CloudWatch 콘솔에 대한 액세스를 제한하려면 어떻게 해야 합니까?

간략한 설명

AWS 계정의 관리자인 경우 자격 증명 기반 정책을 사용하여 AWS Identity and Access Management(IAM) 엔터티(사용자, 그룹 또는 역할)에 권한을 연결할 수 있습니다. 이러한 자격 증명 기반 정책은 IAM 엔터티에 CloudWatch 리소스에 대한 작업을 수행하는 데 필요한 권한을 부여할 수 있습니다. 이렇게 하려면 다음을 수행합니다.

• IAM 콘솔을 사용하여 CloudWatch 리소스에 대한 사용자 지정 읽기 및 쓰기 정책 생성
• 정책을 IAM 사용자에 연결

해결 방법

CloudWatch 리소스에 대한 사용자 지정 정책 생성

참고: CloudWatch를 사용하는 데 필요한 모든 권한을 보려면 CloudWatch 콘솔을 사용하는 데 필요한 권한 단원을 참조하세요.

CloudWatch 리소스에 대한 사용자 지정 정책을 생성하려면 다음 단계를 따릅니다.

1.    IAM 콘솔을 엽니다.

2.    [정책]을 선택한 후 [정책 생성]을 선택합니다.

3.    [JSON]을 선택하고 다음 구조를 사용하여 사용자 지정 정책을 생성합니다.

{
  "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Description_1”, 
            "Effect": "Allow",
            "Action": [premissions required],
            "Resource": "*"
        },
        {
            "Sid": "Description_2”, 
            "Effect": "Allow",
            "Action": [premissions required],
            "Resource": "*"
        },
        .
        .
        .
        .
        {
            "Sid": "Description_n”, 
            "Effect": "Allow",
            "Action": [premissions required],
            "Resource": "*"
        }
    ]
}

참고: CloudWatch는 리소스 기반 정책을 지원하지 않습니다. 따라서 IAM 정책에서 사용할 수 있는 CloudWatch ARN은 없습니다. CloudWatch 작업에 대한 액세스를 제어하는 정책을 작성할 때 리소스로 “*”를 사용할 수 있습니다.

4.    필요한 경우 정책에 태그를 추가합니다.

5.    정책 검토를 선택하고 정책의 이름과 설명을 입력합니다. 예를 들어 CWPermissions입니다.

6.    [정책 생성]을 선택합니다.

사용자 지정 정책을 IAM 사용자에 연결

생성한 사용자 지정 정책을 IAM 사용자에 연결하려면 다음 단계를 따릅니다.

1.    IAM 콘솔을 엽니다.

2.    탐색 창에서 [사용자]를 선택합니다.

3.    사용 권한을 추가하려는 사용자를 선택한 다음 [권한 추가]를 선택합니다.

4.    [기존 정책 직접 연결]을 선택한 다음 생성한 사용자 지정 CloudWatch 정책을 선택합니다.

5.    [다음: 검토]를 선택한 후 [권한 추가]를 선택합니다.

다음 예시 정책은 사용자가 CloudWatch에서 알림을 생성하고 시각화할 수 있도록 허용합니다.

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAlarms",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm",
                "cloudwatch:DescribeAlarmHistory",
                "cloudwatch:EnableAlarmActions",
                "cloudwatch:DeleteAlarms",
                "cloudwatch:DisableAlarmActions",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:SetAlarmState"
            ],
            "Resource": "*"
        },
        {
            "Sid": "visualizeAlarms",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:ListMetrics"
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        }
    ]
}

참고:

• 조건 키를 사용하여 CloudWatch 네임스페이스에 대한 액세스를 제한할 수 있습니다. 자세한 내용은 조건 키를 사용하여 CloudWatch 네임스페이스에 대한 액세스 제한 단원을 참조하세요.
• 사용자가 CloudWatch 지표를 가져오지 못하도록 제한하려면 GetMetricData를 PutMetricData로 바꿉니다.

---

관련 정보

CloudWatch에 대한 자격 증명 기반 정책(IAM 정책) 사용