Come posso limitare l'accesso alla console CloudWatch?

Descrizione breve

Se sei l'amministratore del tuo account AWS, utilizza policy basate sull'identità per allegare le autorizzazioni alle entità AWS Identity and Access Management (IAM). Le policy basate sull'identità forniscono alle entità IAM le autorizzazioni necessarie per eseguire operazioni sulle risorse CloudWatch.

Per visualizzare tutte le autorizzazioni che puoi utilizzare con CloudWatch, consulta Permissions required to use the CloudWatch console.

Risoluzione

Creare una policy personalizzata per le risorse CloudWatch

Completa i seguenti passaggi:

1. Apri la console IAM.
2. Scegli Policy.
3. Scegli Crea policy.
4. Scegli JSON.
5. Crea una policy personalizzata.
   Esempio di policy:

   {    
       "Version": "2012-10-17",  
       "Statement": [  
           {  
               "Sid": "Description_1",   
               "Effect": "Allow",  
               "Action": [permissions required],  
               "Resource": "*"  
           },  
           {  
               "Sid": "Description_2",   
               "Effect": "Allow",  
               "Action": [permissions required],  
               "Resource": "*"  
           },  
           .  
           .  
           .  
           .  
           {  
               "Sid": "Description_n",   
               "Effect": "Allow",  
               "Action": [permissions required],  
               "Resource": "*"  
           }  
       ]  
   }

   Nota: poiché CloudWatch non supporta policy basate sulle risorse, non puoi utilizzare CloudWatch ARN in una policy IAM. Quando scrivi una policy per controllare l'accesso alle azioni di CloudWatch, utilizza "*" come risorsa.
6. (Facoltativo) Aggiungi un tag alla tua policy.
7. Scegli di rivedere la policy.
8. Inserisci un nome e una descrizione per la tua policy, ad esempio CWPermissions.
9. Scegli Crea policy.

Allegare una policy personalizzata a un utente IAM

Completa i seguenti passaggi:

1. Apri la console IAM.
2. Nel riquadro di navigazione, scegliUtenti.
3. Seleziona l'utente a cui desideri aggiungere le autorizzazioni.
4. Scegli Aggiungi autorizzazioni.
5. Scegli Allega direttamente le policy esistenti.
6. Seleziona la policy CloudWatch personalizzata.
7. Scegli Successivo: rivedi.
8. Scegli Aggiungi autorizzazioni.

La seguente policy di esempio consente agli utenti di creare e visualizzare avvisi in CloudWatch:

{  
    "Version": "2012-10-17",  
    "Statement": [  
        {  
            "Sid": "CreateAlarms",  
            "Effect": "Allow",  
            "Action": [  
                "cloudwatch:PutMetricAlarm",  
                "cloudwatch:DescribeAlarmHistory",  
                "cloudwatch:EnableAlarmActions",  
                "cloudwatch:DeleteAlarms",  
                "cloudwatch:DisableAlarmActions",  
                "cloudwatch:DescribeAlarms",  
                "cloudwatch:SetAlarmState"  
            ],  
            "Resource": "*"  
        },  
        {  
            "Sid": "visualizeAlarms",  
            "Effect": "Allow",  
            "Action": [  
                "cloudwatch:DescribeAlarmsForMetric",  
                "cloudwatch:ListMetrics"  
                "cloudwatch:GetMetricData"  
            ],  
            "Resource": "*"  
        }  
    ]  
}

Nota:

• per limitare l'accesso ai namespace di CloudWatch, utilizza le chiavi di condizione.
• Per limitare l'accesso degli utenti alle metriche di CloudWatch, utilizza PutMetricData anziché getPutMetricData.