Можно ли ограничить действия CloudWatch на основе ресурсов или условий?

Я пытаюсь ограничить действия CloudWatch определенным VPC или ресурсом. Я могу это сделать?. Ниже приводится политика

{
    "Sid": "AllowCloudWatchActions",
    "Effect": "Allow",
    "Action": [
        "cloudwatch:DescribeAlarms",
        "cloudwatch:GetMetricStatistics"
    ],
    "Resource": "*"
}

Могу ли я указать какое-либо условие для этого?


amazon-web-services amazon-iam amazon-cloudwatch
person user2814081    schedule 27.06.2016    source источник

Ответы (2)


arrow_upward
6
arrow_downward

CloudWatch не имеет разрешений на уровне ресурсов. Чтобы процитировать документы AWS:

У CloudWatch нет конкретных ресурсов, доступ к которым вы могли бы контролировать. Таким образом, вы не можете использовать CloudWatch ARN в политике IAM. Вы используете * в качестве ресурса при написании политики для управления доступом к действиям CloudWatch.

Источник: http://docs.aws.amazon.com/AmazonCloudWatch/latest/DeveloperGuide/UsingIAM.html

Поэтому невозможно создать политику, которая ограничивает данные метриками из определенных ресурсов (VPC и т. д.).

«Условия» обычно не применяются к запрашиваемым данным или ресурсу (т. е. к вашим показателям). Вместо этого «Условие» применяется к источнику запроса, например к VPC или IP-адресу.

person Matt Houser    schedule 27.06.2016
comment
Хотя это может не помочь спрашивающему ограничить эти действия CloudWatch VPC, кажется, что журналы CloudWatch по крайней мере делают теперь поддерживают некоторые разрешения на уровне ресурсов, чтобы ограничить политику, например. определенную группу журналов, поэтому вы можете ограничить доступ logs:PutLogEvents к ресурсу arn:aws:logs:REGION:ACCOUNT_ID:log-group:LOG_GROUP_NAME:log-stream:* — см. docs.aws.amazon.com/AmazonCloudWatch/latest/logs/ - person ryanp; 08.07.2019
comment
Это все еще так, 5 лет спустя, особенно для CloudWatch Metrics? - person Hendrik Wiese; 25.06.2021

arrow_upward
3
arrow_downward

Согласно документу AWS, условные ключи можно использовать для ограничения доступа к пространствам имен CloudWatch. https://docs.amazonaws.cn/en_us/AmazonCloudWatch/latest/monitoring/iam-cw-condition-keys-namespace.html

На самом деле, я поднял тикет в AWS за ограничение на получение метрик CloudWatch и получил подтверждение, что он работает для PutMetricData, но не для GetMetricData.

person wei    schedule 08.06.2020
comment
Исправлено ли это для получения данных метрик или все же можно увидеть метрику облачных часов для определенного пространства имен? - person kohi; 14.06.2021
comment
Привет @kohi, я предлагаю вам связаться со службой поддержки AWS, чтобы получить последние обновления о том, работает ли ключ условия для GetMetricData или нет. Служба поддержки AWS довольно быстро отвечает на вопросы :) - person wei; 04.07.2021