要与 CloudWatch 监控脚本一起使用的 IAM 角色的哪些权限/策略

Question

使用 CloudWatch 监控脚本 (mon-put-instance-data.pl)，可以指定 IAM 角色名称以提供 AWS 凭证 (--aws-iam-role=VALUE)。

我为此目的创建了一个 IAM 角色（在 AWS 实例上运行 mon-put-instance-data.pl），但是我应该为这个角色提供哪些权限/策略？

感谢您的帮助

Answer 1

适用于 Linux的Amazon CloudWatch 监控脚本由两个 Perl 脚本组成，它们都使用一个 Perl 模块 - 对源代码的简短查看会显示正在使用的以下 AWS API 操作：

• CloudWatchClient.pm-描述标签
• mon-get-instance-stats.pl- GetMetricStatistics , ListMetrics
• mon-put-instance-data.pl- PutMetricData

有了这些信息，您可以组合您的IAM 策略，例如通过AWS 策略生成器- 一个包罗万象的策略是：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:ListMetrics",
        "cloudwatch:PutMetricData",
        "ec2:DescribeTags"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

当然，您可以cloudwatch:GetMetricStatistics cloudwatch:ListMetrics在使用时删除mon-put-instance-data.pl- 请注意，我还没有实际测试过代码。