

Para ter mais informações, consulte Uso do Monitor de Internet do Amazon CloudWatch.

 15 de julho de 2023

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou permissões ao CloudWatchReadOnlyAccess.

As permissões logs:StartLiveTail e logs:StopLiveTail foram adicionadas para que os usuários com essa política possam usar o console para iniciar e interromper as sessões de teste ao vivo do CloudWatch Logs. Para obter mais informações, consulte Usar o Live Tail para visualizar registros quase em tempo real.

 6 de junho de 2023

CloudWatchCrossAccountSharingConfiguration – Nova política

O CloudWatch adicionou uma nova política para possibilitar o gerenciamento dos links de observabilidade entre contas do CloudWatch que compartilham métricas do CloudWatch.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

OAMFullAccess – Nova política

O CloudWatch adicionou uma nova política para possibilitar o gerenciamento completo dos links e coletores de observabilidade entre contas do CloudWatch.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

OAMReadOnlyAccess – Nova política

O CloudWatch adicionou uma nova política para possibilitar que você visualize informações sobre links e coletores de observabilidade entre contas do CloudWatch.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

CloudWatchFullAccess – Atualização de política existente

O CloudWatch adicionou permissões a CloudWatchFullAccess.

As permissões oam:ListSinks e oam:ListAttachedLinks foram adicionadas para que os usuários com essa política possam usar o console para visualizar dados compartilhados das contas de origem na observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou permissões ao CloudWatchReadOnlyAccess.

As permissões oam:ListSinks e oam:ListAttachedLinks foram adicionadas para que os usuários com essa política possam usar o console para visualizar dados compartilhados das contas de origem na observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

AmazonCloudWatchRUMServiceRolePolicy - Atualização de uma política existente

O CloudWatch RUM atualizou uma chave de condição em AmazonCloudWatchRUMServiceRolePolicy.

A chave de condição "Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/RUM" } } foi alterada para a seguinte, de forma que o CloudWatch RUM possa enviar métricas personalizadas para namespaces de métricas personalizadas.

"Condition": {
    "StringLike": {
		"cloudwatch:namespace": [
			"RUM/CustomMetrics/*",
			"AWS/RUM"
		]
	}
}
2 de fevereiro de 2023

AmazonCloudWatchRUMReadOnlyAccess - Política atualizada

O CloudWatch adicionou permissões à política AmazonCloudWatchRUMReadOnlyAccess.

As permissões rum:ListRumMetricsDestinations e rum:BatchGetRumMetricsDefinitions foram adicionadas para que o CloudWatch RUM possa enviar métricas estendidas ao CloudWatch e ao Evidently.

 27 de outubro de 2022

AmazonCloudWatchRUMServiceRolePolicy - Atualização de uma política existente

O CloudWatch RUM adicionou permissões à AmazonCloudWatchRUMServiceRolePolicy.

A permissão cloudwatch:PutMetricData foi adicionada para que o CloudWatch RUM possa enviar métricas estendidas para o CloudWatch.

 26 de outubro de 2022

CloudWatchEvidentlyReadOnlyAccess: atualizar para uma política existente

O CloudWatch Evidently adicionou permissões para CloudWatchEvidentlyReadOnlyAccess.

Foram adicionadas as permissões evidently:GetSegment, evidently:ListSegments e evidently:ListSegmentReferences para que os usuários com esta política possam ver os segmentos de público do Evidently que foram criados.

 12 de agosto de 2022

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch Synthetics adicionou permissões para CloudWatchSyntheticsFullAccess.

As permissões lambda:DeleteFunction e lambda:DeleteLayerVersion foram adicionadas para que o CloudWatch Synthetics possa excluir recursos relacionados quando um canário for excluído. iam:ListAttachedRolePolicies foi adicionada para que os clientes possam visualizar as políticas que estão anexadas à função do IAM de um canário.

 6 de maio de 2022

AmazonCloudWatchRUMFullAccess: nova política

O CloudWatch adicionou uma nova política para permitir o gerenciamento completo do CloudWatch RUM.

O CloudWatch RUM permite que você execute o monitoramento real do usuário de sua aplicação Web. Para ter mais informações, consulte CloudWatch RUM.

 29 de novembro de 2021

AmazonCloudWatchRUMReadOnlyAccess: nova política

O CloudWatch adicionou uma nova política para permitir o acesso somente leitura ao CloudWatch RUM.

O CloudWatch RUM permite que você execute o monitoramento real do usuário de sua aplicação Web. Para ter mais informações, consulte CloudWatch RUM.

 29 de novembro de 2021

CloudWatchEvidentlyFullAccess: nova política

O CloudWatch adicionou uma nova política para permitir o gerenciamento completo do CloudWatch Evidently.

O CloudWatch Evidently permite que você execute experimentos A/B de suas aplicações Web e os implemente gradualmente. Para ter mais informações, consulte Execução de lançamentos e experimentos A/B com o CloudWatch Evidently.

 29 de novembro de 2021

CloudWatchEvidentlyReadOnlyAccess: nova política

O CloudWatch adicionou uma nova política para permitir o acesso somente leitura ao CloudWatch Evidently.

O CloudWatch Evidently permite que você execute experimentos A/B de suas aplicações Web e os implemente gradualmente. Para ter mais informações, consulte Execução de lançamentos e experimentos A/B com o CloudWatch Evidently.

 29 de novembro de 2021

AWSServiceRoleForCloudWatchRUM: nova política gerenciada

O CloudWatch adicionou uma política voltada para uma nova função vinculada a serviços para permitir que o CloudWatch RUM substitua dados de monitoramento para outros serviços relevantes da AWS.

 29 de novembro de 2021

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch Synthetics adicionou permissões ao CloudWatchSyntheticsFullAccess, e também alterou o escopo de uma permissão.

A permissão kms:ListAliases foi adicionada para que os usuários possam listar chaves KMS AWS KMS que podem ser usadas para criptografar artefatos do canário. A permissão kms:DescribeKey foi adicionada para que os usuários possam ver os detalhes das chaves que serão usadas para criptografar artefatos do canário. E a permissão kms:Decrypt foi adicionada para permitir que os usuários descriptografassem artefatos do canário. Essa capacidade de descriptografia é limitada ao uso em recursos dentro de buckets do Amazon S3.

O escopo do Resource da permissão s3:GetBucketLocation foi alterado de * para arn:aws:s3:::*.

 29 de setembro de 2021

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch Synthetics adicionou uma permissão para CloudWatchSyntheticsFullAccess.

A permissão lambda:UpdateFunctionCode foi adicionada para que os usuários com esta política possam alterar a versão de runtime dos canaries.

 20 de julho de 2021

AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy: nova política gerenciada

O CloudWatch adicionou uma nova política do IAM gerenciada para permitir que o CloudWatch crie incidentes no AWS Systems Manager Incident Manager.

 10 de maio de 2021

CloudWatchAutomaticDashboardsAccess: atualização para uma política existente

O CloudWatch adicionou uma permissão à política gerenciada CloudWatchAutomaticDashboardsAccess. A permissão synthetics:DescribeCanariesLastRun foi adicionada a esta política para permitir que os usuários de painel entre contas visualizem detalhes sobre execuções do canário do CloudWatch Synthetics.

 20 de abril de 2021

O CloudWatch começou a monitorar alterações

O CloudWatch começou a rastrear alterações para as políticas gerenciadas pela AWS.

 14 de abril de 2021