Uso de claves de condición para limitar las acciones de la alarma

Cuando las alarmas de CloudWatch cambian de estado, pueden realizar diferentes acciones, como detener y terminar instancias EC2 y realizar acciones de Systems Manager. Estas acciones se pueden iniciar cuando la alarma cambia a cualquier estado, incluidos los estados ALARM (ALARMA), OK o INSUFICIENT_DATA (DATOS INSUFICIENTES).

Uso de la clave de condición cloudwatch:AlarmActions para permitir que un usuario cree alarmas que solo pueden realizar las acciones especificadas cuando cambia el estado de la alarma. Por ejemplo, puede permitir que un usuario cree alarmas que solo pueden realizar acciones que no sean acciones de EC2.

Permitir a un usuario crear alarmas que solo puedan enviar notificaciones de Amazon SNS o realizar acciones de Systems Manager

La siguiente política limita al usuario a crear alarmas que solo pueden enviar notificaciones de Amazon SNS y realizar acciones de Systems Manager. El usuario no puede crear alarmas que realicen acciones de EC2.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAlarmsThatCanPerformOnlySNSandSSMActions",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricAlarm",
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "cloudwatch:AlarmActions": [
                        "arn:aws:sns:*",
                        "arn:aws:ssm:*"
                    ]
                }
            }
        }
    ]
}