Gerenciamento de Identidade e Acesso para o Amazon CloudWatch - Amazon CloudWatch
PúblicoAutenticando com identidadesGerenciamento do acesso usando políticasPolíticas gerenciadas (predefinidas) pela AWS para o CloudWatchExemplos de política gerenciada pelo clienteAtualizações da política

Gerenciamento de Identidade e Acesso para o Amazon CloudWatch

O AWS Identity and Access Management (IAM) é um AWS service (Serviço da AWS) que ajuda a controlar o acesso aos recursos da AWS de forma segura. Os administradores do IAM controlam quem pode ser autenticado (fazer login) e autorizado (ter permissões) para usar os recursos do CloudWatch. O IAM é um AWS service (Serviço da AWS) que pode ser usado sem custo adicional.

Tópicos

Público

O seu uso do AWS Identity and Access Management (IAM) varia, dependendo do trabalho realizado no CloudWatch.

Usuário do serviço: se você usar o serviço CloudWatch para fazer o trabalho, o administrador fornecerá as credenciais e as permissões necessárias. À medida que usar mais recursos do CloudWatch para fazer seu trabalho, será possível precisar de permissões adicionais. Entender como o acesso é gerenciado pode ajudá-lo a solicitar as permissões corretas ao seu administrador. Se não for possível acessar um recurso no CloudWatch, consulte Solução de problemas de identidade e acesso da Amazon CloudWatch.

Administrador do serviço: se você for o responsável pelos recursos do CloudWatch na empresa, provavelmente terá acesso total ao CloudWatch. É seu trabalho determinar quais funcionalidades e recursos do CloudWatch seus usuários de serviço devem acessar. Assim, você deve enviar solicitações ao administrador do IAM para alterar as permissões dos usuários de seu serviço. Revise as informações nesta página para entender os Introdução ao IAM. Para saber mais sobre como a empresa pode usar o IAM com o CloudWatch, consulte Como o Amazon CloudWatch funciona com o IAM.

Administrador do IAM: se você for um administrador do IAM, talvez queira saber detalhes sobre a criação de políticas para gerenciar o acesso ao CloudWatch. Para visualizar exemplos de políticas baseadas em identidade do CloudWatch que podem ser usadas no IAM, consulte Exemplos de políticas baseadas em identidade do Amazon CloudWatch.

Autenticando com identidades

A autenticação é a forma como você faz login na AWS usando suas credenciais de identidade. É necessário ser autenticado (fazer login na AWS) como o usuário raiz da Usuário raiz da conta da AWS, como um usuário do IAM ou assumindo um perfil do IAM.

Você pode fazer login na AWS como uma identidade federada usando credenciais fornecidas por uma fonte de identidades. AWS IAM Identity Center Os usuários do IAM Identity Center, a autenticação única da empresa e as suas credenciais do Google ou do Facebook são exemplos de identidades federadas. Quando você faz login como uma identidade federada, o administrador já configurou anteriormente a federação de identidades usando perfis do IAM. Quando você acessa a AWS usando a federação, está indiretamente assumindo um perfil.

É possível fazer login no AWS Management Console ou no portal de acesso da AWS dependendo do tipo de usuário que você é. Para obter mais informações sobre como fazer login na AWS, consulte How to sign in to your Conta da AWS (Como fazer login na conta da) no Guia do usuário do Início de Sessão da AWS.

Se você acessar a AWS programaticamente, a AWS fornecerá um kit de desenvolvimento de software (SDK) e uma interface da linha de comando (CLI) para você assinar criptograficamente as solicitações usando as suas credenciais. Se você não utilizar as ferramentas da AWS, deverá assinar as solicitações por conta própria. Para obter mais informações sobre como usar o método recomendado para assinar solicitações por conta própria, consulte Assinar solicitações de API da AWS no Guia do usuário do IAM.

Independentemente do método de autenticação usado, também pode ser exigido que você forneça mais informações de segurança. Por exemplo, a AWS recomenda o uso da autenticação multifator (MFA) para aumentar a segurança de sua conta. Para saber mais, consulte Autenticação multifator no Guia AWS IAM Identity Center do usuário. Usar a autenticação multifator (MFA) na AWS no Guia do usuário do IAM.

Usuário raiz da Conta da AWS

Ao criar uma Conta da AWS, você começa com uma identidade de login que tem acesso completo a todos os recursos e Serviços da AWS na conta. Essa identidade é denominada usuário raiz da Conta da AWS e é acessada por login com o endereço de e-mail e a senha que você usou para criar a conta. É altamente recomendável não usar o usuário raiz para tarefas diárias. Proteja as credenciais do usuário raiz e use-as para executar as tarefas que somente ele pode executar. Para obter a lista completa das tarefas que exigem login como usuário raiz, consulte Tarefas que exigem credenciais de usuário raiz no Guia do usuário do IAM.

Identidade federada

Como prática recomendada, exija que os usuários, inclusive os que precisam de acesso de administrador, usem a federação com um provedor de identidades para acessar Serviços da AWS usando credenciais temporárias.

Identidade federada é um usuário de seu diretório de usuários corporativos, um provedor de identidades da web, o AWS Directory Service, o diretório do Centro de Identidade ou qualquer usuário que acesse os Serviços da AWS usando credenciais fornecidas por meio de uma fonte de identidade. Quando as identidades federadas acessam Contas da AWS, elas assumem os perfis que fornecem credenciais temporárias.

Para o gerenciamento de acesso centralizado, recomendamos usar o AWS IAM Identity Center. Você pode criar usuários e grupos no Centro de Identidade do IAM ou se conectar e sincronizar com um conjunto de usuários e grupos em sua própria fonte de identidade para uso em todas as suas Contas da AWS e aplicações. Para obter mais informações sobre o Centro de Identidade do IAM, consulte “O que é o Centro de Identidade do IAM?” no Guia do usuário do AWS IAM Identity Center.

Grupos e usuários do IAM

Um usuário do IAM é uma identidade dentro da Conta da AWS que tem permissões específicas para uma única pessoa ou aplicação. Sempre que possível, recomendamos depender de credenciais temporárias em vez de criar usuários do IAM com credenciais de longo prazo, como senhas e chaves de acesso. No entanto, se você tiver casos de uso específicos que exijam credenciais de longo prazo com usuários do IAM, recomendamos alternar as chaves de acesso. Para obter mais informações, consulte Alterne as chaves de acesso regularmente para casos de uso que exijam credenciais de longo prazo no Guia do usuário do IAM.

Um grupo do IAM é uma identidade que especifica uma coleção de usuários do IAM. Não é possível fazer login como um grupo. É possível usar grupos para especificar permissões para vários usuários de uma vez. Os grupos facilitam o gerenciamento de permissões para grandes conjuntos de usuários. Por exemplo, você pode ter um grupo chamado IAMAdmins e atribuir a esse grupo permissões para administrar recursos do IAM.

Usuários são diferentes de perfis. Um usuário é exclusivamente associado a uma pessoa ou a uma aplicação, mas um perfil pode ser assumido por qualquer pessoa que precisar dele. Os usuários têm credenciais permanentes de longo prazo, mas os perfis fornecem credenciais temporárias. Para saber mais, consulte Quando criar um usuário do IAM (em vez de uma função) no Guia do usuário do IAM.

Perfis do IAM

Um perfil do IAM é uma identidade dentro da Conta da AWS que tem permissões específicas. Ela é semelhante a um usuário do IAM, mas não está associada a uma pessoa específica. É possível assumir temporariamente um perfil do IAM no AWS Management Console alternando perfis. É possível assumir um perfil chamando uma operação de API da AWS CLI ou da AWS, ou usando um URL personalizado. Para obter mais informações sobre métodos para o uso de perfis, consulte Usar perfis do IAM no Guia do usuário do IAM.

Perfis do IAM com credenciais temporárias são úteis nas seguintes situações:

  • Acesso de usuário federado: para atribuir permissões a identidades federadas, você pode criar um perfil e definir permissões para ele. Quando uma identidade federada é autenticada, essa identidade é associada ao perfil e recebe as permissões definidas pelo mesmo. Para obter mais informações sobre perfis para federação, consulte Criar um perfil para um provedor de identidades de terceiros no Guia do usuário do IAM. Se você usar o IAM Identity Center, configure um conjunto de permissões. Para controlar o que suas identidades podem acessar após a autenticação, o IAM Identity Center correlaciona o conjunto de permissões a um perfil no IAM. Para obter informações sobre conjuntos de permissões, consulte Conjuntos de permissões no Guia do usuário do AWS IAM Identity Center.

  • Permissões temporárias para usuários do IAM: um usuário ou um perfil do IAM pode assumir um perfil do IAM para obter temporariamente permissões diferentes para uma tarefa específica.

  • Acesso entre contas: é possível usar um perfil do IAM para permitir que alguém (uma entidade principal confiável) em outra conta acesse recursos em sua conta. Os perfis são a principal forma de conceder acesso entre contas. No entanto, alguns Serviços da AWS permitem que você anexe uma política diretamente a um recurso (em vez de usar um perfil como proxy). Para saber a diferença entre perfis e políticas baseadas em recurso para acesso entre contas, consulte Como os perfis do IAM diferem das políticas baseadas em recurso no Guia do usuário do IAM.

  • Acesso entre serviços: alguns Serviços da AWS usam atributos em outros Serviços da AWS. Por exemplo, quando você faz uma chamada em um serviço, é comum que esse serviço execute aplicações no Amazon EC2 ou armazene objetos no Amazon S3. Um serviço pode fazer isso usando as permissões da entidade principal de chamada, usando um perfil de serviço ou um perfil vinculado ao serviço.

    • Encaminhamento de sessões de acesso (FAS): qualquer pessoa que utilizar uma função ou usuário do IAM para realizar ações na AWS é considerada uma entidade principal. Ao usar alguns serviços, você pode executar uma ação que inicia outra ação em um serviço diferente. O recurso FAS utiliza as permissões da entidade principal que chama um AWS service (Serviço da AWS), combinadas às permissões do AWS service (Serviço da AWS) solicitante, para realizar solicitações para serviços downstream. As solicitações de FAS só são feitas quando um serviço recebe uma solicitação que exige interações com outros Serviços da AWS ou com recursos para serem concluídas. Nesse caso, você precisa ter permissões para executar ambas as ações. Para obter detalhes da política ao fazer solicitações de FAS, consulte Encaminhar sessões de acesso.

    • Perfil de serviço: um perfil de serviço é um perfil do IAM que um serviço assume para realizar ações em seu nome. Um administrador do IAM pode criar, modificar e excluir um perfil de serviço do IAM. Para obter mais informações, consulte Criar um perfil para delegar permissões a um AWS service (Serviço da AWS) no Guia do usuário do IAM.

    • Perfil vinculada a serviço: um perfil vinculado a serviço é um tipo de perfil de serviço vinculado a um AWS service (Serviço da AWS). O serviço pode assumir o perfil para executar uma ação em seu nome. Os perfis vinculados ao serviço aparecem em sua Conta da AWS e são de propriedade do serviço. Um administrador do IAM pode visualizar, mas não pode editar as permissões para perfis vinculadas ao serviço.

  • Aplicações em execução no Amazon EC2: é possível usar um perfil do IAM para gerenciar credenciais temporárias para aplicações em execução em uma instância do EC2 e fazer solicitações da AWS CLI ou da AWS API. É preferível fazer isso a armazenar chaves de acesso na instância do EC2. Para atribuir um perfil da AWS a uma instância do EC2 e disponibilizá-lo para todas as aplicações, crie um perfil de instância que esteja anexado a ela. Um perfil de instância contém o perfil e permite que os programas em execução na instância do EC2 obtenham credenciais temporárias. Para mais informações, consulte Usar um perfil do IAM para conceder permissões a aplicações em execução nas instâncias do Amazon EC2 no Guia do usuário do IAM.

Para saber se deseja usar os perfis do IAM, consulte Quando criar um perfil do IAM (em vez de um usuário) no Guia do usuário do IAM.

Gerenciamento do acesso usando políticas

Você controla o acesso na AWS criando políticas e anexando-as a identidades ou recursos da AWS. Uma política é um objeto na AWS que, quando associado a uma identidade ou recurso, define as respectivas permissões. A AWS avalia essas políticas quando uma entidade principal (usuário, usuário raiz ou sessão de perfil) faz uma solicitação. As permissões nas políticas determinam se a solicitação será permitida ou negada. A maioria das políticas são armazenadas na AWS como documentos JSON. Para obter mais informações sobre a estrutura e o conteúdo de documentos de políticas JSON, consulte Visão geral das políticas JSON no Guia do usuário do IAM.

Os administradores podem usar AWS as políticas JSON da para especificar quem tem acesso a quê. Ou seja, qual entidade principal pode executar ações em quais recursos e em que condições.

Por padrão, usuários e funções não têm permissões. Para conceder aos usuários permissão para executar ações nos recursos de que eles precisam, um administrador do IAM pode criar políticas do IAM. O administrador pode então adicionar as políticas do IAM a perfis, e os usuários podem assumir os perfis.

As políticas do IAM definem permissões para uma ação, independentemente do método usado para executar a operação. Por exemplo, suponha que você tenha uma política que permite a ação iam:GetRole. Um usuário com essa política pode obter informações de perfis do AWS Management Console, da AWS CLI ou da API da AWS.

Políticas baseadas em identidade

As políticas baseadas em identidade são documentos de políticas de permissões JSON que você pode anexar a uma identidade, como um usuário do IAM, grupo de usuários ou função do IAM. Essas políticas controlam quais ações os usuários e perfis podem realizar, em quais recursos e em que condições. Para saber como criar uma política baseada em identidade, consulte Criação de política do IAM no Guia do usuário do IAM.

As políticas baseadas em identidade podem ser categorizadas ainda mais como políticas em linha ou políticas gerenciadas. As políticas em linha são anexadas diretamente a um único usuário, grupo ou perfil. As políticas gerenciadas são políticas independentes que podem ser anexadas a vários usuários, grupos e perfis na Conta da AWS. As políticas gerenciadas incluem políticas gerenciadas pela AWS e políticas gerenciadas pelo cliente. Para saber como escolher entre uma política gerenciada ou uma política em linha, consulte Escolher entre políticas gerenciadas e políticas em linha no Guia do usuário do IAM.

Políticas baseadas em recurso

Políticas baseadas em recurso são documentos de políticas JSON que você anexa a um recurso. São exemplos de políticas baseadas em recursos as políticas de confiança de perfil do IAM e as políticas de bucket do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. Para o recurso ao qual a política está anexada, a política define quais ações uma entidade principal especificada pode executar nesse recurso e em que condições. Você deve especificar uma entidade principal em uma política baseada em recursos. As entidades principais podem incluir contas, usuários, perfis, usuários federados ou Serviços da AWS.

Políticas baseadas em recursos são políticas em linha que estão localizadas nesse serviço. Não é possível usar as políticas gerenciadas da AWS do IAM em uma política baseada em recursos.

Listas de controle de acesso (ACLs)

As listas de controle de acesso (ACLs) controlam quais entidades principais (membros, usuários ou perfis da conta) têm permissões para acessar um recurso. As ACLs são semelhantes às políticas baseadas em recursos, embora não usem o formato de documento de política JSON.

Amazon S3, AWS WAF e Amazon VPC são exemplos de serviços que oferecem suporte a ACLs. Para saber mais sobre ACLs, consulte Visão geral da lista de controle de acesso (ACL) no Guia do desenvolvedor do Amazon Simple Storage Service.

Outros tipos de política

A AWS aceita tipos de política menos comuns. Esses tipos de política podem definir o máximo de permissões concedidas a você pelos tipos de política mais comuns.

  • Limites de permissões: um limite de permissões é um atributo avançado no qual você define o máximo de permissões que uma política baseada em identidade pode conceder a uma entidade do IAM (usuário ou perfil do IAM). É possível definir um limite de permissões para uma entidade. As permissões resultantes são a interseção das políticas baseadas em identidade de uma entidade e dos seus limites de permissões. As políticas baseadas em recurso que especificam o usuário ou a função no campo Principal não são limitadas pelo limite de permissões. Uma negação explícita em qualquer uma dessas políticas substitui a permissão. Para obter mais informações sobre limites de permissões, consulte Limites de permissões para identidades do IAM no Guia do usuário do IAM.

  • Políticas de controle de serviço (SCPs): SCPs são políticas JSON que especificam as permissões máximas para uma organização ou unidade organizacional (UO) no AWS Organizations. O AWS Organizations é um serviço para agrupar e gerenciar centralmente várias Contas da AWS pertencentes à sua empresa. Se você habilitar todos os atributos em uma organização, poderá aplicar políticas de controle de serviço (SCPs) a qualquer uma ou a todas as contas. O SCP limita as permissões para entidades em contas-membro, incluindo cada Usuário raiz da conta da AWS. Para obter mais informações sobre o Organizations e SCPs, consulte Como os SCPs funcionam no Guia do usuário do AWS Organizations.

  • Políticas de sessão: são políticas avançadas que você transmite como um parâmetro quando cria de forma programática uma sessão temporária para um perfil ou um usuário federado. As permissões da sessão resultante são a interseção das políticas baseadas em identidade do usuário ou do perfil e das políticas de sessão. As permissões também podem ser provenientes de uma política baseada em recurso. Uma negação explícita em qualquer uma dessas políticas substitui a permissão. Para obter mais informações, consulte Políticas de sessão no Guia do usuário do IAM.

Vários tipos de política

Quando vários tipos de política são aplicáveis a uma solicitação, é mais complicado compreender as permissões resultantes. Para saber como a AWS determina se deve permitir uma solicitação quando há vários tipos de política envolvidos, consulte Lógica da avaliaçãode políticas no Guia do usuário do IAM.

Políticas gerenciadas (predefinidas) pela AWS para o CloudWatch

A AWS aborda muitos casos de uso comuns fornecendo políticas autônomas do IAM que são criadas e administradas pela AWS. Essas políticas gerenciadas pela AWS concedem as permissões indispensáveis para casos de uso comuns para que você não precise investigar quais permissões são necessárias. Para obter mais informações, consulte AWSPolíticas gerenciadas pela no Guia do usuário do IAM.

As seguintes políticas gerenciadas pelaAWS , que é possível associar a usuários na sua conta, são específicas do CloudWatch.

CloudWatchFullAccessV2

A AWS adicionou recentemente a política do IAM gerenciada CloudWatchFullAccessV2. Essa política concede acesso total às ações e recursos do CloudWatch, ao mesmo tempo em que define melhor o escopo das permissões concedidas para outros serviços, como o Amazon SNS e o Amazon EC2 Auto Scaling. Recomendamos que você comece a usar essa política em vez de usar CloudWatchFullAccess. A AWS planeja descontinuar o uso de CloudWatchFullAccess em um futuro próximo.

Isso inclui algumas permissões autoscaling:Describe para que os usuários com essa política possam ver as ações do Auto Scaling associadas aos alarmes do CloudWatch. Isso inclui algumas permissões sns para que os usuários com essa política possam recuperar tópicos criados do Amazon SNS e associá-los a alarmes do CloudWatch. Inclui permissões do IAM para que os usuários com essa política possam visualizar informações sobre perfis vinculados a serviço associados ao CloudWatch. Inclui as permissões oam:ListSinks e oam:ListAttachedLinks para que os usuários com essa política possam usar o console para visualizar dados compartilhados das contas de origem na observabilidade entre contas do CloudWatch.

Inclui as permissões rum, synthetics e xray para que os usuários possam ter acesso total ao CloudWatch Synthetics, ao AWS X-Ray e ao CloudWatch RUM usando o serviço CloudWatch.

O conteúdo da política CloudWatchFullAccessV2 é o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchFullAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribePolicies",
                "cloudwatch:*",
                "logs:*",
                "sns:CreateTopic",
                "sns:ListSubscriptions",
                "sns:ListSubscriptionsByTopic",
                "sns:ListTopics",
                "sns:Subscribe",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks",
                "rum:*",
                "synthetics:*",
                "xray:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CloudWatchApplicationSignalsServiceLinkedRolePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/application-signals.cloudwatch.amazonaws.com/AWSServiceRoleForCloudWatchApplicationSignals",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "application-signals.cloudwatch.amazonaws.com"
                }
            }
        },
        {
            "Sid": "EventsServicePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
         {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchFullAccess

A política CloudWatchFullAccess está prestes a ser descontinuada. Recomendamos que você pare de usá-la e use CloudWatchFullAccessV2 em seu lugar.

O conteúdo da política CloudWatchFullAccess é o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "autoscaling:Describe*",
                "cloudwatch:*",
                "logs:*",
                "sns:*",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "oam:ListSinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/events.amazonaws.com/AWSServiceRoleForCloudWatchEvents*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "events.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
    ]
}

CloudWatchReadOnlyAccess

A política CloudWatchReadOnlyAccess concede acesso somente leitura ao CloudWatch.

A política inclui algumas permissões logs:, portanto, os usuários com essa política podem usar o console para visualizar as informações do CloudWatch Logs e as consultas do CloudWatch Logs Insights. Ela inclui autoscaling:Describe* para que os usuários com essa política possam visualizar as ações do Auto Scaling associadas aos alarmes do CloudWatch. Ela inclui application-autoscaling:DescribeScalingPolicies para que os usuários com essa política possam acessar informações sobre as políticas do Application Auto Scaling. Ela inclui sns:Get* e sns:List* para que os usuários com essa política possam recuperar informações sobre os tópicos do Amazon SNS que recebem notificações sobre alarmes do CloudWatch. Ela inclui as permissões oam:ListSinks e oam:ListAttachedLinks para que os usuários com essa política possam usar o console para visualizar os dados compartilhados de contas de origem na observabilidade entre contas do CloudWatch.

Ela inclui permissões rum, synthetics e xray para que os usuários possam ter acesso somente leitura ao CloudWatch Synthetics, ao AWS X-Ray e ao CloudWatch RUM usando o serviço CloudWatch.

A seguir, temos o conteúdo da política CloudWatchReadOnlyAccess.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudWatchReadOnlyAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DescribeScalingPolicies",
                "autoscaling:Describe*",
                "cloudwatch:BatchGet*",
                "cloudwatch:Describe*",
                "cloudwatch:GenerateQuery",
                "cloudwatch:Get*",
                "cloudwatch:List*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:Describe*",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "logs:StartLiveTail",
                "logs:StopLiveTail",
                "oam:ListSinks",
                "sns:Get*",
                "sns:List*",
                "rum:BatchGet*",
                "rum:Get*",
                "rum:List*",
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "xray:BatchGet*",
                "xray:Get*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "oam:ListAttachedLinks"
            ],
            "Resource": "arn:aws:oam:*:*:sink/*"
        }
     ]
}

CloudWatchActionsEC2Access

A política CloudWatchActionsEC2Access concede acesso somente leitura aos alarmes e às métricas do CloudWatch, bem como aos metadados do Amazon EC2. Também concede acesso às ações da API de interromper, terminar e reinicializar para instâncias do EC2.

A seguir, temos o conteúdo da política CloudWatchActionsEC2Access

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:Describe*",
        "ec2:Describe*",
        "ec2:RebootInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*"
    }
  ]
}

CloudWatchAutomaticDashboardsAccess

A política gerenciada CloudWatch-CrossAccountAccess é usada pela função do IAM CloudWatch-CrossAccountSharingRole. Essa função e política permitem que os usuários de painéis entre contas visualizem painéis automáticos em cada conta que está compartilhando painéis.

Este é o conteúdo da política CloudWatchAutomaticDashboardsAccess:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:DescribeAutoScalingGroups",
        "cloudfront:GetDistribution",
        "cloudfront:ListDistributions",
        "dynamodb:DescribeTable",
        "dynamodb:ListTables",
        "ec2:DescribeInstances",
        "ec2:DescribeVolumes",
        "ecs:DescribeClusters",
        "ecs:DescribeContainerInstances",
        "ecs:ListClusters",
        "ecs:ListContainerInstances",
        "ecs:ListServices",
        "elasticache:DescribeCacheClusters",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticfilesystem:DescribeFileSystems",
        "elasticloadbalancing:DescribeLoadBalancers",
        "kinesis:DescribeStream",
        "kinesis:ListStreams",
        "lambda:GetFunction",
        "lambda:ListFunctions",
        "rds:DescribeDBClusters",
        "rds:DescribeDBInstances",
        "resource-groups:ListGroupResources",
        "resource-groups:ListGroups",
        "route53:GetHealthCheck",
        "route53:ListHealthChecks",
        "s3:ListAllMyBuckets",
        "s3:ListBucket",
        "sns:ListTopics",
        "sqs:GetQueueAttributes",
        "sqs:GetQueueUrl",
        "sqs:ListQueues",
        "synthetics:DescribeCanariesLastRun",
        "tag:GetResources"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "apigateway:GET"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:apigateway:*::/restapis*"
      ]
    }
  ]

Política: CloudWatchAgentServerPolicy

A política CloudWatchAgentServerPolicy pode ser usada em funções do IAM anexadas às instâncias do Amazon EC2 para permitir que o atendente do CloudWatch leia informações da instância e as grave no CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchServerPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeVolumes",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMServerPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}

CloudWatchAgentAdminPolicy

A política CloudWatchAgentAdminPolicy pode ser usada em funções do IAM anexadas às instâncias do Amazon EC2. Essa política permite que o atendente do CloudWatch leia informações da instância, grave-as no CloudWatch e grave informações no Parameter Store. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CWACloudWatchPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ec2:DescribeTags",
                "logs:PutLogEvents",
                "logs:PutRetentionPolicy",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingRules",
                "xray:GetSamplingTargets",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CWASSMPermissions",
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-*"
        }
    ]
}
nota

É possível analisar essas políticas de permissões fazendo login no console do IAM e pesquisando políticas específicas.

Você também pode criar as próprias políticas do IAM personalizadas a fim de conceder permissões para ações e recursos do CloudWatch. Você pode anexar essas políticas personalizadas a usuários ou grupos do IAM que exijam essas permissões.

Políticas gerenciadas da (predefinidas) da AWS para a observabilidade entre contas do CloudWatch

As políticas dessa seção concedem permissões relacionadas à observabilidade entre contas do CloudWatch. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

CloudWatchCrossAccountSharingConfiguration

A política CloudWatchCrossAccountSharingConfiguration dá acesso para criar, gerenciar e exibir links do Observability Access Manager para compartilhar recursos do CloudWatch entre contas. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Link",
                "oam:ListLinks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:DeleteLink",
                "oam:GetLink",
                "oam:TagResource"
            ],
            "Resource": "arn:aws:oam:*:*:link/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oam:CreateLink",
                "oam:UpdateLink"
            ],
            "Resource": [
                "arn:aws:oam:*:*:link/*",
                "arn:aws:oam:*:*:sink/*"
            ]
        }
    ]
}

OAMFullAccess

A política OAMFullAccess dá acesso para criar, gerenciar e visualizar coletores e links do Observability Access Manager, que são utilizadas para a observabilidade entre contas do CloudWatch.

A política OAMFullAccess por si só não permite compartilhar dados de observabilidade entre links. Para criar um link para compartilhar métricas do CloudWatch, você também precisa da política CloudWatchFullAccess ou CloudWatchCrossAccountSharingConfiguration. Para criar um link para compartilhar grupos de logs do CloudWatch Logs, você também precisa da política CloudWatchLogsFullAccess ou CloudWatchLogsCrossAccountSharingConfiguration. Para criar um link para compartilhar rastreamentos do X-Ray, você também precisa da política AWSXRayFullAccess ou AWSXRayCrossAccountSharingConfiguration.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:*"
            ],
            "Resource": "*"
        }
    ]
}

OAMReadOnlyAccess

A política OAMReadOnlyAccess dá acesso somente leitura aos recursos do Observability Access Manager, que são utilizados para a observabilidade entre contas do CloudWatch. Para ter mais informações, consulte Observabilidade entre contas do CloudWatch. Contém o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oam:Get*",
                "oam:List*"
            ],
            "Resource": "*"
        }
    ]
}

Políticas gerenciadas (predefinidas) pela AWS para o CloudWatch Synthetics

As políticas CloudWatchSyntheticsFullAccess e CloudWatchSyntheticsReadOnlyAccess gerenciadas pela AWS estão disponíveis para você atribuir aos usuários que vão gerenciar ou usar CloudWatch Synthetics. Estas políticas adicionais também são relevantes:

  • AmazonS3ReadOnlyAccess e CloudWatchReadOnlyAccess: são necessárias para poder ler todos os dados do Synthetics no console do CloudWatch.

  • AWSLambdaReadOnlyAccess: para ser capaz de visualizar o código-fonte usado pelos canaries.

  • CloudWatchSyntheticsFullAccess permite que você crie canaries. Além disso, para criar e excluir canaries que tenham uma nova função do IAM criada para eles, você também precisa da seguinte instrução de política em linha:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:CreatePolicy",
                "iam:DeletePolicy",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*",
                "arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*"
            ]
        }
    ]
}
    Importante

    A concessão das permissões iam:CreateRole, iam:DeleteRole, iam:CreatePolicy, iam:DeletePolicy, iam:AttachRolePolicy e iam:DetachRolePolicy a um usuário proporciona acesso administrativo total para esse usuário criar, anexar e excluir funções e políticas que tenham ARNs correspondentes a arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole* e arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*. Por exemplo, um usuário com essas permissões pode criar uma política com permissões completas para todos os recursos e anexar essa política a qualquer função correspondente ao padrão de ARN. Seja muito cuidadoso a quem você concede essas permissões.

    Para obter informações sobre como anexar políticas e conceder permissões a usuários, consulte Alterar permissões para um usuário do IAM e Incorporar uma política em linha para um usuário ou para uma função.

CloudWatchSyntheticsFullAccess

A seguir está o conteúdo da política CloudWatchSyntheticsFullAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::cw-syn-results-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "s3:ListAllMyBuckets",
                "xray:GetTraceSummaries",
                "xray:BatchGetTraces",
                "apigateway:GET"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::cw-syn-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::aws-synthetics-library-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "lambda.amazonaws.com",
                        "synthetics.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:ListAttachedRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm",
                "cloudwatch:DeleteAlarms"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:Synthetics-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:CreateFunction",
                "lambda:AddPermission",
                "lambda:PublishVersion",
                "lambda:UpdateFunctionCode",
                "lambda:UpdateFunctionConfiguration",
                "lambda:GetFunctionConfiguration",
                "lambda:DeleteFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:cwsyn-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:GetLayerVersion",
                "lambda:PublishLayerVersion",
                "lambda:DeleteLayerVersion"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:layer:cwsyn-*",
                "arn:aws:lambda:*:*:layer:Synthetics:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:ListSubscriptionsByTopic"
            ],
            "Resource": [
                "arn:*:sns:*:*:Synthetics-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:*:*:key/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:*:*:key/*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "s3.*.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

CloudWatchSyntheticsReadOnlyAccess

A seguir está o conteúdo da política CloudWatchSyntheticsReadOnlyAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:Describe*",
                "synthetics:Get*",
                "synthetics:List*",
                "lambda:GetFunctionConfiguration"
            ],
            "Resource": "*"
        }
    ]
}

Políticas gerenciadas (predefinidas) da AWS para o Amazon CloudWatch RUM

As políticas gerenciadas da AWSAmazonCloudWatchRUMFullAccess e AmazonCloudWatchRUMReadOnlyAccess estão disponíveis para que você as atribua a usuários que gerenciarão ou usarão o CloudWatch RUM.

AmazonCloudWatchRUMFullAccess

Veja a seguir o conteúdo da política AmazonCloudWatchRUMFullAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rum:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/rum.amazonaws.com/AWSServiceRoleForRealUserMonitoring"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/RUM-Monitor*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "cognito-identity.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "arn:aws:cloudwatch:*:*:alarm:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cognito-identity:CreateIdentityPool",
                "cognito-identity:ListIdentityPools",
                "cognito-identity:DescribeIdentityPool",
                "cognito-identity:GetIdentityPoolRoles",
                "cognito-identity:SetIdentityPoolRoles"
            ],
            "Resource": "arn:aws:cognito-identity:*:*:identitypool/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:DeleteLogGroup",
                "logs:PutRetentionPolicy",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:*RUMService*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "logs:DescribeResourcePolicies"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:*:*:log-group::log-stream:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:describeCanaries",
                "synthetics:describeCanariesLastRun"
            ],
            "Resource": "arn:aws:synthetics:*:*:canary:*"
        }
    ]
}

AmazonCloudWatchRUMReadOnlyAccess

Veja a seguir o conteúdo da política AmazonCloudWatchRUMReadOnlyAccess.

{

	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"rum:GetAppMonitor",
				"rum:GetAppMonitorData",
				"rum:ListAppMonitors",
				"rum:ListRumMetricsDestinations",
				"rum:BatchGetRumMetricDefinitions"
			],
			"Resource": "*"
		}
	]
}

AmazonCloudWatchRUMServiceRolePolicy

Não é possível anexar o AmazonCloudWatchRUMServiceRolePolicy em suas entidades do IAM. Essa política é anexada a uma função vinculada a serviços que permite que o CloudWatch RUM publique dados de monitoramento para outros serviços relevantes da AWS. Para obter mais informações sobre essa função vinculada ao serviço, consulte Usar funções vinculadas ao serviço para o CloudWatch RUM.

Este é o conteúdo completo da política AmazonCloudWatchRUMServiceRolePolicy.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"xray:PutTraceSegments"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"cloudwatch:namespace": [
						"RUM/CustomMetrics/*",
						"AWS/RUM"
					]
				}
			}
		}
	]
}

Políticas gerenciadas (predefinidas) pela AWS para o CloudWatch Evidently

As políticas CloudWatchSyntheticsFullAccess e CloudWatchSyntheticsReadOnlyAccess gerenciadas pela AWS estão disponíveis para você atribuir aos usuários que vão gerenciar ou usar o CloudWatch Evidently.

CloudWatChevidentlyFullAccess

A seguir está o conteúdo da política CloudWatchEvidentlyFullAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/CloudWatchRUMEvidentlyRole-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:DescribeAlarmHistory",
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarms",
                "cloudwatch:TagResource",
                "cloudwatch:UnTagResource"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudtrail:LookupEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": [
                "arn:aws:cloudwatch:*:*:alarm:Evidently-Alarm-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:ListSubscriptionsByTopic"
            ],
            "Resource": [
                "arn:*:sns:*:*:Evidently-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

CloudWatchEvidentlyReadOnlyAccess

A seguir está o conteúdo da política CloudWatchEvidentlyReadOnlyAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "evidently:GetExperiment",
                "evidently:GetFeature",
                "evidently:GetLaunch",
                "evidently:GetProject",
                "evidently:GetSegment",
                "evidently:ListExperiments",
                "evidently:ListFeatures",
                "evidently:ListLaunches",
                "evidently:ListProjects",
                "evidently:ListSegments",
                "evidently:ListSegmentReferencs"                               
            ],
            "Resource": "*"
        }
    ]
}

Política gerenciada pela AWS para o AWS Systems Manager Incident Manager

A política AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy está anexada a uma função vinculada ao serviço que permite que o CloudWatch inicie incidentes no AWSSystems Manager Incident Manager em seu nome. Para ter mais informações, consulte Permissões de função vinculada ao serviço para ações do Systems Manager Incident Manager de alarmes do CloudWatch.

A política tem a seguinte permissão:

  • ssm-incidents:StartIncident

Exemplos de política gerenciada pelo cliente

Nesta seção, você encontrará exemplos de políticas de usuário que concedem permissões para diversas ações do CloudWatch. Essas políticas funcionam quando você está usando a API do CloudWatch, os SDKs da AWS ou a AWS CLI.

Exemplo 1: Permitir acesso total ao CloudWatch

Para conceder a um usuário acesso total ao CloudWatch, você pode usar a política gerenciada CloudWatchFullAccess em vez de criar uma política gerenciada pelo cliente. O conteúdo de CloudWatchFullAccess está listado em CloudWatchFullAccess.

Exemplo 2: Permitir acesso somente leitura ao CloudWatch

A política a seguir permite a um usuário acesso somente leitura ao CloudWatch e visualização de ações do Amazon EC2 Auto Scaling, métricas do CloudWatch, dados do CloudWatch Logs e dados do Amazon SNS relacionados a alarmes.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "autoscaling:Describe*",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "logs:Get*",
        "logs:Describe*",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:TestMetricFilter",
        "logs:FilterLogEvents",
        "logs:StartLiveTail",
        "logs:StopLiveTail",
        "sns:Get*",
        "sns:List*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Exemplo 3: Interromper ou encerrar uma instância do instância do Amazon EC2

A política a seguir permite que uma ação de alarme do CloudWatch interrompa ou encerre uma instância do EC2. No exemplo abaixo, as ações GetMetricData, ListMetrics e DescribeAlarms são opcionais. Recomendamos que você inclua essas ações para interromper ou encerrar corretamente a instância.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:PutMetricAlarm",
        "cloudwatch:GetMetricData",
        "cloudwatch:ListMetrics",
        "cloudwatch:DescribeAlarms"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    }
  ]
}

Atualização do CloudWatch para políticas gerenciadas pela AWS

Veja detalhes sobre atualizações em políticas gerenciadas pela AWS para o CloudWatch desde que esse serviço começou a monitorar essas alterações. Para obter alertas automáticos sobre alterações feitas nesta página, inscreva-se no feed RSS na página Document history (Histórico de documentos) do CloudWatch.

Alteração Descrição Data

CloudWatchAgentServerPolicy: atualização para uma política existente

O CloudWatch adicionou permissões à CloudWatchAgentServerPolicy.

As permissões xray:PutTraceSegments, xray:PutTelemetryRecords, xray:GetSamplingRules, xray:GetSamplingTargets, xray:GetSamplingStatisticSummaries e logs:PutRetentionPolicy foram adicionadas para que o agente do CloudWatch possa publicar rastreamentos do X-Ray e modificar os períodos de retenção do grupo de logs.

 12 de fevereiro de 2024

CloudWatchAgentAdminPolicy: atualização para uma política existente

O CloudWatch adicionou permissões à CloudWatchAgentAdminPolicy.

As permissões xray:PutTraceSegments, xray:PutTelemetryRecords, xray:GetSamplingRules, xray:GetSamplingTargets, xray:GetSamplingStatisticSummaries e logs:PutRetentionPolicy foram adicionadas para que o agente do CloudWatch possa publicar rastreamentos do X-Ray e modificar os períodos de retenção do grupo de logs.

 12 de fevereiro de 2024

CloudWatchFullAccessV2: atualização para uma política existente

O CloudWatch adicionou permissões para CloudWatchFullAccessV2.

Permissões existentes para as ações do CloudWatch Synthetics, do X-Ray e do CloudWatch RUM e novas permissões para o CloudWatch Application Signals foram adicionadas com a finalidade de que os usuários com essa política possam gerenciar o CloudWatch Application Signals.

A permissão para a criação de um perfil vinculado ao serviço CloudWatch Application Signals foi adicionada com a finalidade de permitir que o CloudWatch Application Signals descubra dados de telemetria em logs, métricas, rastreamentos e tags.

 5 de dezembro de 2023

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou permissões ao CloudWatchReadOnlyAccess.

Permissões somente leitura existentes para as ações do CloudWatch Synthetics, do X-Ray e do CloudWatch RUM e novas permissões somente leitura para o CloudWatch Application Signals foram adicionadas com a finalidade de que os usuários com essa política possam realizar a triagem e avaliar os problemas de integridade de serviço, conforme relatado pelo CloudWatch Application Signals.

A permissão cloudwatch:GenerateQuery foi adicionada para que os usuários com essa política possam gerar uma string de consulta do CloudWatch Metrics Insights de uma solicitação em linguagem natural.

5 de dezembro de 2023

CloudWatchApplicationSignalsServiceRolePolicy: nova política

O CloudWatch adicionou uma nova política CloudWatchApplicationSignalsServiceRolePolicy.

O CloudWatchApplicationSignalsServiceRolePolicy concede a um futuro recurso permissões para coletar dados de registros do CloudWatch, dados de rastreamento do X-Ray, dados de métricas do CloudWatch e dados de marcação.

 9 de novembro de 2023

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy: nova política

O CloudWatch adicionou uma nova política AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy.

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy concede permissão ao CloudWatch para buscar métricas do Insights de Performance de bancos de dados em seu nome.

 20 de setembro de 2023

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou uma permissão a CloudWatchReadOnlyAccess.

A permissão application-autoscaling:DescribeScalingPolicies foi adicionada de forma que os usuários com essa política possam acessar informações sobre as políticas do Application Auto Scaling.

 14 de setembro de 2023

CloudWatchFullAccessV2: nova política

O CloudWatch adicionou uma nova política: CloudWatchFullAccessV2.

CloudWatchFullAccessV2 concede acesso total às ações e recursos do CloudWatch, ao mesmo tempo em que define melhor o escopo das permissões concedidas a outros serviços, como o Amazon SNS e o Amazon EC2 Auto Scaling. Para obter mais informações, consulte CloudWatchFullAccessV2.

 1º de agosto de 2023

AWSServiceRoleForInternetMonitor: atualização de uma política existente

O Monitor de Internet do Amazon CloudWatch adicionou novas permissões para monitorar recursos do Network Load Balancer.

As permissões elasticloadbalancing:DescribeLoadBalancers e ec2:DescribeNetworkInterfaces são necessárias para que o Monitor de Internet possa monitorar o tráfego do Network Load Balancer dos clientes analisando os logs de fluxo dos recursos do NLB.

Para ter mais informações, consulte Uso do Monitor de Internet do Amazon CloudWatch.

 15 de julho de 2023

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou permissões ao CloudWatchReadOnlyAccess.

As permissões logs:StartLiveTail e logs:StopLiveTail foram adicionadas para que os usuários com essa política possam usar o console para iniciar e interromper as sessões de teste ao vivo do CloudWatch Logs. Para obter mais informações, consulte Usar o Live Tail para visualizar registros quase em tempo real.

 6 de junho de 2023

CloudWatchCrossAccountSharingConfiguration – Nova política

O CloudWatch adicionou uma nova política para possibilitar o gerenciamento dos links de observabilidade entre contas do CloudWatch que compartilham métricas do CloudWatch.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

OAMFullAccess – Nova política

O CloudWatch adicionou uma nova política para possibilitar o gerenciamento completo dos links e coletores de observabilidade entre contas do CloudWatch.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

OAMReadOnlyAccess – Nova política

O CloudWatch adicionou uma nova política para possibilitar que você visualize informações sobre links e coletores de observabilidade entre contas do CloudWatch.

Para ter mais informações, consulte Observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

CloudWatchFullAccess – Atualização de política existente

O CloudWatch adicionou permissões a CloudWatchFullAccess.

As permissões oam:ListSinks e oam:ListAttachedLinks foram adicionadas para que os usuários com essa política possam usar o console para visualizar dados compartilhados das contas de origem na observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

CloudWatchReadOnlyAccess – Atualização de política existente

O CloudWatch adicionou permissões ao CloudWatchReadOnlyAccess.

As permissões oam:ListSinks e oam:ListAttachedLinks foram adicionadas para que os usuários com essa política possam usar o console para visualizar dados compartilhados das contas de origem na observabilidade entre contas do CloudWatch.

 27 de novembro de 2022

AmazonCloudWatchRUMServiceRolePolicy - Atualização de uma política existente

O CloudWatch RUM atualizou uma chave de condição em AmazonCloudWatchRUMServiceRolePolicy.

A chave de condição "Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/RUM" } } foi alterada para a seguinte, de forma que o CloudWatch RUM possa enviar métricas personalizadas para namespaces de métricas personalizadas.

"Condition": {
    "StringLike": {
		"cloudwatch:namespace": [
			"RUM/CustomMetrics/*",
			"AWS/RUM"
		]
	}
}
2 de fevereiro de 2023

AmazonCloudWatchRUMReadOnlyAccess - Política atualizada

O CloudWatch adicionou permissões à política AmazonCloudWatchRUMReadOnlyAccess.

As permissões rum:ListRumMetricsDestinations e rum:BatchGetRumMetricsDefinitions foram adicionadas para que o CloudWatch RUM possa enviar métricas estendidas ao CloudWatch e ao Evidently.

 27 de outubro de 2022

AmazonCloudWatchRUMServiceRolePolicy - Atualização de uma política existente

O CloudWatch RUM adicionou permissões à AmazonCloudWatchRUMServiceRolePolicy.

A permissão cloudwatch:PutMetricData foi adicionada para que o CloudWatch RUM possa enviar métricas estendidas para o CloudWatch.

 26 de outubro de 2022

CloudWatchEvidentlyReadOnlyAccess: atualizar para uma política existente

O CloudWatch Evidently adicionou permissões para CloudWatchEvidentlyReadOnlyAccess.

Foram adicionadas as permissões evidently:GetSegment, evidently:ListSegments e evidently:ListSegmentReferences para que os usuários com esta política possam ver os segmentos de público do Evidently que foram criados.

 12 de agosto de 2022

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch Synthetics adicionou permissões para CloudWatchSyntheticsFullAccess.

As permissões lambda:DeleteFunction e lambda:DeleteLayerVersion foram adicionadas para que o CloudWatch Synthetics possa excluir recursos relacionados quando um canário for excluído. iam:ListAttachedRolePolicies foi adicionada para que os clientes possam visualizar as políticas que estão anexadas à função do IAM de um canário.

 6 de maio de 2022

AmazonCloudWatchRUMFullAccess: nova política

O CloudWatch adicionou uma nova política para permitir o gerenciamento completo do CloudWatch RUM.

O CloudWatch RUM permite que você execute o monitoramento real do usuário de sua aplicação Web. Para ter mais informações, consulte Usar o CloudWatch RUM.

 29 de novembro de 2021

AmazonCloudWatchRUMReadOnlyAccess: nova política

O CloudWatch adicionou uma nova política para permitir o acesso somente leitura ao CloudWatch RUM.

O CloudWatch RUM permite que você execute o monitoramento real do usuário de sua aplicação Web. Para ter mais informações, consulte Usar o CloudWatch RUM.

 29 de novembro de 2021

CloudWatchEvidentlyFullAccess: nova política

O CloudWatch adicionou uma nova política para permitir o gerenciamento completo do CloudWatch Evidently.

O CloudWatch Evidently permite que você execute experimentos A/B de suas aplicações Web e os implemente gradualmente. Para ter mais informações, consulte Execução de lançamentos e experimentos A/B com o CloudWatch Evidently.

 29 de novembro de 2021

CloudWatchEvidentlyReadOnlyAccess: nova política

O CloudWatch adicionou uma nova política para permitir o acesso somente leitura ao CloudWatch Evidently.

O CloudWatch Evidently permite que você execute experimentos A/B de suas aplicações Web e os implemente gradualmente. Para ter mais informações, consulte Execução de lançamentos e experimentos A/B com o CloudWatch Evidently.

 29 de novembro de 2021

AWSServiceRoleForCloudWatchRUM: nova política gerenciada

O CloudWatch adicionou uma política voltada para uma nova função vinculada a serviços para permitir que o CloudWatch RUM substitua dados de monitoramento para outros serviços relevantes da AWS.

 29 de novembro de 2021

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch Synthetics adicionou permissões ao CloudWatchSyntheticsFullAccess, e também alterou o escopo de uma permissão.

A permissão kms:ListAliases foi adicionada para que os usuários possam listar chaves KMS AWS KMS que podem ser usadas para criptografar artefatos do canário. A permissão kms:DescribeKey foi adicionada para que os usuários possam ver os detalhes das chaves que serão usadas para criptografar artefatos do canário. E a permissão kms:Decrypt foi adicionada para permitir que os usuários descriptografassem artefatos do canário. Essa capacidade de descriptografia é limitada ao uso em recursos dentro de buckets do Amazon S3.

O escopo do Resource da permissão s3:GetBucketLocation foi alterado de * para arn:aws:s3:::*.

 29 de setembro de 2021

CloudWatchSyntheticsFullAccess: atualização para uma política existente

O CloudWatch Synthetics adicionou uma permissão para CloudWatchSyntheticsFullAccess.

A permissão lambda:UpdateFunctionCode foi adicionada para que os usuários com esta política possam alterar a versão de runtime dos canaries.

 20 de julho de 2021

AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy: nova política gerenciada

O CloudWatch adicionou uma nova política do IAM gerenciada para permitir que o CloudWatch crie incidentes no AWS Systems Manager Incident Manager.

 10 de maio de 2021

CloudWatchAutomaticDashboardsAccess: atualização para uma política existente

O CloudWatch adicionou uma permissão à política gerenciada CloudWatchAutomaticDashboardsAccess. A permissão synthetics:DescribeCanariesLastRun foi adicionada a esta política para permitir que os usuários de painel entre contas visualizem detalhes sobre execuções do canário do CloudWatch Synthetics.

 20 de abril de 2021

O CloudWatch começou a monitorar alterações

O CloudWatch começou a rastrear alterações para as políticas gerenciadas pela AWS.

 14 de abril de 2021