View a markdown version of this page

多区域金丝雀的权限 - Amazon CloudWatch

多区域金丝雀的权限

要创建和管理多区域金丝雀，IAM 主体必须具有标准的 CloudWatch Synthetics 权限（请参阅 CloudWatch 金丝雀的必需角色和权限）以及以下权限：

  • synthetics:ReplicateCanary：允许 CloudWatch Synthetics 服务代表您在副本区域中创建、更新和删除副本。如果策略已包含 synthetics:*，则该权限已包含在内，无需执行其他操作。

多区域金丝雀的条件键

您可以在 IAM 策略中使用条件键来控制哪些区域可以用作副本区域。以下条件键可用于：

条件键 说明 Type 结合使用
synthetics:AddReplicaLocations 按请求中指定的副本区域筛选访问权限 字符串数组 synthetics:CreateCanary, synthetics:UpdateCanary
synthetics:RemoveReplicaLocations 按请求中要移除的副本区域筛选访问权限 字符串数组 synthetics:UpdateCanary
示例：仅允许复制到特定区域

以下策略仅允许在美国和加拿大区域创建和更新带有副本的金丝雀。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "synthetics:CreateCanary",
                "synthetics:UpdateCanary"
            ],
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "synthetics:AddReplicaLocations": [
                        "us-*",
                        "ca-*"
                    ]
                }
            }
        }
    ]
}
示例：拒绝复制到特定区域

以下策略拒绝在 eu-west-1 或 ap-southeast-1 中创建或更新带有副本的金丝雀。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "synthetics:CreateCanary",
                "synthetics:UpdateCanary"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "synthetics:AddReplicaLocations": [
                        "eu-west-1",
                        "ap-southeast-1"
                    ]
                }
            }
        }
    ]
}

有关 CloudWatch Synthetics 权限的更多信息，请参阅 CloudWatch 金丝雀的必需角色和权限。