Verwenden von Bedingungsschlüsseln zum Begrenzen von Alarmaktionen

Wenn CloudWatch Alarme ihren Status ändern, können sie verschiedene Aktionen ausführen, z. B. das Stoppen und Beenden von EC2 Instanzen und das Ausführen von Systems Manager Manager-Aktionen. Diese Aktionen können ausgelöst werden, wenn der Alarm in einen beliebigen Status wechseltALARM, einschließlich OK oder INSUFFICIENT _DATA.

Verwenden Sie den cloudwatch:AlarmActions-Bedingungsschlüssel, um einem Benutzer zu ermöglichen, Alarme zu erstellen, die nur die von Ihnen angegebenen Aktionen ausführen können, wenn sich der Alarmstatus ändert. Sie können einem Benutzer beispielsweise erlauben, Alarme zu erstellen, die nur Aktionen ausführen können, bei denen es sich nicht um EC2 Aktionen handelt.

Erlauben Sie einem Benutzer, Alarme zu erstellen, die nur SNS Amazon-Benachrichtigungen senden oder Systems Manager Manager-Aktionen ausführen können

Die folgende Richtlinie beschränkt den Benutzer darauf, Alarme zu erstellen, die nur SNS Amazon-Benachrichtigungen senden und Systems Manager Manager-Aktionen ausführen können. Der Benutzer kann keine Alarme erstellen, die EC2 Aktionen ausführen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAlarmsThatCanPerformOnlySNSandSSMActions",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricAlarm",
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "cloudwatch:AlarmActions": [
                        "arn:aws:sns:*",
                        "arn:aws:ssm:*"
                    ]
                }
            }
        }
    ]
}