View a markdown version of this page

조건 키를 사용하여 CloudWatch 네임스페이스에 대한 액세스 제한 - Amazon CloudWatch

조건 키를 사용하여 CloudWatch 네임스페이스에 대한 액세스 제한

IAM 조건 키를 사용하여 사용자가 지정된 CloudWatch 네임스페이스에만 지표를 게시하도록 제한합니다. 이 섹션에서는 네임스페이스에 지표를 게시하는 사용자를 허용하고 제외하는 방법을 설명하는 예를 제공합니다.

하나의 네임스페이스에만 게시 허용

다음 정책은 사용자가 MyCustomNamespace라는 네임스페이스에만 지표를 게시하도록 제한합니다.

JSON
{
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Resource": "*",
        "Action": "cloudwatch:PutMetricData",
        "Condition": {
            "StringEquals": {
                "cloudwatch:namespace": "MyCustomNamespace"
            }
        }
    }
}

네임스페이스에서 게시 제외

다음 정책은 사용자가 CustomNamespace2를 제외한 모든 네임스페이스에 지표를 게시할 수 있도록 허용합니다.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Resource": "*",
            "Action": "cloudwatch:PutMetricData"
        },
        {
            "Effect": "Deny",
            "Resource": "*",
            "Action": "cloudwatch:PutMetricData",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "CustomNamespace2"
                }
            }
        }
    ]
}

OTLP 수집 제어

다음 정책은 사용자가 OTLP API를 사용하여 지표를 게시하도록 허용합니다.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Resource": "*",
            "Action": "cloudwatch:PutMetricData"
        }
    ]
}

이중 수집을 비활성화하는 경우, 즉 PutMetricData만 사용하고 OTLP 수집을 거부하는 경우 다음 정책을 사용할 수 있습니다. 사용자가 PutMetricData를 사용하여 네임스페이스 MyCustomNamespace에 지표를 게시하도록 제한하는 동시에 StringEquals 조건으로 인한 OTLP 수집을 묵시적으로 거부합니다.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                     "cloudwatch:namespace": "MyCustomNamespace"
                }
            }
         }
    ]
}

이중 수집을 활성화하는 경우, 즉 PutMetricData와 OTLP 수집을 모두 허용하는 경우 다음 정책을 사용할 수 있습니다. 사용자가 PutMetricData를 사용하여 네임스페이스 MyCustomNamespace에 지표를 게시하도록 제한하는 동시에 StringEqualsIfExists 조건으로 인한 OTLP 수집을 허용합니다.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                     "cloudwatch:namespace": "MyCustomNamespace"
                }
            }
         }
    ]
}