Como faço para restringir o acesso ao console do CloudWatch?

Breve descrição

Se você for o administrador da sua conta da AWS, use políticas baseadas em identidade para anexar permissões às entidades do AWS Identity and Access Management (IAM). As políticas baseadas em identidade dão às suas entidades do IAM as permissões necessárias para realizar operações nos recursos do CloudWatch.

Para ver todas as permissões que você pode usar com o CloudWatch, consulte Permissões necessárias para usar o console do CloudWatch.

Resolução

Criar uma política personalizada para os recursos do CloudWatch

Conclua as seguintes etapas:

1. Abra o console do IAM.
2. Escolha Políticas.
3. Escolha Criar política.
4. Escolha JSON.
5. Crie uma política personalizada.
   Exemplo de política:

   {    
       "Version": "2012-10-17",  
       "Statement": [  
           {  
               "Sid": "Description_1",   
               "Effect": "Allow",  
               "Action": [permissions required],  
               "Resource": "*"  
           },  
           {  
               "Sid": "Description_2",   
               "Effect": "Allow",  
               "Action": [permissions required],  
               "Resource": "*"  
           },  
           .  
           .  
           .  
           .  
           {  
               "Sid": "Description_n",   
               "Effect": "Allow",  
               "Action": [permissions required],  
               "Resource": "*"  
           }  
       ]  
   }

   Observação: como o CloudWatch não oferece suporte a políticas baseadas em recursos, você não pode usar ARNs do CloudWatch em uma política de IAM. Ao escrever uma política para controlar o acesso às ações do CloudWatch, use "*" como recurso.
6. (Opcional) Adicione uma tag à sua política.
7. Escolha revisar a política.
8. Insira um nome e uma descrição para sua política, por exemplo, CWPermissions.
9. Escolha Criar política.

Anexar uma política personalizada a um usuário do IAM

Conclua as seguintes etapas:

1. Abra o console do IAM.
2. No painel de navegação, escolha Usuários.
3. Selecione o usuário ao qual você deseja adicionar permissões.
4. Escolha Adicionar permissões.
5. Escolha Anexar políticas existentes diretamente.
6. Selecione a política personalizada do CloudWatch.
7. Escolha Avançar: revisão.
8. Escolha Adicionar permissões.

O exemplo de política a seguir permite que os usuários criem e visualizem alertas no CloudWatch:

{  
    "Version": "2012-10-17",  
    "Statement": [  
        {  
            "Sid": "CreateAlarms",  
            "Effect": "Allow",  
            "Action": [  
                "cloudwatch:PutMetricAlarm",  
                "cloudwatch:DescribeAlarmHistory",  
                "cloudwatch:EnableAlarmActions",  
                "cloudwatch:DeleteAlarms",  
                "cloudwatch:DisableAlarmActions",  
                "cloudwatch:DescribeAlarms",  
                "cloudwatch:SetAlarmState"  
            ],  
            "Resource": "*"  
        },  
        {  
            "Sid": "visualizeAlarms",  
            "Effect": "Allow",  
            "Action": [  
                "cloudwatch:DescribeAlarmsForMetric",  
                "cloudwatch:ListMetrics"  
                "cloudwatch:GetMetricData"  
            ],  
            "Resource": "*"  
        }  
    ]  
}

Observação:

• para limitar o acesso aos namespaces do CloudWatch, use chaves de condição.
• Para restringir o acesso do usuário às métricas do CloudWatch, use PutMetricData em vez de GetPutMetricData.