我只需要向某人提供对我们的CloudWatch计费指标的只读AWS CLI访问权限。我不确定如何执行此操作,因为CloudWatch没有任何可以控制访问的特定资源。这意味着在IAM策略中没有要指定的ARN,因此,该策略中的任何资源指定均为“*”。可以在here中找到有关CloudWatch ARN限制的更多信息。我研究了使用namespaces的方法,但我相信“aws-portal”命名空间适用于控制台。任何方向或想法都将不胜感激。

根据当前CloudWatch ARN的限制,IAM策略将类似于以下内容。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "cloudwatch:DescribeMetricData",
        "cloudwatch:GetMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

最佳答案

如您所说,您将无法在CloudWatch中实现这一目标。根据docs:

CloudWatch没有任何特定资源供您控制对...的访问。例如,您不能授予用户仅针对一组特定EC2实例或特定负载均衡器的CloudWatch数据的访问权限。使用IAM授予的权限涵盖您在CloudWatch中使用或监视的所有云资源。

另一种选择是:

  • 在lambda函数上使用Scheduled events定期将相关的计费指标从Cloudwatch导出到S3存储桶。例如,使用Python SDK,lambda可能看起来像这样:
    import boto3
    from datetime import datetime, timedelta
    def lambda_handler(event, context):
        try:
            bucket_name = "so-billing-metrics"
            filename = '-'.join(['billing', datetime.now().strftime("%Y-%m-%d-%H")])
            region_name = "us-east-1"
            dimensions = {'Name': 'Currency', 'Value':'USD'}
            metric_name = 'EstimatedCharges'
            namespace = 'AWS/Billing'
            start_time = datetime.now() - timedelta(hours = 1)
            end_time = datetime.now()
    
            # Create CloudWatch client
            cloudwatch = boto3.client('cloudwatch', region_name=region_name)
    
            # Get billing metrics for the last hour
            metrics = cloudwatch.get_metric_statistics(
                Dimensions=[dimensions],
                MetricName=metric_name,
                Namespace=namespace,
                StartTime=start_time,
                EndTime=end_time,
                Period=60,
                Statistics=['Sum'])
    
            # Save data to temp file
            with open('/tmp/billingmetrics', 'wb') as f:
                # Write header and data
                f.write("Timestamp, Cost")
                for entry in metrics['Datapoints']:
                    f.write(",".join([entry['Timestamp'].strftime('%Y-%m-%d %H:%M:%S'), str(entry['Sum']), entry['Unit']]))
    
            # Upload temp file to S3
            s3 = boto3.client('s3')
            with open('/tmp/billingmetrics', 'rb') as data:
                s3.upload_fileobj(data, bucket_name, filename)
    
        except Exception as e:
            print str(e)
            return 0
        return 1
    

    注意:您将需要确保Lambda函数具有写入S3和从cloudwatch读取的相关权限。
  • 限制IAM用户/角色以只读方式访问S3存储桶。
  • 关于amazon-web-services - 只读AWS CLI访问严格的CloudWatch计费指标,我们在Stack Overflow上找到一个类似的问题:https://stackoverflow.com/questions/51385136/

    10-12 20:03