Verwenden von ressourcenbasierten Richtlinien in CloudWatch RUM

Sie können eine Ressourcenrichtlinie an eine CloudWatch-RUM-App-Überwachung anhängen. Standardmäßig ist an App-Überwachungen keine Ressourcenrichtlinie angehängt. Ressourcenbasierte CloudWatch-RUM-Richtlinien unterstützen keinen kontoübergreifenden Zugriff.

Weitere Informationen über AWS-Ressourcenrichtlinien finden Sie unter Identitätsbasierte Richtlinien und ressourcenbasierte Richtlinien.

Weitere Informationen dazu, wie Ressourcen- und Identitätsrichtlinien ausgewertet werden, finden Sie unter Richtlinien-Bewertungslogik.

Weitere Informationen zur Grammatik von IAM-Richtlinien finden Sie unter IAM-JSON-Richtlinienelementreferenz.

Unterstützte Aktionen

Ressourcenbasierte Richtlinien auf App-Überwachungen unterstützen die rum:PutRumEvents-Aktion.

Beispielrichtlinien zur Verwendung von CloudWatch RUM

Das folgende Beispiel ermöglicht es jedem, Daten in Ihre App-Überwachung zu schreiben, auch solche ohne SigV4-Anmeldeinformationen.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "rum:PutRumEvents",
            "Resource": "arn:aws:rum:us-east-1:123456789012:appmonitor/app monitor name",
            "Principal": "*"
        }
    ]
}

Mithilfe des aws:SourceIp-Bedingungsschlüssels können Sie die Richtlinie so ändern, dass bestimmte Quell-IP-Adressen blockiert werden. In diesem Beispiel zur Verwendung dieser Richtlinie werden PutrumEvents von der angegebenen IP-Adresse abgelehnt. Alle anderen Anforderungen von anderen IP-Adressen werden akzeptiert. Weitere Informationen zu diesem Bedingungsschlüssel finden Sie unter Eigenschaften des Netzwerks im IAM-Benutzerhandbuch.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "rum:PutRumEvents",
            "Resource": "arn:aws:rum:us-east-1:123456789012:appmonitor/AppMonitorName",
            "Principal": "*"
        },
        {
            "Effect": "Deny",
            "Action": "rum:PutRumEvents",
            "Resource": "arn:aws:rum:us-east-1:123456789012:appmonitor/AppMonitorName",
            "Principal": "*",
            "Condition": {
                "NotIpAddress": {
                "aws:SourceIp": "198.51.100.252"
                }
            }
        }
    ]
}

Darüber hinaus können Sie festlegen, dass nur PutrumEvents-Anforderungen akzeptiert werden, die mithilfe des rum:alias-Servicekontextschlüssels mit einem bestimmten Alias signiert sind. Im folgenden Beispiel müssen PutRumEvents den optionalen Alias-Anforderungsparameter entweder auf alias1 oder alias2 setzen, damit das Ereignis akzeptiert wird. Um Ihren Webclient zum Senden des Alias zu konfigurieren, müssen Sie Version 1.20 oder höher des CloudWatch-RUM-Webclients verwenden, wie unter Anwendungsspezifische Konfigurationen auf GitHub beschrieben.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRUMPutEvents",
            "Effect": "Allow",
            "Action": "rum:PutRumEvents",
            "Resource": "arn:aws:rum:us-east-1:123456789012:appmonitor/MyApplication",
            "Principal": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:rum:us-east-1:123456789012:appmonitor/MyApplication"
                }
            }
        }
    ]
}