Verwenden von Bedingungsschlüsseln zum Begrenzen von Alarmaktionen

Wenn CloudWatch Alarme ihren Status ändern, können sie verschiedene Aktionen ausführen, z. B. das Stoppen und Beenden von EC2 Instanzen und das Ausführen von Systems Manager Manager-Aktionen. Diese Aktionen können ausgelöst werden, wenn sich der Alarm in einen beliebigen Zustand ändert, einschließlich ALARM, OK oder INSUPFIZIENT_DATA.

Verwenden Sie den cloudwatch:AlarmActions-Bedingungsschlüssel, um einem Benutzer zu ermöglichen, Alarme zu erstellen, die nur die von Ihnen angegebenen Aktionen ausführen können, wenn sich der Alarmstatus ändert. Sie können einem Benutzer beispielsweise ermöglichen, Alarme zu erstellen, die nur Aktionen ausführen können, bei denen es sich nicht um EC2 Aktionen handelt.

Einem Benutzer erlauben, Alarme zu erstellen, die nur Amazon-SNS-Benachrichtigungen senden oder Systems-Manager-Aktionen ausführen können

Die folgende Richtlinie beschränkt den Benutzer darauf, Alarme zu erstellen, die nur Amazon-SNS-Benachrichtigungen senden und Systems-Manager-Aktionen ausführen können. Der Benutzer kann keine Alarme erstellen, die EC2 Aktionen ausführen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAlarmsThatCanPerformOnlySNSandSSMActions",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricAlarm",
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "cloudwatch:AlarmActions": [
                        "arn:aws:sns:*",
                        "arn:aws:ssm:*"
                    ]
                }
            }
        }
    ]
}