Amazon CloudWatch 权限参考
在设置 访问控制 和编写可附加到 IAM 身份的权限策略（基于身份的策略）时，可以使用下表作为参考。此表列出每个 CloudWatch API 操作及您可授予执行该操作的权限的对应操作。可在策略的
Action 字段中指定操作，在策略的 Resource 字段中指定通配符 (*) 作为资源值。
您可以在 CloudWatch 策略中使用 AWS 范围的条件键来表达条件。有关 AWS 范围内的键的完整列表，请参阅 IAM 用户指南 中的 AWS 全局和 IAM 条件上下文键。
注意
要指定操作，请在 API 操作名称之前使用 cloudwatch: 前缀。例如：cloudwatch:GetMetricStatistics、cloudwatch:ListMetrics 或 cloudwatch:*（针对所有 CloudWatch 操作）。
表
CloudWatch API 操作和必需的操作权限
| CloudWatch API 操作 | 所需权限（API 操作） |
|---|---|
|
要求删除警报。 |
|
|
删除控制面板所必需。 |
|
|
要求查看警报历史记录。 |
|
|
要求按名称检索警报信息。 |
|
|
要求查看指标的警报。 |
|
|
要求禁用警报操作。 |
|
|
要求启用警报操作。 |
|
|
若要显示有关现有控制面板的数据，则是必需的。 |
|
|
是检索大量指标数据以及对该数据执行指标数学运算所必需的。 |
|
|
在 CloudWatch 控制台的其他部分和控制面板小部件中查看图表所必需的。 |
|
|
查看您的账户中 CloudWatch 控制面板的列表所必需的。 |
|
|
要求在 CloudWatch 控制台和 CLI 中查看或搜索指标名称。要求在控制面板小部件上选择指标。 |
|
|
创建控制面板或更新现有控制面板所必需。 |
|
|
要求创建或更新警报。 |
|
|
若要创建指标，则是必需的。 |
|
|
要求手动设置警报的状态。 |
CloudWatch Events API 操作和必需的操作权限
| CloudWatch Events API 操作 | 所需权限（API 操作） |
|---|---|
|
删除规则所必需的。 |
|
|
列出有关规则的详细信息所必需的。 |
|
|
禁用规则所必需的。 |
|
|
启用规则所必需的。 |
|
|
列出与目标关联的规则所必需的。 |
|
|
列出您账户中的所有规则所必需的。 |
|
|
列出与规则关联的所有目标所必需的。 |
|
|
添加可匹配到规则的自定义活动所必需的。 |
|
|
创建或更新规则所必需的。 |
|
|
将目标添加到规则所必需的。 |
|
|
从规则中删除目标所必需的。 |
|
|
针对给定事件测试事件模式所必需的。 |
CloudWatch Logs API 操作和必需的操作权限
| CloudWatch Logs API 操作 | 所需权限（API 操作） |
|---|---|
|
要求取消待处理或正在运行的导出任务。 |
|
|
要求将数据从日志组导出到 Amazon S3 存储桶。 |
|
|
要求创建新的日志组。 |
|
|
要求在日志组中创建新的日志流。 |
|
|
要求删除日志目标并对其禁用所有订阅筛选器。 |
|
|
要求删除日志组和所有关联的存档日志事件。 |
|
|
要求删除日志流和所有关联的存档日志事件。 |
|
|
要求删除与日志组关联的指标筛选器。 |
|
|
要求删除日志组的保留策略。 |
|
|
要求删除与日志组关联的订阅筛选器。 |
|
|
要求查看与账户关联的所有目标。 |
|
|
要求查看与账户关联的所有导出任务。 |
|
|
要求查看与账户关联的所有日志组。 |
|
|
要求查看与日志组关联的所有日志流。 |
|
|
要求查看与日志组关联的所有指标。 |
|
|
要求查看与日志组关联的所有订阅筛选器。 |
|
|
要求按照日志组筛选器模式对日志事件进行排序。 |
|
|
要求从日志流中检索日志事件。 |
|
|
要求列出与日志组关联的标签。 |
|
|
创建或更新目标日志流（例如，Kinesis 流）时需要。 |
|
|
要求创建或更新与现有日志目标关联的访问策略。 |
|
|
要求将一批日志事件上传到日志流。 |
|
|
要求创建或更新指标筛选器并将其与日志组关联。 |
|
|
要求设置日志组中的日志事件的保存 (保留) 天数。 |
|
|
要求创建或更新订阅筛选器并将其与日志组关联。 |
|
|
要求针对日志事件消息采样测试筛选器模式。 |