Kebijakan IAM untuk menggunakan RUM CloudWatch

Untuk membuat monitor aplikasi yang membuat kumpulan identitas Amazon Cognito baru untuk otorisasi, Anda harus memiliki peran IAM Admin atau kebijakan AdministratorAccess IAM.

Untuk membuat monitor aplikasi yang mengirimkan data ke CloudWatch Log, Anda harus masuk ke peran atau kebijakan IAM yang memiliki izin berikut:

{
    "Effect": "Allow",
    "Action": [
        "logs:PutResourcePolicy"
    ],
    "Resource": [
        "*"
    ]
}

Untuk mengaktifkan peta JavaScript sumber di monitor aplikasi, Anda harus mengunggah file peta sumber Anda ke bucket Amazon S3. Peran atau kebijakan IAM Anda memerlukan izin Amazon S3 tertentu yang memungkinkan pembuatan bucket Amazon S3, pengaturan kebijakan bucket, dan pengelolaan file di bucket. Untuk keamanan, lingkup izin ini ke sumber daya tertentu. Kebijakan contoh di bawah ini membatasi akses ke bucket yang berisi rum namanya dan menggunakan kunci aws:ResourceAccount kondisi untuk membatasi izin ke akun utama saja.

{
    "Sid": "AllowS3BucketCreationAndListing",
    "Effect": "Allow",
    "Action": [
        "s3:CreateBucket",
        "s3:ListAllMyBuckets"
    ],
    "Resource": "arn:aws:s3:::*",
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": "${aws:PrincipalAccount}"
        }
    }
},
{
    "Sid": "AllowS3BucketActions",
    "Effect": "Allow",
    "Action": [
        "s3:GetBucketLocation",
        "s3:ListBucket"
    ],
    "Resource": "arn:aws:s3:::*rum*",
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": "${aws:PrincipalAccount}"
        }
    }
},
{
    "Sid": "AllowS3BucketPolicyActions",
    "Effect": "Allow",
    "Action": [
        "s3:PutBucketPolicy",
        "s3:GetBucketPolicy"
    ],
    "Resource": "arn:aws:s3:::*rum*",
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": "${aws:PrincipalAccount}"
        }
    }
},
{
    "Sid": "AllowS3ObjectActions",
    "Effect": "Allow",
    "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:AbortMultipartUpload"
    ],
    "Resource": "arn:aws:s3:::*rum*",
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": "${aws:PrincipalAccount}"
        }
    }
}

Untuk menggunakan AWS KMS kunci Anda sendiri untuk enkripsi sisi server di bucket peta sumber Anda, peran atau kebijakan IAM Anda akan memerlukan AWS KMS izin khusus yang memungkinkan pembuatan kunci, memperbarui kebijakan kunci, menggunakan AWS KMS kunci dengan Amazon S3, dan mengatur konfigurasi enkripsi bucket Amazon S3 Anda. Untuk keamanan, lingkup izin ini ke tujuan tertentu. Contoh di bawah ini membatasi akses ke kunci untuk wilayah tertentu dan accountID dan memiliki batasan S3 yang serupa seperti contoh di atas.

{
    "Sid": "AllowKMSKeyCreation",
    "Effect": "Allow",
    "Action": [
        "kms:CreateKey",
        "kms:CreateAlias"
    ],
    "Resource": "*"
},
{
    "Sid": "KMSReadPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:ListAliases"
    ],
    "Resource": "*"
},
{
    "Sid": "AllowUpdatingKeyPolicy",
    "Effect": "Allow",
    "Action": [
        "kms:PutKeyPolicy",
        "kms:GetKeyPolicy",
        "kms:ListKeyPolicies"
    ],
    "Resource": "arn:aws:kms:REGION:ACCOUNT_ID:key/*"
},
{
    "Sid": "AllowUseOfKMSKeyForS3",
    "Effect": "Allow",
    "Action": [
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "arn:aws:kms:REGION:ACCOUNT_ID:key/*"
},
{
    "Sid": "AllowS3EncryptionConfiguration",
    "Effect": "Allow",
    "Action": [
        "s3:PutEncryptionConfiguration",
        "s3:GetEncryptionConfiguration"
    ],
    "Resource": "arn:aws:s3:::*rum*",
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": "${aws:PrincipalAccount}"
        }
    }
}