Jakie uprawnienia / zasady dla roli IAM mają być używane ze skryptem monitorowania CloudWatch

13

Za pomocą skryptu monitorowania CloudWatch (mon-put-instance-data.pl) można podać nazwę roli IAM, aby podać poświadczenia AWS (--aws-iam-role = WARTOŚĆ).

Tworzę w tym celu rolę IAM (aby uruchomić mon-put-instance-data.pl na instancji AWS), ale jakie uprawnienia / zasady powinienem nadać tej roli?

Dziękuję za pomoc

amazon-ec2 amazon-web-services amazon-cloudwatch amazon-iam Céline Aussourd
źródło

Odpowiedzi:

20

Amazon CloudWatch Monitorowanie skryptów dla systemu Linux składają się z dwóch skryptów Perl, zarówno przy użyciu jednego modułu Perl - krótkie zerknięcie do źródła ujawnia wykorzystywane następujące działania API AWS:

Dzięki tym informacjom możesz złożyć swoją polisę IAM , np. Za pomocą generatora polis AWS - ogólna polityka obejmowałaby:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:ListMetrics",
        "cloudwatch:PutMetricData",
        "ec2:DescribeTags"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Oczywiście możesz upuścić cloudwatch:GetMetricStatistics cloudwatch:ListMetricspodczas korzystania mon-put-instance-data.pl- pamiętaj, że nie przetestowałem jeszcze kodu.

Steffen Opel
źródło
Te akcje są zgodne z czynnościami wymienionymi w dokumentacji na docs.aws.amazon.com/AWSEC2/latest/UserGuide/…
htaccess
2

Powyższe zasady zawierają błąd z pytaniem o wersję.

Następujące powinny działać:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1426849513000",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics",
                "cloudwatch:PutMetricAlarm",
                "cloudwatch:PutMetricData",
                "cloudwatch:SetAlarmState"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}
Swapnil jaiswal
źródło
2

Istnieje polityka IAM zapewniona przez Amazon dla CloudWatch. Nie musisz budować własnego. CloudWatchFullAccess

Jorfus
źródło
2
Dziękuję za odpowiedź. Nie chciałem jednak dać pełnego dostępu do CloudWatch ... Nie chcę na przykład udzielać zgody DeleteAlarms.
Céline Aussourd,
W przypadku usługi dynatrace jest to idealne rozwiązanie!
holms
IMHO, dla prawie każdego przypadku użycia „monitorowania”, jest to zbyt duży dostęp. Skrypt monitorowania nie musi (powiedzmy) tworzyć ani usuwać metryk ani pulpitów nawigacyjnych. Zasady dodają trochę dość bezpiecznie wyglądające uprawnienia niebędące chmurami, ale następnie dodają wszystkie: docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/ ... Krótko mówiąc, CloudWatchReadOnlyAccessbyłaby to bezpieczna „pierwsza próba”, ale nawet to może być zbyt hojne.
Ralph Bolton