AWS IAM 用户对 cloudwatch 特定区域的权限

Question

这就是我想要的。我有一个 IAM 用户，我想为其授予对 us-east-1 的只读访问权限，并且该用户也只能读取特定 ec2 实例的指标。我有 3 个实例在 us-east-1 中运行，但我希望该用户只能访问 1 个 ec2 服务器的指标。

我已经写了如下的政策。这可以访问所有地区的所有指标。我尝试将 instanceid 放在下面的代码中，但没有成功。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*"
                   ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

我不明白我在这里缺少什么。

Answer 1

简而言之，根据 Cloudwatch 文档，这是不可能的：

您不能使用 IAM 来控制对特定用户的 CloudWatch 数据的访问 资源。例如，您不能授予用户对 CloudWatch 的访问权限 仅针对一组特定实例或特定 LoadBalancer 的数据。 使用 IAM 授予的权限涵盖您使用的所有云资源 使用 CloudWatch。

http://docs.aws.amazon.com/AmazonCloudWatch/latest/DeveloperGuide/UsingIAM.html