用于 CloudWatch 的 AWS 托管式（预定义）策略

AIOpsAssistantPolicy – 更新了策略

CloudWatch 已更新 AIOpsAssistantPolicy IAM 策略。添加了支持 CloudWatch 调查的权限，以协助进行查询、问题排查和拓扑映射。

添加了以下权限：kms:GetKeyRotationStatus、kms:ListAliases 和 kms:ListKeyRotations

CloudWatchNetworkMonitorServiceRolePolicy – 更新了策略

CloudWatch 在 CloudWatchNetworkMonitorServiceRolePolicy 托管式策略中新增以下权限：ec2:DescribeRouteTables、ec2:DescribeTransitGatewayAttachments、ec2:DescribeTransitGatewayRouteTables、ec2:SearchTransitGatewayRoutes。新增权限后，网络综合监测仪可向使用中转网关的客户生成网络运行状况指标数值。

CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy – 更新了策略

CloudWatch 在 CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy 托管式策略中，新增 ec2:DescribeVpcEndpoints 与 ec2:DescribeVpcEndpointServiceConfigurations 权限。新增权限后，网络流量监测仪可生成 VPC 端点及 VPCE 服务配置的拓扑快照。

CloudWatchFullAccessV2 – 更新了策略

CloudWatch 添加了对 CloudWatchFullAccessV2 的权限。

添加了可观测性管理操作的权限，以允许对遥测管道及 S3 表集成进行全权限访问。

CloudWatchReadOnlyAccess – 更新了策略

CloudWatch 添加了对 CloudWatchReadOnlyAccess 的权限。

添加了可观测性管理操作的权限，以允许对遥测管道及 S3 表集成进行只读访问。

CloudWatchFullAccessV2 – 更新了策略

CloudWatch 更新了 CloudWatchFullAccessV2 策略，新增相关权限以支持查看给定实体和时间范围的变更事件，以及通过启用 Resource Explorer 从 Application Signals 中查询未埋点服务和资源。

CloudWatchApplicationSignalsFullAccess – 更新了策略

CloudWatch 更新了 CloudWatchApplicationSignalsFullAccess 策略，新增相关权限以支持查看给定实体和时间范围的变更事件，以及通过启用 Resource Explorer 从 Application Signals 中查询未埋点服务和资源。

CloudWatchReadOnlyAccess – 更新了策略

CloudWatch 更新了 CloudWatchReadOnlyAccess 策略，新增相关权限以支持查看给定实体和时间范围的变更事件，以及从 Application Signals 中查询未埋点服务和资源。

CloudWatchApplicationSignalsReadOnlyAccess – 更新了策略

CloudWatch 更新了 CloudWatchApplicationSignalsReadOnlyAccess 策略，新增相关权限以支持查看给定实体和时间范围的变更事件，以及从 Application Signals 中查询未埋点服务和资源。

CloudWatchApplicationSignalsServiceRolePolicy – 更新为现有策略

CloudWatch 更新了名为 CloudWatchApplicationSignalsServiceRolePolicy 的策略。

更新了该策略，新增 resource-explorer-2:Search 和 cloudtrail:CreateServiceLinkedChannel 权限，以启用新的 Application Signals 功能。

AIOpsConsoleAdminPolicy – 更新了策略

CloudWatch 更新了 AIOpsConsoleAdminPolicy 策略，新增 Amazon Q 集成权限，让用户能够通过 Amazon Q 的对话式界面与 CloudWatch 调查功能事件报告进行交互。

AIOpsOperatorAccess – 更新了策略

CloudWatch 更新了 AIOpsOperatorAccess 策略，新增 Amazon Q 集成权限，让用户能够通过 Amazon Q 的对话式界面与 CloudWatch 调查功能事件报告进行交互。

CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy – 更新了策略

CloudWatch 在 CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy 托管式策略中，新增 ec2:DescribeManagedPrefixLists 与 ec2:GetManagedPrefixListEntries 权限。新增权限后，网络流量监测仪可生成托管前缀列表的拓扑快照。

AIOpsAssistantIncidentReportPolicy – 新策略

CloudWatch 添加了 AIOpsAssistantIncidentReportPolicy 策略，使 CloudWatch 调查功能可基于调查数据生成事件报告，包括访问调查、创建报告和管理人工智能分析得出的事实所需的权限。

AIOpsOperatorAccess – 更新了策略

CloudWatch 更新了 AIOpsOperatorAccess 策略，新增事件报告生成权限，让用户能够创建和管理事件报告，并在 CloudWatch 调查中处理人工智能分析得出的事实。

CloudWatchReadOnlyAccess – 对现有策略的更新。

CloudWatch 添加了对 CloudWatchReadOnlyAccess 的权限。

添加了可观测性管理操作的权限，允许跨 AWS Organizations 对遥测规则、集中配置和资源遥测数据进行只读访问。

2025 年 10 月 10 日

CloudWatchFullAccessV2 – 更新现有策略

CloudWatch 对 CloudWatchFullAccessV2 策略进行更新，新增 CloudTrail 和服务配额相关权限，为 Application Signals 功能中的重点观测数据及变更指标能力提供支持。

CloudWatchReadOnlyAccess – 对现有策略的更新

CloudWatch 对 CloudWatchReadOnlyAccess 策略进行更新，新增 CloudTrail 和服务配额相关权限，为 Application Signals 功能中的重点观测数据及变更指标能力提供支持。

CloudWatchApplicationSignalsReadOnlyAccess – 更新了策略

CloudWatch 更新了 CloudWatchApplicationSignalsReadOnlyAccess 策略，使其支持查看账户内资源与服务的变更情况，以及账户中服务异常的重点观测数据。

CloudWatchApplicationSignalsFullAccess – 更新了策略

CloudWatch 更新了 CloudWatchApplicationSignalsFullAccess 策略，使其支持查看账户内资源与服务的变更情况，以及账户中服务异常的重点观测数据。

AIOpsAssistantPolicy – 更新了策略

CloudWatch 更新了 AIOpsAssistantPolicy，允许 CloudWatch 调查访问更多资源，以帮助进行查询、问题排查和拓扑映射。

此策略授予 CloudWatch 调查功能进行调查所需的权限。

AIOpsConsoleAdminPolicy – 更新的策略

CloudWatch 已更新 AIOpsConsoleAdminPolicy 策略，支持跨账户验证调查分析组。

此策略授予用户访问 CloudWatch 调查操作以及访问调查事件所需的其他 AWS 操作的权限。

AIOpsOperatorAccess – 已更新策略

CloudWatch 已更新 AIOpsOperatorAccess 策略，支持跨账户验证调查分析组。

此策略授予用户访问 CloudWatch 调查操作以及访问调查事件所需的其他 AWS 操作的权限。

2025 年 6 月 13 日

AIOpsAssistantPolicy – 对现有策略的更新

CloudWatch 已更新 AIOpsAssistantPolicy IAM 策略。它添加了相关权限，使 CloudWatch Application Insights 的操作调查能够在调查过程中从您的资源中查找信息。

增加了以下权限：appsync:GetGraphqlApi、appsync:GetDataSource、iam:ListAttachedRolePolicies、iam:ListRolePolicies 和 iam:ListRoles

此外，该 elastic-inference:Describe* 权限已从策略中删除。

AmazonCloudWatchRUMReadOnlyAccess – 更新后的策略

CloudWatch 向 AmazonCloudWatchRUMReadOnlyAccess 策略添加了权限。

添加了 synthetics: describeCanaries 和 synthetics:describeCanariesLastRun，以便 CloudWatch RUM 可以向 RUM 应用程序监视器显示关联的 Synthetics Canary。

添加了 cloudwatch:GetMetricData，以便 CloudWatch RUM 可以向 RUM 应用程序监视器显示关联的 CloudWatch 指标。

添加了 cloudwatch:DescribeAlarms，以便 CloudWatch RUM 可以向 RUM 应用程序监视器显示关联的 CloudWatch 警报。

添加了 logs:DescribeLogGroups，以便 CloudWatch RUM 可以向 RUM 应用程序监视器显示关联的 CloudWatch 日志。

添加了 xray:GetTraceSummaries，以便 CloudWatch RUM 可以向 RUM 应用程序监视器显示关联的 X-Ray 跟踪分段。

添加了 rum:ListTagsForResources，以便 CloudWatch RUM 可以向 RUM 应用程序监视器显示关联的标签。

AIOpsReadOnlyAccess – 已更新策略

CloudWatch 已更新 AIOpsReadOnlyAccess 策略，支持跨账户验证调查分析组。

此策略授予用户对 Amazon AI Operations 和其他相关服务的只读权限。

AmazonCloudWatchRUMReadOnlyAccess – 更新后的策略

CloudWatch 为 AmazonCloudWatchRUMReadOnlyAccess 策略添加了权限。

添加了 rum:GetResourcePolicy 权限，以便 CloudWatch RUM 可以查看附加到 RUM 应用程序监视器的资源策略。

AIOpsConsoleAdminPolicy – 新策略

CloudWatch 创建了一项名为 AIOpsConsoleAdminPolicy 的新策略。

该策略授予用户完全管理访问权限来管理 CloudWatch 调查，包括管理可信身份传播以及管理 IAM Identity Center 和组织访问。

AIOpsOperatorAccess – 新策略

CloudWatch 创建了一项名为 AIOpsOperatorAccess 的新策略。

此策略授予用户访问 CloudWatch 调查操作以及访问调查事件所需的其他 AWS 操作的权限。

AIOpsReadOnlyAccess – 新策略

CloudWatch 创建了一项名为 AIOpsReadOnlyAccess 的新策略。

此策略授予用户对 Amazon AI Operations 和其他相关服务的只读权限。

AIOpsAssistantPolicy – 新策略

CloudWatch 创建了一项名为 AIOpsAssistantPolicy 的新策略。

您不会将此策略分配给用户。而是将此策略分配给 Amazon AI 操作助手，以便 Amazon Q 操作调查能够在调查操作事件期间分析 AWS 资源。

CloudWatchFullAccessV2 – 更新现有策略

CloudWatch 更新了 CloudWatchFullAccessV2 和 CloudWatchFullAccess。

添加了 Amazon OpenSearch Service 的权限，以便 CloudWatch Logs 与 OpenSearch Service 的某些功能集成。

CloudWatchNetworkFlowMonitorServiceRolePolicy – 新策略

CloudWatch 添加了一项新策略 CloudWatchNetworkFlowMonitorServiceRolePolicy。

CloudWatchNetworkFlowMonitorServiceRolePolicy 授予网络流量监测仪将指标发布到 CloudWatch 的权限。该策略还允许服务使用 AWS Organizations 获取多账户场景的信息。

CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy – 新策略

CloudWatch 添加了一项新策略 CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy。

CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy 授予网络流监测仪生成账户中所使用资源的拓扑快照的权限。

CloudWatchNetworkFlowMonitorAgentPublishPolicy – 新策略

CloudWatch 添加了一项新策略 CloudWatchNetworkFlowMonitorAgentPublishPolicy。

CloudWatchNetworkFlowMonitorAgentPublishPolicy 授予 Amazon EC2 和 Amazon EKS instances 等资源向网络流量监测仪端点发送遥测报告（指标）的权限。

CloudWatchSyntheticsFullAccess – 对现有策略的更新

CloudWatch 更新了名为 CloudWatchSyntheticsFullAccess 的策略。

添加了以下 CloudWatch Logs 操作，允许 CloudWatch Synthetics 获取和使用 Lambda 日志组中的 Canary 日志数据。还添加了 lambda:GetFunction 权限，允许 Synthetics 获取有关特定函数的信息。

此外，Lambda 层版本操作现在适用于所有 CloudWatch Synthetics 层 ARN。

CloudWatchInternetMonitorReadOnlyAccess – 新的 CloudWatchInternetMonitorReadOnlyAccess。

此策略将授予对 CloudWatch 网络监测仪控制台中可用资源和操作的只读访问权限。此策略的范围包括 internetmonitor:，从而确保用户能够使用只读网络监测仪操作和资源。它包含检索 CloudWatch 指标相关信息的一些 cloudwatch: 策略。它包含管理日志查询的一些 logs: 策略。

CloudWatchInternetMonitorFullAccess – 新策略

CloudWatch 创建了一个名为 CloudWatchInternetMonitorFullAccess 的新策略。

此策略将授予对 CloudWatch 网络监测仪控制台中可用资源和操作的完全访问权限。此策略的范围包括 internetmonitor:，从而确保用户能够使用网络监测仪操作和资源。它包含检索 CloudWatch 警报和指标相关信息的一些 cloudwatch: 策略。它包含管理日志查询的一些 logs: 策略。其中包括某些 ec2:、cloudfront:、elasticloadbalancing: 和 workspaces: 策略，以便使用您添加到监测仪的资源，从而确保网络监测仪能够创建应用程序的流量概况。它包含管理 IAM 角色的一些 iam: 策略。

CloudWatchLambdaApplicationSignalsExecutionRolePolicy – 新的 CloudWatchLambdaApplicationSignalsExecutionRolePolicy。

为 Lambda 工作负载启用 CloudWatch Application Signals 时将使用此策略。这会允许对 X-Ray 和 CloudWatch Application Signals 使用的日志组进行写入访问。

CloudWatchSyntheticsFullAccess – 对现有策略的更新

CloudWatch 更新了名为 CloudWatchSyntheticsFullAccess 的策略。

添加了 lambda:ListTags、lambda:TagResource 和 lambda:UntagResource 权限，以便您在金丝雀上应用或更改标签时，可以选择让 Synthetics 也将相同的标签或更改应用于金丝雀使用的 Lambda 函数。

CloudWatchApplicationSignalsReadOnlyAccess – 新策略

CloudWatch 创建了一项名为 CloudWatchApplicationSignalsReadOnlyAccess 的新策略。

此策略授予对 Application Signals 的 CloudWatch 控制台中可用资源和操作的只读访问权限。此策略的范围包括 application-signals: 策略，以使用户能够使用 CloudWatch 控制台中 Application Signals 下可用的只读操作和资源。它包含管理 IAM 角色的 iam: 策略。它包含管理日志查询和筛选器的一些 logs: 策略。它包含检索 CloudWatch 警报和指标相关信息的 cloudwatch: 策略。它包含检索 Synthetics Canary 相关信息的一些 synthetics: 策略。它包含管理 RUM 客户端和作业的 rum: 策略。它包含获取跟踪摘要的 xray: 策略。

CloudWatchApplicationSignalsFullAccess – 新策略

CloudWatch 创建了一项名为 CloudWatchApplicationSignalsFullAccess 的新策略。

此策略授予对 Application Signals 的 CloudWatch 控制台中可用资源和操作的完全访问权限。此策略的范围包括 application-signals:，以使用户能够使用 Application Signals 操作和资源。它包含检索 CloudWatch 警报和指标相关信息的一些 cloudwatch: 策略。它包含管理日志查询的一些 logs: 策略。它包含写入和读取 Synthetics Canary 相关信息的一些 synthetics: 策略。它包含管理 RUM 客户端和作业的 rum: 策略。它包含获取跟踪摘要的 xray: 策略。它包含管理 CloudWatch 警报的一些 cloudwatch: 策略。它包含管理 IAM 角色的一些 iam: 策略。它包含管理 Amazon Simple Notification Service 通知的一些 sns: 策略。

CloudWatchFullAccessV2：对现有策略的更新

CloudWatch 更新了名为 CloudWatchFullAccessV2 的策略。

CloudWatchFullAccessPermissions 策略的范围已更新为添加 application-signals:*，以便用户可以使用 CloudWatch Application Signals 来查看、调查和诊断其服务运行状况的问题。

CloudWatchReadOnlyAccess – 对现有策略的更新

CloudWatch 更新了名为 CloudWatchReadOnlyAccess 的策略。

CloudWatchReadOnlyAccessPermissions 策略的范围已更新为添加 application-signals:BatchGet*、application-signals:List* 和 application-signals:Get*，以便用户可以使用 CloudWatch Application Signals 来查看、调查和诊断其服务运行状况的问题。CloudWatchReadOnlyGetRolePermissions 的范围已更新为添加 iam:GetRole 操作，以便用户可以检查是否已设置 CloudWatch Application Signals。

CloudWatchApplicationSignalsServiceRolePolicy – 更新为现有策略

CloudWatch 更新了名为 CloudWatchApplicationSignalsServiceRolePolicy 的策略。

logs:StartQuery 和 logs:GetQueryResults 权限的范围已更改，添加 arn:aws:logs:*:*:log-group:/aws/appsignals/*:* 和 arn:aws:logs:*:*:log-group:/aws/application-signals/data:* ARN 以在更多架构上启用 Application Signals。

CloudWatchApplicationSignalsServiceRolePolicy – 更新为现有策略

CloudWatch 更改了 CloudWatchApplicationSignalsServiceRolePolicy 中权限的范围。

cloudwatch:GetMetricData 权限的范围已更改为 *，以使 Application Signals 可以从关联账户中的源检索指标。

CloudWatchAgentServerPolicy – 更新到现有策略

CloudWatch 已将权限添加到 CloudWatchAgentServerPolicy。

已添加 xray:PutTraceSegments、xray:PutTelemetryRecords、xray:GetSamplingRules、xray:GetSamplingTargets、xray:GetSamplingStatisticSummaries 和 logs:PutRetentionPolicy 权限，从而使 CloudWatch 代理可以发布 X-Ray 跟踪和修改日志组保留期。

CloudWatchAgentAdminPolicy – 更新到现有策略

CloudWatch 已将权限添加到 CloudWatchAgentAdminPolicy。

已添加 xray:PutTraceSegments、xray:PutTelemetryRecords、xray:GetSamplingRules、xray:GetSamplingTargets、xray:GetSamplingStatisticSummaries 和 logs:PutRetentionPolicy 权限，从而使 CloudWatch 代理可以发布 X-Ray 跟踪和修改日志组保留期。

CloudWatchFullAccessV2：对现有策略的更新

CloudWatch 添加了对 CloudWatchFullAccessV2 的权限。

添加了 CloudWatch Synthetics、X-Ray 和 CloudWatch RUM 操作的现有权限以及 CloudWatch Application Signals 的新权限，因此拥有此策略的用户可以管理 CloudWatch Application Signals。

添加了创建 CloudWatch Application Signals 服务相关角色的权限，以允许 CloudWatch Application Signals 发现日志、指标、跟踪和标签中的遥测数据。

CloudWatchReadOnlyAccess – 对现有策略的更新

CloudWatch 添加了对 CloudWatchReadOnlyAccess 的权限。

添加了 CloudWatch Synthetics、X-Ray 和 CloudWatch RUM 操作的现有只读权限以及 CloudWatch Application Signals 的新只读权限，因此拥有此策略的用户可以对 CloudWatch Application Signals 报告的服务运行状况问题进行分类和诊断。

添加了 cloudwatch:GenerateQuery 权限，以便拥有此策略的用户可以根据自然语言提示来生成 CloudWatch Metrics Insights 查询字符串。

CloudWatchReadOnlyAccess – 对现有策略的更新。

CloudWatch 已向 CloudWatchReadOnlyAccess 添加了权限。

添加了 cloudwatch:GenerateQuery 权限，以便拥有此策略的用户可以根据自然语言提示来生成 CloudWatch Metrics Insights 查询字符串。

2023 年 12 月 1 日

CloudWatchApplicationSignalsServiceRolePolicy – 新策略

CloudWatch 添加了一项新策略 CloudWatchApplicationSignalsServiceRolePolicy。

CloudWatchApplicationSignalsServiceRolePolicy 会授予一项即将推出的功能权限，用于收集 CloudWatch Logs 数据、X-Ray 跟踪数据、CloudWatch 指标数据和标记数据。

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy – 新策略

CloudWatch 添加了一个新策略 AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy。

AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy 授予 CloudWatch 代表您从数据库获取性能详情指标的权限。

CloudWatchReadOnlyAccess – 对现有策略的更新

CloudWatch 已向 CloudWatchReadOnlyAccess 添加了权限。

添加了 application-autoscaling:DescribeScalingPolicies 权限，以便拥有此策略的用户可以访问有关 Application Auto Scaling 策略的信息。

CloudWatchFullAccessV2 – 新策略

CloudWatch 添加了一项新策略 CloudWatchFullAccessV2。

CloudWatchFullAccessV2 授予对 CloudWatch 操作和资源的完全访问权限，同时可以更好地限定授予其他服务（例如 Amazon SNS 和 Amazon EC2 Auto Scaling）的权限。有关更多信息，请参阅 CloudWatchFullAccessV2。

AWSServiceRoleForInternetMonitor — 更新到现有政策

Amazon CloudWatch 网络监测仪添加了监控网络负载均衡器资源的新权限。

需要 elasticloadbalancing:DescribeLoadBalancers 和 ec2:DescribeNetworkInterfaces 权限，以便网络监测仪可以通过分析 NLB 资源的流日志来监测客户的网络负载均衡器流量。

有关更多信息，请参阅 使用 Internet Monitor。

CloudWatchReadOnlyAccess – 对现有策略的更新

CloudWatch 添加了对 CloudWatchReadOnlyAccess 的权限。

增加了 logs:StartLiveTail 和 logs:StopLiveTail 权限，以便使用此策略的用户可以使用控制台启动和停止 CloudWatch Logs Live Tail 会话。有关更多信息，请参阅 使用 Live Tail 近乎实时地查看日志。

CloudWatchCrossAccountSharingConfiguration – 新策略

CloudWatch 添加了新策略，助力您管理用于分享 CloudWatch 指标的 CloudWatch 跨账户可观测性链接。

有关更多信息，请参阅 CloudWatch 跨账户可观测性。

OAMFullAccess – 新策略

CloudWatch 添加了新策略，助力您全面管理 CloudWatch 跨账户可观测性链接和汇点。

有关更多信息，请参阅 CloudWatch 跨账户可观测性。

OAMReadOnlyAccess – 新策略

CloudWatch 添加了新策略，助力您查看关于 CloudWatch 跨账户可观测性链接和汇点的信息。

有关更多信息，请参阅 CloudWatch 跨账户可观测性。

CloudWatchFullAccess – 对现有策略的更新

CloudWatch 添加了对 CloudWatchFullAccess 的权限。

添加了 oam:ListSinks 和 oam:ListAttachedLinks 权限，以便使用此策略的用户可以借助控制台在 CloudWatch 跨账户可观察性中查看源账户共享的数据。

CloudWatchReadOnlyAccess – 对现有策略的更新

CloudWatch 添加了对 CloudWatchReadOnlyAccess 的权限。

添加了 oam:ListSinks 和 oam:ListAttachedLinks 权限，以便使用此策略的用户可以借助控制台在 CloudWatch 跨账户可观察性中查看源账户共享的数据。

AmazonCloudWatchRUMServiceRolePolicy – 对现有策略的更新

CloudWatch RUM 更新了 AmazonCloudWatchRUMServiceRolePolicy 中的一个条件键。

"Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/RUM" } } 条件键已进行如下更改，以便 CloudWatch RUM 可以将自定义指标发送到自定义指标命名空间。

"Condition": {
    "StringLike": {
		"cloudwatch:namespace": [
			"RUM/CustomMetrics/*",
			"AWS/RUM"
		]
	}
}
									
								

AmazonCloudWatchRUMReadOnlyAccess – 更新后的策略

CloudWatch 向 AmazonCloudWatchRUMReadOnlyAccess 策略添加了权限。

添加了 rum:ListRumMetricsDestinations 和 rum:BatchGetRumMetricsDefinitions 权限，这样 CloudWatch RUM 就可以向 CloudWatch 发送扩展指标。

AmazonCloudWatchRUMServiceRolePolicy – 对现有策略的更新

CloudWatch RUM 向 AmazonCloudWatchRUMServiceRolePolicy 添加了权限。

添加了 cloudwatch:PutMetricData 权限，这样 CloudWatch RUM 就可以向 CloudWatch 发送扩展指标。

CloudWatchSyntheticsFullAccess – 对现有策略的更新

CloudWatch Synthetics 添加了对 CloudWatchSyntheticsFullAccess 的权限。

添加了 lambda:DeleteFunction 和 lambda:DeleteLayerVersion 权限，以便 CloudWatch Synthetics 可在 Canary 时删除相关资源。添加了 iam:ListAttachedRolePolicies，以便客户可以查看附加到 Canary IAM 角色的策略。

AmazonCloudWatchRUMFullAccess – 新策略

CloudWatch 添加了一项启用对 CloudWatch RUM 的全面管理的新策略。

CloudWatch RUM 允许您对 Web 应用程序执行真实的用户监控。有关更多信息，请参阅 CloudWatch RUM。

AmazonCloudWatchRUMReadOnlyAccess – 新策略

CloudWatch 添加了一项启用对 CloudWatch RUM 的只读访问的新策略。

CloudWatch RUM 允许您对 Web 应用程序执行真实的用户监控。有关更多信息，请参阅 CloudWatch RUM。

AWSServiceRoleForCloudWatchRUM – 新的托管式策略

CloudWatch 添加了一项新的服务相关角色的策略，以允许 CloudWatch RUM 将监控数据发布给其他相关 AWS 服务。

CloudWatchSyntheticsFullAccess – 对现有策略的更新

CloudWatch Synthetics 向 CloudWatchSyntheticsFullAccess 添加了权限，还更改了一个权限的范围。

添加了 kms:ListAliases 权限，以便用户可以列出可用于加密 canary 构件的可用 AWS KMS 密钥。添加了 kms:DescribeKey 权限，以便用户可以查看将用于加密 canary 构件的密钥的详细信息。此外，还添加了 kms:Decrypt 权限，以便用户能够解密 canary 构件。此解密功能仅限用于 Amazon S3 存储桶中的资源。

s3:GetBucketLocation 权限的 Resource 范围从 * 更改为了 arn:aws:s3:::*。

CloudWatchSyntheticsFullAccess – 对现有策略的更新

CloudWatch Synthetics 添加了一个对 CloudWatchSyntheticsFullAccess 策略的权限。

lambda:UpdateFunctionCode 权限，以便使用此策略的用户可以更改 Canary 的运行时版本。

AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy – 新托管式策略

CloudWatch 添加了一个新的托管式 IAM 策略，以允许 CloudWatch 在 AWS Systems Manager Incident Manager 中创建事件。

CloudWatchAutomaticDashboardsAccess – 对现有策略的更新

CloudWatch 添加了一个对 CloudWatchAutomaticDashboardsAccess 托管式策略的权限。synthetics:DescribeCanariesLastRun 权限添加到此策略中，以使跨账户控制面板用户能够查看有关 CloudWatch Synthetics canary 运行的详细信息。

CloudWatch 开始跟踪更改

CloudWatch 开始跟踪其 AWS 托管式策略的更改。