# Amazon CloudWatch의 Identity and Access Management
AWS Identity and Access Management(IAM)는 관리자가 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있도록 지원하는 AWS 서비스입니다. IAM 관리자는 CloudWatch 리소스를 사용하도록 **인증(로그인) 및 **권한(권한 있음)을 받을 수 있는 사용자를 제어합니다. IAM은 추가 비용 없이 사용할 수 있는 AWS 서비스입니다.
**Topics**
+ [고객](#security_iam_audience)
+ [ID를 통한 인증](#security_iam_authentication)
+ [정책을 사용하여 액세스 관리](#security_iam_access-manage)
+ [Amazon CloudWatch와 함께 IAM을 사용하는 방법](security_iam_service-with-iam.md)
+ [Amazon CloudWatch에 대한 자격 증명 기반 정책 예시](security_iam_id-based-policy-examples.md)
+ [Amazon CloudWatch 자격 증명 및 액세스 문제 해결](security_iam_troubleshoot.md)
+ [CloudWatch 대시보드 권한 업데이트](dashboard-permissions-update.md)
+ [CloudWatch에 대한 AWS 관리형(미리 정의된) 정책](managed-policies-cloudwatch.md)
+ [고객 관리형 정책 예제](customer-managed-policies-cw.md)
+ [조건 키를 사용하여 CloudWatch에 대한 액세스 제한](reference_policies_condition-keys.md)
+ [CloudWatch에 서비스 연결 역할 사용](using-service-linked-roles.md)
+ [CloudWatch RUM에 서비스 연결 역할 사용](using-service-linked-roles-RUM.md)
+ [CloudWatch Application Insights에 서비스 연결 역할 사용](CHAP_using-service-linked-roles-appinsights.md)
+ [Amazon CloudWatch Application Insights에 대한 AWS 관리형 정책](security-iam-awsmanpol-appinsights.md)
+ [Amazon CloudWatch 권한 참조](permissions-reference-cw.md)
## 고객
AWS Identity and Access Management(IAM)를 사용하는 방법은 역할에 따라 다릅니다.
+ **서비스 사용자** - 기능에 액세스할 수 없는 경우 관리자에게 권한 요청(참조[Amazon CloudWatch 자격 증명 및 액세스 문제 해결](security_iam_troubleshoot.md))
+ **서비스 관리자** - 사용자 액세스 결정 및 권한 요청 제출([Amazon CloudWatch와 함께 IAM을 사용하는 방법](security_iam_service-with-iam.md) 참조)
+ **IAM 관리자** - 액세스를 관리하기 위한 정책 작성([Amazon CloudWatch에 대한 자격 증명 기반 정책 예시](security_iam_id-based-policy-examples.md) 참조)
## ID를 통한 인증
인증은 ID 자격 증명을 사용하여 AWS에 로그인하는 방식입니다. AWS 계정 루트 사용자이나 IAM 사용자로, 또는 IAM 역할을 수임하여 인증(에 로그인)받아야 합니다.
AWS IAM Identity Center(IAM Identity Center), Single Sign-On 인증 또는 Google/Facebook 자격 증명과 같은 자격 증명 소스의 자격 증명을 사용하여 페더레이션 ID로 로그인할 수 있습니다. 로그인하는 방법에 대한 자세한 내용은 *AWS Sign-In사용 설명서*의 [AWS 계정에 로그인하는 방법](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) 섹션을 참조하세요.
프로그래밍 방식 액세스를 위해 AWS는 요청에 암호화 방식으로 서명할 수 있는 SDK 및 CLI를 제공합니다. 자세한 내용은 *IAM 사용 설명서*의 [API 요청용 AWS Signature Version 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) 섹션을 참조하세요.
### AWS 계정 루트 사용자
AWS 계정을 생성하는 경우에는 모든 AWS 서비스 서비스와 리소스에 대한 완전한 액세스 권한이 있는 AWS 계정 *루트 사용자*라는 단일 로그인 ID로 시작합니다. 일상적인 태스크에 루트 사용자를 사용하지 않을 것을 강력히 권장합니다. 루트 사용자 자격 증명이 필요한 작업은 *IAM 사용 설명서*의 [루트 사용자 자격 증명이 필요한 작업](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) 섹션을 참조하세요.
### 페더레이션 ID
가장 좋은 방법은 인간 사용자가 ID 공급자와의 페더레이션을 사용하여 임시 자격 증명으로 AWS 서비스에 액세스하도록 하는 것입니다.
*페더레이션 ID*는 엔터프라이즈 사용자 디렉터리, 웹 ID 제공업체 또는 Directory Service의 사용자로, ID의 자격 증명을 사용하여 AWS 서비스에 액세스합니다. 페더레이션 ID는 임시 자격 증명을 제공하는 역할을 수임합니다.
중앙 집중식 액세스 관리를 위해 AWS IAM Identity Center를 추천합니다. 자세한 정보는 *AWS IAM Identity Center사용 설명서*의 [What is IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)를 참조하세요.
### IAM 사용자 및 그룹
*[IAM 사용자](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*는 단일 개인 또는 애플리케이션에 대한 특정 권한을 가진 ID입니다. 장기 자격 증명이 있는 IAM 사용자 대신 임시 자격 증명을 사용하는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*에서 [임시 자격 증명을 사용하여 AWS에 액세스하려면 인간 사용자가 ID 제공업체와의 페더레이션을 사용하도록 요구](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)를 참조하세요.
[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)은 IAM 사용자 모음을 지정하고 대규모 사용자 집합에 대한 관리 권한을 더 쉽게 만듭니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM 사용자 사용 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) 섹션을 참조하세요.
### IAM 역할
*[IAM 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*은 임시 자격 증명을 제공하는 특정 권한이 있는 자격 증명입니다. [사용자에서 IAM 역할(콘솔)로 전환](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)하거나 AWS CLI 또는 AWS API 작업을 직접적으로 호출하여 역할을 수임할 수 있습니다. 자세한 내용은 *IAM 사용 설명서*의 [역할 수임 방법](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)을 참조하세요.
IAM 역할은 페더레이션 사용자 액세스, 임시 IAM 사용자 권한, 교차 계정 액세스, 교차 서비스 액세스 및 Amazon EC2에서 실행되는 애플리케이션에 유용합니다. 자세한 내용은 *IAM 사용 설명서*의 [교차 계정 리소스 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)를 참조하세요.
## 정책을 사용하여 액세스 관리
정책을 생성하고 AWS ID 또는 리소스에 연결하여 AWS에서 내 액세스를 제어합니다. 정책은 자격 증명이나 리소스와 연결될 때 해당 권한을 정의합니다. AWS는 보안 주체가 요청을 보낼 때 이러한 정책을 평가합니다. 대부분의 정책은 AWS에 JSON 문서로 저장됩니다. JSON 정책 문서에 대한 자세한 내용은 *IAM 사용 설명서*의 [JSON 정책 개요](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) 섹션을 참조하세요.
정책을 사용하여 관리자는 어떤 **보안 주체**가 어떤 **리소스**에 대해 어떤 **조건**에서 **작업**을 수행할 수 있는지 정의하여 누가 무엇을 액세스할 수 있는지 지정합니다.
기본적으로 사용자 및 역할에는 어떠한 권한도 없습니다. IAM 관리자는 IAM 정책을 생성하고 사용자가 수임할 수 있는 역할에 추가합니다. IAM 정책은 작업을 수행하기 위해 사용하는 방법과 관계없이 작업에 대한 권한을 정의합니다.
### ID 기반 정책
ID 기반 정책은 ID(사용자, 사용자 그룹 또는 역할)에 연결하는 JSON 권한 정책 문서입니다. 이러한 정책은 자격 증명이 수행할 수 있는 작업, 대상 리소스 및 이에 관한 조건을 제어합니다. ID 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*에서 [고객 관리형 정책으로 사용자 지정 IAM 권한 정의](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)를 참조하세요.
ID 기반 정책은 *인라인 정책*(단일 ID에 직접 포함) 또는 *관리형 정책*(여러 ID에 연결된 독립 실행형 정책)일 수 있습니다. 관리형 정책 또는 인라인 정책을 선택하는 방법을 알아보려면 *IAM 사용 설명서*의 [관리형 정책 및 인라인 정책 중에서 선택](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) 섹션을 참조하세요.
### 리소스 기반 정책
리소스 기반 정책은 리소스에 연결하는 JSON 정책 설명서입니다. 예를 들어 IAM *역할 신뢰 정책* 및 Amazon S3 *버킷 정책*이 있습니다. 리소스 기반 정책을 지원하는 서비스에서 서비스 관리자는 이러한 정책을 사용하여 특정 리소스에 대한 액세스를 통제할 수 있습니다. 리소스 기반 정책에서 [보안 주체를 지정](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)해야 합니다.
리소스 기반 정책은 해당 서비스에 있는 인라인 정책입니다. 리소스 기반 정책에서는 IAM의 AWS관리형 정책을 사용할 수 없습니다.
### 기타 정책 유형
AWS는 이러한 정책 타입이 부여하는 최대 권한을 설정할 수 있는 추가 정책 타입을 지지합니다.
+ **권한 경계** - ID 기반 정책에서 IAM 엔터티에 부여할 수 있는 최대 권한을 설정합니다. 자세한 정보는 *IAM 사용 설명서*의 [IAM 엔터티의 권한 범위](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)를 참조하세요.
+ **서비스 제어 정책(SCP)** - AWS Organizations내 조직 또는 조직 단위에 대한 최대 권한을 지정합니다. 자세한 내용은 AWS Organizations사용 설명서의 [서비스 제어 정책](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)을 참조하세요.**
+ **리소스 제어 정책(RCP)** – 계정의 리소스에 사용할 수 있는 최대 권한을 설정합니다. 자세한 내용은 *AWS Organizations사용 설명서*의 [리소스 제어 정책(RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)을 참조하세요.
+ **세션 정책** – 역할 또는 페더레이션 사용자에 대해 임시 세션을 프로그래밍 방식으로 생성할 때 파라미터로 전달하는 고급 정책입니다. 자세한 내용은 *IAM 사용 설명서*의 [세션 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)을 참조하세요.
### 여러 정책 유형
여러 정책 유형이 요청에 적용되는 경우, 결과 권한은 이해하기가 더 복잡합니다. 여러 정책 유형이 관련될 때 AWS가 요청을 허용할지 여부를 결정하는 방법을 알아보려면 *IAM 사용 설명서*의 [정책 평가 로직](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)을 참조하세요.
# Amazon CloudWatch와 함께 IAM을 사용하는 방법
IAM을 사용하여 CloudWatch에 대한 액세스를 관리하기 전에 CloudWatch와 함께 사용할 수 있는 IAM 기능을 알아봅니다.
다음 표에 Amazon CloudWatch에서 사용할 수 있는 IAM 기능이 나와 있습니다.
| IAM 특성 | CloudWatch 지원 |
| --- | --- |
| [자격 증명 기반 정책](#security_iam_service-with-iam-id-based-policies-cw) | 예 |
| [리소스 기반 정책](#security_iam_service-with-iam-resource-based-policies-cw) | 아니요 |
| [정책 작업](#security_iam_service-with-iam-id-based-policies-actions-cw) | 예 |
| [정책 리소스](#security_iam_service-with-iam-id-based-policies-resources-cw) | 예 |
| [정책 조건 키(서비스별)](#security_iam_service-with-iam-id-based-policies-conditionkeys-cw) | 예 |
| [ACL](#security_iam_service-with-iam-acls-cw) | 아니요 |
| [ABAC(정책 내 태그)](#security_iam_service-with-iam-tags-cw) | 부분적 |
| [임시 자격 증명](#security_iam_service-with-iam-roles-tempcreds-cw) | 예 |
| [엔터티 권한](#security_iam_service-with-iam-principal-permissions-cw) | 예 |
| [서비스 역할](#security_iam_service-with-iam-roles-service-cw) | 예 |
| [서비스 연결 역할](security_iam_service-with-iam-cwim.md#security_iam_service-with-iam-roles-service-linked) | 아니요 |
CloudWatch 및 기타 AWS 서비스에서 대부분의 IAM 기능을 사용하는 방법을 전체적으로 알아보려면 **IAM 사용 설명서에서 [AWS IAM으로 작업하는 서비스](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)를 참조하세요.
## CloudWatch에 대한 자격 증명 기반 정책
**ID 기반 정책 지원:** 예
ID 기반 정책은 IAM 사용자, 사용자 그룹 또는 역할과 같은 ID에 연결할 수 있는 JSON 권한 정책 문서입니다. 이러한 정책은 사용자 및 역할이 어떤 리소스와 어떤 조건에서 어떤 작업을 수행할 수 있는지를 제어합니다. 자격 증명 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*에서 [고객 관리형 정책으로 사용자 지정 IAM 권한 정의](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)를 참조하세요.
IAM ID 기반 정책을 사용하면 허용되거나 거부되는 작업과 리소스뿐 아니라 작업이 허용되거나 거부되는 조건을 지정할 수 있습니다. JSON 정책에서 사용할 수 있는 모든 요소에 대해 알아보려면 *IAM 사용 설명서*의 [IAM JSON 정책 요소 참조](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)를 참조하세요.
### CloudWatch에 대한 자격 증명 기반 정책 예시
CloudWatch 자격 증명 기반 정책 예시를 보려면 [Amazon CloudWatch에 대한 자격 증명 기반 정책 예시](security_iam_id-based-policy-examples.md) 섹션을 참조하세요.
## CloudWatch 내 리소스 기반 정책
**리소스 기반 정책 지원:** 아니요
리소스 기반 정책은 리소스에 연결하는 JSON 정책 설명서입니다. 리소스 기반 정책의 예제는 IAM *역할 신뢰 정책*과 Amazon S3 *버킷 정책*입니다. 리소스 기반 정책을 지원하는 서비스에서 서비스 관리자는 이러한 정책을 사용하여 특정 리소스에 대한 액세스를 통제할 수 있습니다. 정책이 연결된 리소스의 경우 정책은 지정된 보안 주체가 해당 리소스와 어떤 조건에서 어떤 작업을 수행할 수 있는지를 정의합니다. 리소스 기반 정책에서 [보안 주체를 지정](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)해야 합니다. 위탁자에는 계정, 사용자, 역할, 페더레이션 사용자 또는 AWS 서비스가 포함될 수 있습니다.
교차 계정 액세스를 활성화하려는 경우, 전체 계정이나 다른 계정의 IAM 개체를 리소스 기반 정책의 보안 주체로 지정할 수 있습니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM에서 교차 계정 리소스 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)를 참조하세요.
## CloudWatch 정책 작업
**정책 작업 지원:** 예
관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지를 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다.
JSON 정책의 `Action`요소는 정책에서 액세스를 허용하거나 거부하는 데 사용할 수 있는 작업을 설명합니다. 연결된 작업을 수행할 수 있는 권한을 부여하기 위한 정책에 작업을 포함하세요.
CloudWatch 작업 목록을 보려면 **서비스 승인 참조에서 [Amazon CloudWatch에서 정의한 작업](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)을 참조하세요.
CloudWatch의 정책 작업은 작업 앞에 다음 접두사를 사용합니다.
```
cloudwatch
```
단일 문에서 여러 작업을 지정하려면 쉼표로 구분합니다.
```
"Action": [
"cloudwatch:action1",
"cloudwatch:action2"
]
```
CloudWatch 자격 증명 기반 정책 예시를 보려면 [Amazon CloudWatch에 대한 자격 증명 기반 정책 예시](security_iam_id-based-policy-examples.md) 섹션을 참조하세요.
## CloudWatch 정책 리소스
**정책 리소스 지원:** 예
관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지를 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다.
`Resource` JSON 정책 요소는 작업이 적용되는 하나 이상의 객체를 지정합니다. 모범 사례에 따라 [Amazon 리소스 이름(ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)을 사용하여 리소스를 지정합니다. 리소스 수준 권한을 지원하지 않는 작업의 경우, 와일드카드(\$1)를 사용하여 해당 문이 모든 리소스에 적용됨을 나타냅니다.
```
"Resource": "*"
```
CloudWatch 리소스 유형 및 해당 ARN 목록을 보려면 **서비스 승인 참조에서 [Amazon CloudWatch에서 정의한 리소스](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-resources-for-iam-policies)를 참조하세요. 각 리소스의 ARN을 지정할 수 있는 작업을 알아보려면 [Amazon CloudWatch에서 정의한 작업](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)을 참조하세요.
CloudWatch 자격 증명 기반 정책 예시를 보려면 [Amazon CloudWatch에 대한 자격 증명 기반 정책 예시](security_iam_id-based-policy-examples.md) 섹션을 참조하세요.
## CloudWatch 정책 조건 키
**서비스별 정책 조건 키 지원:** 예
관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지를 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다.
`Condition` 요소는 정의된 기준에 따라 문이 실행되는 시기를 지정합니다. 같음(equals) 또는 미만(less than)과 같은 [조건 연산자](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)를 사용하여 정책의 조건을 요청의 값과 일치시키는 조건식을 생성할 수 있습니다. 모든 AWS 전역 조건 키를 보려면 *IAM 사용자 설명서*의 [AWS 전역 조건 컨텍스트 키](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)를 참조하세요.
CloudWatch 조건 키 목록을 보려면 **서비스 승인 참조의 [Amazon CloudWatch에 사용되는 조건 키](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-policy-keys)를 참조하세요. 조건 키를 사용할 수 있는 작업과 리소스를 알아보려면 [Amazon CloudWatch에서 정의한 작업](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions)을 참조하세요.
CloudWatch 자격 증명 기반 정책 예시를 보려면 [Amazon CloudWatch에 대한 자격 증명 기반 정책 예시](security_iam_id-based-policy-examples.md) 섹션을 참조하세요.
## CloudWatch의 ACL
**ACL 지원:** 아니요
액세스 제어 목록(ACL)은 어떤 보안 주체(계정 멤버, 사용자 또는 역할)가 리소스에 액세스할 수 있는 권한을 가지고 있는지를 제어합니다. ACL은 JSON 정책 문서 형식을 사용하지 않지만 리소스 기반 정책과 유사합니다.
## CloudWatch를 사용한 ABAC
**ABAC 지원(정책의 태그):** 부분적
속성 기반 액세스 제어(ABAC)는 태그라고 불리는 속성을 기반으로 권한을 정의하는 권한 부여 전략입니다. IAM 엔터티 및 AWS 리소스에 태그를 연결하면 보안 주체의 태그가 리소스 태그와 일치할 때 작업을 허용하도록 ABAC 정책을 설계할 수 있습니다.
태그에 근거하여 액세스를 제어하려면 `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`또는 `aws:TagKeys`조건 키를 사용하여 정책의 [조건 요소](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)에 태그 정보를 제공합니다.
서비스가 모든 리소스 유형에 대해 세 가지 조건 키를 모두 지원하는 경우, 값은 서비스에 대해 **예**입니다. 서비스가 일부 리소스 유형에 대해서만 세 가지 조건 키를 모두 지원하는 경우, 값은 **부분적**입니다.
ABAC에 대한 자세한 내용은 *IAM 사용 설명서*의 [ABAC 권한 부여를 통한 권한 정의](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)를 참조하세요. ABAC 설정 단계가 포함된 자습서를 보려면 *IAM 사용 설명서*의 [속성 기반 액세스 제어(ABAC) 사용](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)을 참조하세요.
## CloudWatch에서 임시 보안 인증 정보 사용
**임시 자격 증명 지원:** 예
임시 자격 증명은 AWS리소스에 대한 단기 액세스를 제공하며 페더레이션 또는 전환 역할을 사용할 때 자동으로 생성됩니다. AWS에서는 장기 액세스 키를 사용하는 대신 임시 자격 증명을 동적으로 생성할 것을 권장합니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM의 임시 보안 자격 증명](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) 및 [IAM으로 작업하는 AWS 서비스](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) 섹션을 참조하세요.
## CloudWatch의 서비스 간 보안 주체 권한
**전달 액세스 세션(FAS) 지원:** 예
전달 액세스 세션(FAS)은 AWS 서비스를 직접 호출하는 보안 주체의 권한과 요청하는 AWS 서비스를 함께 사용하여 다운스트림 서비스에 대한 요청을 수행합니다. FAS 요청 시 정책 세부 정보는 [전달 액세스 세션](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)을 참조하세요.
## CloudWatch에 대한 서비스 역할
**서비스 역할 지원:** 예
서비스 역할은 서비스가 사용자를 대신하여 작업을 수행하는 것으로 가정하는 [IAM 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)입니다. IAM 관리자는 IAM 내에서 서비스 역할을 생성, 수정 및 삭제할 수 있습니다. 자세한 정보는 *IAM 사용 설명서*의 [AWS 서비스에 대한 권한을 위임할 역할 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)을 참조하세요.
**주의**
서비스 역할에 대한 권한을 변경하면 CloudWatch 기능이 중단될 수 있습니다. CloudWatch에서 관련 지침을 제공하는 경우에만 서비스 역할을 편집하세요.
# Amazon CloudWatch에 대한 자격 증명 기반 정책 예시
기본적으로 사용자 및 역할에는 CloudWatch 리소스를 생성하거나 수정할 수 있는 권한이 없습니다. 사용자에게 사용자가 필요한 리소스에서 작업을 수행할 권한을 부여하려면 IAM 관리자가 IAM 정책을 생성하면 됩니다.
이러한 예제 JSON 정책 문서를 사용하여 IAM ID 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*의 [IAM 정책 생성(콘솔)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)을 참조하세요.
각 리소스 유형에 대한 ARN 형식을 포함하여 CloudWatch에서 정의한 작업 및 리소스 유형에 대한 자세한 내용은 **서비스 승인 참조의 [Amazon CloudWatch에 사용되는 작업, 리소스 및 조건 키](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html)를 참조하세요.
**Topics**
+ [정책 모범 사례](#security_iam_service-with-iam-policy-best-practices)
+ [CloudWatch 콘솔 사용](#security_iam_id-based-policy-examples-console)
## 정책 모범 사례
자격 증명 기반 정책에 따라 계정에서 사용자가 CloudWatch 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요.
+ **AWS 관리형 정책으로 시작하고 최소 권한을 향해 나아가기** - 사용자 및 워크로드에 권한 부여를 시작하려면 많은 일반 사용 사례에 대한 권한을 부여하는 *AWS관리형 정책*을 사용합니다. AWS 계정에서 사용할 수 있습니다. 사용 사례에 고유한 AWS고객 관리형 정책을 정의하여 권한을 줄이는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) 또는 [AWS직무에 대한 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)을 참조하세요.
+ **최소 권한 적용** – IAM 정책을 사용하여 권한을 설정하는 경우, 작업을 수행하는 데 필요한 권한만 부여합니다. 이렇게 하려면 *최소 권한*으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. IAM을 사용하여 권한을 적용하는 방법에 대한 자세한 정보는 *IAM 사용 설명서*에 있는 [IAM의 정책 및 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)을 참조하세요.
+ **IAM 정책의 조건을 사용하여 액세스 추가 제한** – 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어, SSL을 사용하여 모든 요청을 전송해야 한다고 지정하는 정책 조건을 작성할 수 있습니다. CloudFormation와 같이, 특정 AWS 서비스를 통해 사용되는 경우에만 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다. 자세한 내용은 *IAM 사용자 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요.
+ **IAM Access Analyzer를 통해 IAM 정책을 확인하여 안전하고 기능적인 권한 보장** - IAM Access Analyzer에서는 IAM 정책 언어(JSON)와 모범 사례가 정책에서 준수되도록 새로운 및 기존 정책을 확인합니다. IAM Access Analyzer는 100개 이상의 정책 확인 항목과 실행 가능한 추천을 제공하여 안전하고 기능적인 정책을 작성하도록 돕습니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM Access Analyzer에서 정책 검증](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)을 참조하세요.
+ **다중 인증(MFA) 필요** – AWS 계정에 IAM 사용자 또는 루트 사용자가 필요한 시나리오가 있는 경우, 추가 보안을 위해 MFA를 설정합니다. API 작업을 직접적으로 호출할 때 MFA가 필요하면 정책에 MFA 조건을 추가합니다. 자세한 내용은 *IAM 사용 설명서*의 [MFA를 통한 보안 API 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)를 참조하세요.
IAM의 모범 사례에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
## CloudWatch 콘솔 사용
Amazon CloudWatch 콘솔에 액세스하려면 최소한의 권한 세트가 있어야 합니다. 이러한 권한은 AWS 계정에서 CloudWatch 리소스에 대한 세부 정보를 나열하고 볼 수 있도록 허용해야 합니다. 최소 필수 권한보다 더 제한적인 ID 기반 정책을 생성하는 경우, 콘솔이 해당 정책에 연결된 엔티티(사용자 또는 역할)에 대해 의도대로 작동하지 않습니다.
AWS CLI 또는 AWS API만 직접적으로 호출하는 사용자에게 최소 콘솔 권한을 허용할 필요가 없습니다. 대신, 수행하려는 API 작업과 일치하는 작업에만 액세스할 수 있도록 합니다.
사용자와 역할이 CloudWatch 콘솔을 여전히 사용할 수 있도록 하려면 CloudWatch `ConsoleAccess` 또는 `ReadOnly` AWS 관리형 정책을 엔터티에 추가합니다. 자세한 내용은 *IAM 사용 설명서*의 [사용자에게 권한 추가](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)를 참조하세요.
### CloudWatch 콘솔에 필요한 권한
CloudWatch 콘솔로 작업하는 데 필요한 전체 권한 세트는 아래에 나와 있습니다. 이러한 권한은 CloudWatch 콘솔에 대한 전체 쓰기 및 읽기 권한을 제공합니다.
+ application-autoscaling:DescribeScalingPolicies
+ autoscaling:DescribeAutoScalingGroups
+ autoscaling:DescribePolicies
+ cloudtrail:DescribeTrails
+ cloudwatch:DeleteAlarms
+ cloudwatch:DescribeAlarmHistory
+ cloudwatch:DescribeAlarms
+ cloudwatch:GetMetricData
+ cloudwatch:GetMetricStatistics
+ cloudwatch:ListMetrics
+ cloudwatch:PutMetricAlarm
+ cloudwatch:PutMetricData
+ ec2:DescribeInstances
+ ec2:DescribeTags
+ ec2:DescribeVolumes
+ es:DescribeElasticsearchDomain
+ es:ListDomainNames
+ events:DeleteRule
+ events:DescribeRule
+ events:DisableRule
+ events:EnableRule
+ events:ListRules
+ events:PutRule
+ iam:AttachRolePolicy
+ iam:CreateRole
+ iam:GetPolicy
+ iam:GetPolicyVersion
+ iam:GetRole
+ iam:ListAttachedRolePolicies
+ iam:ListRoles
+ kinesis:DescribeStream
+ kinesis:ListStreams
+ lambda:AddPermission
+ lambda:CreateFunction
+ lambda:GetFunctionConfiguration
+ lambda:ListAliases
+ lambda:ListFunctions
+ lambda:ListVersionsByFunction
+ lambda:RemovePermission
+ logs:CancelExportTask
+ logs:CreateExportTask
+ logs:CreateLogGroup
+ logs:CreateLogStream
+ logs:DeleteLogGroup
+ logs:DeleteLogStream
+ logs:DeleteMetricFilter
+ logs:DeleteRetentionPolicy
+ logs:DeleteSubscriptionFilter
+ logs:DescribeExportTasks
+ logs:DescribeLogGroups
+ logs:DescribeLogStreams
+ logs:DescribeMetricFilters
+ logs:DescribeQueries
+ logs:DescribeSubscriptionFilters
+ logs:FilterLogEvents
+ logs:GetLogGroupFields
+ logs:GetLogRecord
+ logs:GetLogEvents
+ logs:GetQueryResults
+ logs:PutMetricFilter
+ logs:PutRetentionPolicy
+ logs:PutSubscriptionFilter
+ logs:StartQuery
+ logs:StopQuery
+ logs:TestMetricFilter
+ s3:CreateBucket
+ s3:ListBucket
+ sns:CreateTopic
+ sns:GetTopicAttributes
+ sns:ListSubscriptions
+ sns:ListTopics
+ sns:SetTopicAttributes
+ sns:Subscribe
+ sns:Unsubscribe
+ sqs:GetQueueAttributes
+ sqs:GetQueueUrl
+ sqs:ListQueues
+ sqs:SetQueueAttributes
+ swf:CreateAction
+ swf:DescribeAction
+ swf:ListActionTemplates
+ swf:RegisterAction
+ swf:RegisterDomain
+ swf:UpdateAction
또한 X-Ray 트레이스 맵을 보려면 `AWSXrayReadOnlyAccess`가 필요합니다.
# Amazon CloudWatch 자격 증명 및 액세스 문제 해결
다음 정보를 사용하여 CloudWatch 및 IAM 작업 시 발생할 수 있는 일반적인 문제를 진단하고 수정할 수 있습니다.
**Topics**
+ [CloudWatch에서 작업을 수행할 권한이 없음](#security_iam_troubleshoot-no-permissions)
+ [iam:PassRole을 수행하도록 인증되지 않음](#security_iam_troubleshoot-passrole)
+ [내 AWS 계정 외부의 사람이 내 CloudWatch 리소스에 액세스하도록 허용하고 싶음](#security_iam_troubleshoot-cross-account-access)
## CloudWatch에서 작업을 수행할 권한이 없음
작업을 수행할 권한이 없다는 오류가 표시되면 작업을 수행할 수 있도록 정책을 업데이트해야 합니다.
다음의 예제 오류는 `mateojackson` IAM 사용자가 콘솔을 사용하여 가상 `my-example-widget` 리소스에 대한 세부 정보를 보려고 하지만 가상 `cloudwatch:GetWidget` 권한이 없을 때 발생합니다.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudwatch:GetWidget on resource: my-example-widget
```
이 경우, `cloudwatch:GetWidget` 작업을 사용하여 `my-example-widget` 리소스에 액세스할 수 있도록 `mateojackson` 사용자 정책을 업데이트해야 합니다.
도움이 필요한 경우 AWS 관리자에게 문의하세요. 관리자는 로그인 자격 증명을 제공한 사람입니다.
## iam:PassRole을 수행하도록 인증되지 않음
`iam:PassRole` 작업을 수행할 수 있는 권한이 없다는 오류가 수신되면 CloudWatch에 역할을 전달할 수 있도록 정책을 업데이트해야 합니다.
일부 AWS 서비스에서는 새로운 서비스 역할 또는 서비스 연결 역할을 생성하는 대신 해당 서비스에 기존 역할을 전달할 수 있습니다. 이렇게 하려면 사용자가 서비스에 역할을 전달할 수 있는 권한을 가지고 있어야 합니다.
다음 예시 오류는 `marymajor`라는 IAM 사용자가 콘솔을 사용하여 CloudWatch에서 작업을 수행하려고 하는 경우에 발생합니다. 하지만 작업을 수행하려면 서비스 역할이 부여한 권한이 서비스에 있어야 합니다. Mary는 서비스에 역할을 전달할 수 있는 권한을 가지고 있지 않습니다.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
이 경우, Mary가 `iam:PassRole`작업을 수행할 수 있도록 Mary의 정책을 업데이트해야 합니다.
도움이 필요한 경우 AWS 관리자에게 문의하세요. 관리자는 로그인 자격 증명을 제공한 사람입니다.
## 내 AWS 계정 외부의 사람이 내 CloudWatch 리소스에 액세스하도록 허용하고 싶음
다른 계정의 사용자 또는 조직 외부의 사람이 리소스에 액세스할 때 사용할 수 있는 역할을 생성할 수 있습니다. 역할을 수임할 신뢰할 수 있는 사람을 지정할 수 있습니다. 리소스 기반 정책 또는 액세스 제어 목록(ACL)을 지원하는 서비스의 경우, 이러한 정책을 사용하여 다른 사람에게 리소스에 대한 액세스 권한을 부여할 수 있습니다.
자세한 내용은 다음을 참조하세요.
+ CloudWatch에서 이러한 기능의 지원 여부를 알아보려면 [Amazon CloudWatch와 함께 IAM을 사용하는 방법](security_iam_service-with-iam.md) 섹션을 참조하세요.
+ 소유하고 있는 AWS 계정의 리소스에 대한 액세스 권한을 제공하는 방법을 알아보려면 *IAM 사용 설명서*의 [자신이 소유한 다른 AWS 계정의 IAM 사용자에 대한 액세스 권한 제공](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)을 참조하세요.
+ 리소스에 대한 액세스 권한을 서드 파티 AWS 계정에게 제공하는 방법을 알아보려면 *IAM 사용 설명서*의 [서드 파티가 소유한 AWS 계정에 대한 액세스 제공](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)을 참조하세요.
+ ID 페더레이션을 통해 액세스 권한을 제공하는 방법을 알아보려면 *IAM 사용 설명서*의 [외부에서 인증된 사용자에게 액세스 권한 제공(ID 페더레이션)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)을 참조하세요.
+ 크로스 계정 액세스에 대한 역할과 리소스 기반 정책 사용의 차이점을 알아보려면 **IAM 사용 설명서의 [IAM의 크로스 계정 리소스 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)를 참조하세요.
# CloudWatch 대시보드 권한 업데이트
2018년 5월 1일에 AWS는 CloudWatch 대시보드에 액세스하는 데 필요한 권한을 변경했습니다. 이제 CloudWatch 콘솔에서 대시보드에 액세스하려면 대시보드 API 작업을 지원하기 위해 2017년에 도입한 다음과 같은 권한이 필요합니다.
+ **cloudwatch:GetDashboard**
+ **cloudwatch:ListDashboards**
+ **cloudwatch:PutDashboard**
+ **cloudwatch:DeleteDashboards**
CloudWatch 대시보드에 액세스하려면 다음 중 하나가 필요합니다.
+ **AdministratorAccess** 정책
+ **CloudWatchFullAccess** 정책
+ 다음과 같은 특정 권한 중 하나 이상을 포함하는 사용자 지정 정책:
+ 대시보드를 볼 수 있는 `cloudwatch:GetDashboard` 및 `cloudwatch:ListDashboards`
+ 대시보드를 생성하거나 수정할 수 있는 `cloudwatch:PutDashboard`
+ 대시보드를 삭제할 수 있는 `cloudwatch:DeleteDashboards`
정책을 사용하여 IAM 사용자의 권한을 변경하는 방법에 대한 자세한 내용은 [IAM 사용자의 권한 변경](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html)을 참조하세요.
CloudWatch 권한에 대한 자세한 내용은 [Amazon CloudWatch 권한 참조](permissions-reference-cw.md) 단원을 참조하세요.
대시보드 API 작업에 대한 자세한 내용은 Amazon CloudWatch API 참조의 [PutDashboard](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutDashboard.html)를 참조하세요.
# CloudWatch에 대한 AWS 관리형(미리 정의된) 정책
AWS는 AWS에서 생성하고 관리하는 독립형 IAM 정책을 제공하여 많은 일반 사용 사례를 처리합니다. 이러한 AWS 관리형 정책은 사용자가 필요한 권한을 조사할 필요가 없도록 일반 사용 사례에 필요한 권한을 부여합니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) 단원을 참조하세요.
계정의 사용자에게 연결할 수 있는 다음 AWS 관리형 정책은 CloudWatch에만 적용됩니다.
**Topics**
+ [AWS 관리형 정책에 대한 CloudWatch 업데이트](#security-iam-awsmanpol-updates)
+ [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2)
+ [CloudWatchFullAccess](#managed-policies-cloudwatch-CloudWatchFullAccess)
+ [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess)
+ [CloudWatchActionsEC2Access](#managed-policies-cloudwatch-CloudWatchActionsEC2Access)
+ [CloudWatch-CrossAccountAccess](#managed-policies-cloudwatch-CloudWatch-CrossAccountAccess)
+ [CloudWatchAutomaticDashboardsAccess](#managed-policies-cloudwatch-CloudWatch-CloudWatchAutomaticDashboardsAccess)
+ [CloudWatchAgentServerPolicy](#managed-policies-cloudwatch-CloudWatchAgentServerPolicy)
+ [CloudWatchAgentAdminPolicy](#managed-policies-cloudwatch-CloudWatchAgentAdminPolicy)
+ [CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy](#managed-policies-cloudwatch-CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy)
+ [CloudWatch 크로스 계정 관측성에 대한 AWS 관리형 (미리 정의된) 정책](#managed-policies-cloudwatch-crossaccount)
+ [CloudWatch 조사에 대한 AWS 관리형(미리 정의된) 정책](#managed-policies-cloudwatch-QInvestigations)
+ [CloudWatch Application Signals에 대한 AWS 관리형(미리 정의된) 정책](#managed-policies-cloudwatch-ApplicationSignals)
+ [CloudWatch Synthetics에 대한 AWS 관리형(미리 정의된) 정책](#managed-policies-cloudwatch-canaries)
+ [Amazon CloudWatch RUM에 대한 AWS 관리형(미리 정의된) 정책](#managed-policies-cloudwatch-RUM)
+ [AWS Systems Manager Incident Manager에 대한 AWS 관리형 정책](#managed-policies-cloudwatch-incident-manager)
## AWS 관리형 정책에 대한 CloudWatch 업데이트
아래에는 CloudWatch의 AWS 관리형 정책 업데이트에 관한 세부 정보가 나와 있습니다. 이 서비스가 해당 변경 사항을 추적하기 시작한 이후부터 설명되어 있습니다. 이 페이지의 변경 사항에 관한 자동 알림을 받으려면 CloudWatch 문서 기록 페이지에서 RSS 피드를 구독하세요.
| 변경 | 설명 | 날짜 |
| --- | --- | --- |
| [CloudWatchSyntheticsFullAccess](#managed-policies-cloudwatch-CloudWatchSyntheticsFullAccess) – 정책 업데이트 | CloudWatch에서 **CloudWatchSyntheticsFullAccess** 정책을 업데이트했습니다. `cloudwatch:ListMetrics` 권한이 추가되어 CloudWatch Synthetics에서 사용 가능한 지표가 나열될 수 있습니다. 추가로 `apigateway:GET` 권한이 모든 리소스에서 REST API, REST API 스테이지, REST API 스테이지 Swagger 내보내기 및 HTTP API와 같은 특정 API Gateway 리소스를 허용하는 것으로 변경되었습니다. | 2026년 3월 31일 |
| [AIOpsAssistantPolicy](#managed-policies-QInvestigations-AIOpsAssistant) – 업데이트된 정책 | CloudWatch는 **AIOpsAssistantPolicy** IAM 정책을 업데이트했습니다. CloudWatch 조사를 사용하여 쿼리, 문제 해결, 토폴로지 매핑을 지원할 수 있는 권한이 추가되었습니다. `appsync:GetGraphqlApiEnvironmentVariables`, `cloudtrail:GetEventConfiguration`, `kms:GetKeyPolicy`, `s3:GetBucketAbac` 권한이 추가됨 | 2026년 2월 6일 |
| [AIOpsAssistantPolicy](#managed-policies-QInvestigations-AIOpsAssistant) – 업데이트된 정책 | CloudWatch는 **AIOpsAssistantPolicy** IAM 정책을 업데이트했습니다. CloudWatch 조사를 사용하여 쿼리, 문제 해결, 토폴로지 매핑을 지원할 수 있는 권한이 추가되었습니다. `kms:GetKeyRotationStatus`, `kms:ListAliases`, `kms:ListKeyRotations` 권한이 추가되었습니다. | 2025년 12월 17일 |
| [CloudWatchNetworkMonitorServiceRolePolicy](security-iam-awsmanpol-nw.md#security-iam-CloudWatchNetworkMonitorServiceRolePolicy) – 업데이트된 정책 | CloudWatch는 **CloudWatchNetworkMonitorServiceRolePolicy** 관리형 정책에 `ec2:DescribeRouteTables`, `ec2:DescribeTransitGatewayAttachments`, `ec2:DescribeTransitGatewayRouteTables`, `ec2:SearchTransitGatewayRoutes` 권한을 추가하여 Network Synthetic Monitor가 Transit Gateway를 사용하는 고객에 대해 네트워크 상태 지표 값을 생성할 수 있는 권한을 부여했습니다. | 2025년 12월 12일 |
| [CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy](#managed-policies-cloudwatch-CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy) – 업데이트된 정책 | CloudWatch는 `ec2:DescribeVpcEndpoints` 및 `ec2:DescribeVpcEndpointServiceConfigurations` 권한을 **CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy** 관리형 정책에 추가했습니다. 이는 Network Flow Monitor가 VPC 엔드포인트 및 vpce 서비스 구성의 토폴로지 스냅샷을 생성할 수 있는 권한을 부여합니다. | 2025년 12월 10일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) – 업데이트된 정책 | CloudWatch는 **CloudWatchFullAccessV2**에 권한을 추가했습니다. 원격 분석 파이프라인 및 S3 테이블 통합에 대한 전체 액세스를 허용할 수 있도록 관찰성 관리 작업에 대한 권한이 추가되었습니다. | 2025년 12월 2일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) - 업데이트된 정책 | CloudWatch에서는 **CloudWatchReadOnlyAccess**에 권한을 추가했습니다. 원격 분석 파이프라인 및 S3 테이블 통합에 대한 읽기 전용 액세스를 허용할 수 있도록 관찰성 관리 작업에 대한 권한이 추가되었습니다. | 2025년 12월 2일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) - 업데이트된 정책 | CloudWatch는 **CloudWatchFullAccessV2** 정책을 업데이트했습니다. 따라서 지정된 엔터티 및 시간 범위에 대한 변경 이벤트를 볼 수 있는 권한, 그리고 Application Signals에서 계측되지 않은 서비스 및 리소스는 리소스 탐색기를 사용하여 쿼리할 수 있는 권한이 포함되었습니다. | 2025년 11월 20일 |
| [CloudWatchApplicationSignalsFullAccess](#managed-policies-cloudwatch-CloudWatchApplicationSignalsFullAccess) – 업데이트된 정책 | CloudWatch는 **CloudWatchApplicationSignalsFullAccess** 정책을 업데이트했습니다. 따라서 지정된 엔터티 및 시간 범위에 대한 변경 이벤트를 볼 수 있는 권한, 그리고 Application Signals에서 계측되지 않은 서비스 및 리소스는 리소스 탐색기를 사용하여 쿼리할 수 있는 권한이 포함되었습니다. | 2025년 11월 20일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 업데이트된 정책 | CloudWatch는 **CloudWatchReadOnlyAccess** 정책을 업데이트했습니다. 따라서 지정된 엔터티 및 시간 범위에 대한 변경 이벤트를 볼 수 있는 권한, 그리고 Application Signals에서 계측되지 않은 서비스 및 리소스를 쿼리할 수 있는 권한이 포함되었습니다. | 2025년 11월 20일 |
| [CloudWatchApplicationSignalsReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchApplicationSignalsReadOnlyAccess) – 업데이트된 정책 | CloudWatch는 **CloudWatchApplicationSignalsReadOnlyAccess** 정책을 업데이트했습니다. 따라서 지정된 엔터티 및 시간 범위에 대한 변경 이벤트를 볼 수 있는 권한, 그리고 Application Signals에서 계측되지 않은 서비스 및 리소스를 쿼리할 수 있는 권한이 포함되었습니다. | 2025년 11월 20일 |
| [CloudWatchApplicationSignalsServiceRolePolicy](using-service-linked-roles.md#service-linked-role-signals) – 기존 정책 업데이트 | CloudWatch에서 **CloudWatchApplicationSignalsServiceRolePolicy** 정책이 업데이트되었습니다. 새로운 Application Signals 기능을 포함하고 활성화하도록 `resource-explorer-2:Search` 및 `cloudtrail:CreateServiceLinkedChannel` 정책이 업데이트되었습니다. | 2025년 11월 20일 |
| [AIOpsConsoleAdminPolicy – 업데이트된 정책 ](https://docs.aws.amazon.com/managed-policies-QInvestigations-AIOpsConsoleAdminPolicy) | CloudWatch는 Amazon Q 통합 권한을 포함하도록 **AIOpsConsoleAdminPolicy** 정책을 업데이트했습니다. 따라서 사용자가 Amazon Q의 대화형 인터페이스를 통해 CloudWatch 조사 인시던트 보고서와 상호 작용할 수 있습니다. | 2025년 11월 17일 |
| [AIOpsOperatorAccess – 업데이트된 정책 ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsOperatorAccess.html) | CloudWatch는 Amazon Q 통합 권한을 포함하도록 **AIOpsOperatorAccess** 정책을 업데이트하여 사용자가 Amazon Q의 대화형 인터페이스를 통해 CloudWatch 조사 인시던트 보고서와 상호 작용할 수 있도록 했습니다. | 2025년 11월 7일 |
| [CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy](#managed-policies-cloudwatch-CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy) – 업데이트된 정책 | CloudWatch는 `ec2:DescribeManagedPrefixLists` 및 `ec2:GetManagedPrefixListEntries` 권한을 **CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy** 관리형 정책에 추가했습니다. 이는 Network Flow Monitor가 관리형 접두사 목록의 토폴로지 스냅샷을 생성할 수 있는 권한을 부여합니다. | 2025년 11월 6일 |
| [AIOpsAssistantIncidentReportPolicy – 새 정책 ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsAssistantIncidentReportPolicy.html) | CloudWatch에 **AIOpsAssistantIncidentReportPolicy** 정책이 추가되었습니다. 따라서 CloudWatch 조사 기능을 사용하여 조사 데이터에서 인시던트 보고서를 생성할 수 있으며 여기에는 조사에 액세스하고, 보고서를 생성하고, AI 도출 사실을 관리할 수 있는 권한이 포함됩니다. | 2025년 10월 10일 |
| [AIOpsOperatorAccess – 업데이트된 정책 ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsOperatorAccess.html) | CloudWatch는 인시던트 보고서 생성 권한을 포함하도록 **AIOpsOperatorAccess** 정책을 업데이트했습니다. 따라서 사용자가 CloudWatch 조사에서 인시던트 보고서를 생성 및 관리하고, AI 도출 사실을 사용할 수 있습니다. | 2025년 10월 10일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch에서는 **CloudWatchReadOnlyAccess**에 권한을 추가했습니다. AWS Organizations 전체에서 원격 분석 규칙, 중앙 집중화 구성, 리소스 원격 분석 데이터에 대한 읽기 전용 액세스를 허용하도록 관찰성 관리 작업에 대한 권한이 추가되었습니다. | 2025년 10월 10일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) – 기존 정책에 대한 업데이트 | CloudWatch에서 Application Signals 내에서 상위 관측 및 변경 지표 기능을 지원하는 CloudTrail 및 Service Quotas 권한을 포함하도록 **CloudWatchFullAccessV2**가 업데이트되었습니다. | 2025년 10월 8일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch에서 Application Signals 내에서 상위 관측 및 변경 지표 기능을 지원하는 CloudTrail 및 Service Quotas 권한을 포함하도록 **CloudWatchReadOnlyAccess**가 업데이트되었습니다. | 2025년 10월 8일 |
| [CloudWatchApplicationSignalsReadOnlyAccess – 업데이트된 정책 ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchApplicationSignalsReadOnlyAccess.html) | CloudWatch에서 **CloudWatchApplicationSignalsReadOnlyAccess** 정책이 업데이트되어 계정에서 리소스 및 서비스가 어떻게 변경되는지 확인하고, 계정의 서비스 이상에 대한 상위 관측을 볼 수 있게 되었습니다. | 2025년 9월 29일 |
| [CloudWatchApplicationSignalsFullAccess – 업데이트된 정책 ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchApplicationSignalsFullAccess.html) | CloudWatch에서 **CloudWatchApplicationSignalsFullAccess** 정책이 업데이트되어 계정에서 리소스 및 서비스가 어떻게 변경되는지 확인하고, 계정의 서비스 이상에 대한 상위 관측을 볼 수 있게 되었습니다. | 2025년 9월 29일 |
| [AIOpsAssistantPolicy](#managed-policies-QInvestigations-AIOpsAssistant) – 업데이트된 정책 | CloudWatch는 **AIOpsAssistantPolicy**를 업데이트했습니다. 따라서 이제 CloudWatch 조사 기능을 사용해 추가 리소스에 액세스하여 쿼리, 문제 해결, 토폴로지 매핑을 지원할 수 있습니다. 이 정책은 조사를 수행하는 데 필요한 권한을 CloudWatch 조사에 부여합니다. | 2025년 9월 24일 |
| [AIOpsConsoleAdminPolicy](#managed-policies-QInvestigations-AIOpsConsoleAdminPolicy) – 업데이트된 정책 | CloudWatch는 계정 간 조사 그룹 검증을 허용하도록 **AIOpsConsoleAdminPolicy** 정책을 업데이트했습니다. 이 정책은 사용자에게 CloudWatch 조사 작업 및 조사 이벤트에 액세스하는 데 필요한 추가 AWS 작업에 대한 액세스 권한을 부여합니다. | 2025년 6월 13일 |
| [AIOpsOperatorAccess](#managed-policies-QInvestigations-AIOpsOperatorAccess) – 업데이트된 정책 | CloudWatch는 계정 간 조사 그룹 검증을 허용하도록 **AIOpsOperatorAccess** 정책을 업데이트했습니다. 이 정책은 사용자에게 CloudWatch 조사 작업 및 조사 이벤트에 액세스하는 데 필요한 추가 AWS 작업에 대한 액세스 권한을 부여합니다. | 2025년 6월 13일 |
| [AIOpsAssistantPolicy](#managed-policies-QInvestigations-AIOpsAssistant) - 기존 정책에 대한 업데이트 | CloudWatch는 **AIOpsAssistantPolicy** IAM 정책을 업데이트했습니다. CloudWatch Application Insights 운영 조사가 조사 중에 리소스에서 정보를 찾을 수 있는 권한을 추가했습니다. 다음 권한이 추가되었습니다. `appsync:GetGraphqlApi`, `appsync:GetDataSource`, `iam:ListAttachedRolePolicies`, `iam:ListRolePolicies`. `iam:ListRoles` 또한 `elastic-inference:Describe*` 권한이 정책에서 제거되었습니다. | 2025년 6월 13일 |
| [AmazonCloudWatchRUMReadOnlyAccess](#managed-policies-CloudWatchRUMReadOnlyAccess) – 업데이트된 정책 | CloudWatch는 **AmazonCloudWatchRUMReadOnlyAccess** 정책에 권한을 추가했습니다. CloudWatch RUM이 연결된 Synthetics 카나리를 RUM 앱 모니터에 표시할 수 있도록 `synthetics: describeCanaries` 및 `synthetics:describeCanariesLastRun`이 추가되었습니다. CloudWatch RUM이 연결된 CloudWatch 지표를 RUM 앱 모니터에 표시할 수 있도록 `cloudwatch:GetMetricData`가 추가되었습니다. CloudWatch RUM이 연결된 CloudWatch 경보를 RUM 앱 모니터에 표시할 수 있도록 `cloudwatch:DescribeAlarms`가 추가되었습니다. CloudWatch RUM이 연결된 CloudWatch 로그를 RUM 앱 모니터에 표시할 수 있도록 `logs:DescribeLogGroups`가 추가되었습니다. CloudWatch RUM이 연결된 X-Ray 추적 세그먼트를 RUM 앱 모니터에 표시할 수 있도록 `xray:GetTraceSummaries`가 추가되었습니다. CloudWatch RUM이 연결된 태그를 RUM 앱 모니터에 표시할 수 있도록 `rum:ListTagsForResources`가 추가되었습니다. | 2025년 6월 28일 |
| [AIOpsReadOnlyAccess](#managed-policies-QInvestigations-AIOpsReadOnlyAccess) - 정책 업데이트됨 | CloudWatch는 여러 계정에서 조사 그룹 검증을 허용하도록 **AIOpsReadOnlyAccess** 정책을 업데이트했습니다. 이 정책은 사용자에게 Amazon AI Operations 및 기타 관련 서비스에 대한 읽기 전용 권한을 부여합니다. | 2025년 6월 5일 |
| [AmazonCloudWatchRUMReadOnlyAccess](#managed-policies-CloudWatchRUMReadOnlyAccess) – 업데이트된 정책 | CloudWatch에서 **AmazonCloudWatchRUMReadOnlyAccess** 정책에 권한을 추가했습니다. RUM 애플리케이션 모니터에 연결된 리소스 정책을 CloudWatch RUM에서 볼 수 있도록 `rum:GetResourcePolicy` 권한이 추가되었습니다. | 2025년 4월 28일 |
| [AIOpsConsoleAdminPolicy](#managed-policies-QInvestigations-AIOpsConsoleAdminPolicy) – 새 정책 | CloudWatch는 **AIOpsConsoleAdminPolicy**라는 새 정책을 생성했습니다. 이 정책은 사용자에게 신뢰할 수 있는 자격 증명 전파 관리, IAM Identity Center 및 조직 액세스 관리 등 CloudWatch 조사를 관리하기 위한 전체 관리 액세스 권한을 부여합니다. | 2024년 12월 3일 |
| [AIOpsOperatorAccess](#managed-policies-QInvestigations-AIOpsOperatorAccess) – 새 정책 | CloudWatch는 **AIOpsOperatorAccess**라는 새 정책을 생성했습니다. 이 정책은 사용자에게 CloudWatch 조사 작업 및 조사 이벤트에 액세스하는 데 필요한 추가 AWS 작업에 대한 액세스 권한을 부여합니다. | 2024년 12월 3일 |
| [AIOpsReadOnlyAccess](#managed-policies-QInvestigations-AIOpsReadOnlyAccess) – 새 정책 | CloudWatch는 **AIOpsReadOnlyAccess**라는 새 정책을 생성했습니다. 이 정책은 사용자에게 Amazon AI Operations 및 기타 관련 서비스에 대한 읽기 전용 권한을 부여합니다. | 2024년 12월 3일 |
| [AIOpsAssistantPolicy](#managed-policies-QInvestigations-AIOpsAssistant) – 새 정책 | CloudWatch는 **AIOpsAssistantPolicy**라는 새 정책을 생성했습니다. 이 정책은 사용자에게 할당하지 않습니다. 이 정책을 Amazon AI Operations 어시스턴트에 할당하면 CloudWatch 조사가 운영 이벤트를 조사하는 동안 AWS 리소스를 분석할 수 있습니다. | 2024년 12월 3일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) – 기존 정책에 대한 업데이트 | CloudWatch는 **CloudWatchFullAccessV2**와 **CloudWatchFullAccess**를 모두 업데이트했습니다. 일부 기능에 대해 OpenSearch Service와 CloudWatch Logs 통합을 활성화하기 위해 Amazon OpenSearch Service에 대한 권한이 추가되었습니다. | 2024년 12월 1일 |
| [CloudWatchNetworkFlowMonitorServiceRolePolicy](using-service-linked-roles-network-flow-monitor.md) – 새 정책 | CloudWatch에 새 정책 **CloudWatchNetworkFlowMonitorServiceRolePolicy**가 추가되었습니다. **CloudWatchNetworkFlowMonitorServiceRolePolicy**는 Network Flow Monitor가 CloudWatch에 지표를 게시할 수 있는 권한을 부여합니다. 또한 서비스가 AWS Organizations를 사용하여 다중 계정 시나리오에 대한 정보를 가져올 수 있도록 합니다. | 2024년 12월 1일 |
| [CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy](security-iam-awsmanpol-network-flow-monitor.md#security-iam-awsmanpol-CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy) – 새 정책 | CloudWatch에 새 정책 **CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy**가 추가되었습니다. **CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy**는 Network Flow Monitor가 계정에 사용되는 리소스의 토폴로지 스냅샷을 생성할 수 있는 권한을 부여합니다. | 2024년 12월 1일 |
| [CloudWatchNetworkFlowMonitorAgentPublishPolicy](security-iam-awsmanpol-network-flow-monitor.md#security-iam-awsmanpol-CloudWatchNetworkFlowMonitorAgentPublishPolicy) – 새 정책 | CloudWatch에 새 정책 **CloudWatchNetworkFlowMonitorAgentPublishPolicy**가 추가되었습니다. **CloudWatchNetworkFlowMonitorAgentPublishPolicy**는 리소스(예: Amazon EC2 및 Amazon EKS 인스턴스)가 Network Flow Monitor 엔드포인트로 원격 측정 보고서(지표)를 전송할 수 있는 권한을 부여합니다. | 2024년 12월 1일 |
| [CloudWatchSyntheticsFullAccess](#managed-policies-cloudwatch-CloudWatchSyntheticsFullAccess) – 기존 정책 업데이트 | CloudWatch에서 **CloudWatchSyntheticsFullAccess** 정책을 업데이트했습니다. CloudWatch Synthetics가 Lambda 로그 그룹에서 카나리 로그 데이터를 가져오고 사용할 수 있도록 다음과 같은 CloudWatch Logs 작업이 추가되었습니다. Synthetics가 특정 함수에 대한 정보를 가져올 수 있도록 `lambda:GetFunction` 권한도 추가되었습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/AmazonCloudWatch/latest/monitoring/managed-policies-cloudwatch.html) 또한 Lambda 계층 버전 작업은 이제 모든 CloudWatch Synthetics 계층 ARN에 적용됩니다. | 2024년 11월 20일 |
| [CloudWatchInternetMonitorReadOnlyAccess](CloudWatch-IM-permissions.md#security-iam-awsmanpol-CloudWatchInternetMonitorReadOnlyAccess) – 새 **CloudWatchInternetMonitorReadOnlyAccess**. 이 정책은 Internet Monitor에 대한 CloudWatch 콘솔에서 사용할 수 있는 리소스와 작업에 대한 읽기 전용 액세스 권한을 부여합니다. 이 정책의 범위에는 사용자가 읽기 전용 Internet Monitor 작업과 리소스를 사용할 수 있도록 `internetmonitor:`가 포함됩니다. 여기에는 CloudWatch 지표 관련 정보 검색을 위한 몇 가지 `cloudwatch:` 정책이 포함됩니다. 여기에는 로그 쿼리 관리를 위한 몇 가지 `logs:` 정책이 포함됩니다. | 2024년 11월 14일 |
| [CloudWatchInternetMonitorFullAccess](CloudWatch-IM-permissions.md#security-iam-awsmanpol-CloudWatchInternetMonitorFullAccess) - 새 정책 | CloudWatch에서 **CloudWatchInternetMonitorFullAccess**라는 새 정책을 추가했습니다. 이 정책은 Internet Monitor에 대한 CloudWatch 콘솔에서 사용할 수 있는 리소스와 작업에 대한 전체 액세스 권한을 부여합니다. 이 정책의 범위에는 사용자가 Internet Monitor 작업과 리소스를 사용할 수 있도록 `internetmonitor:`가 포함됩니다. 여기에는 CloudWatch 경보 및 지표에 대한 정보 검색을 위한 몇 가지 `cloudwatch:` 정책이 포함됩니다. 여기에는 로그 쿼리 관리를 위한 몇 가지 `logs:` 정책이 포함됩니다. 여기에는 Internet Monitor가 애플리케이션에 대한 트래픽 프로파일을 생성할 수 있도록 모니터에 추가하는 리소스로 작업하는 일부 `ec2:`, `cloudfront:`, `elasticloadbalancing:` 및 `workspaces:` 정책이 포함됩니다. 여기에는 IAM 역할 관리를 위한 몇 가지 `iam:` 정책이 포함됩니다. | 2024년 10월 23일 |
| [CloudWatchLambdaApplicationSignalsExecutionRolePolicy](#managed-policies-CloudWatchLambdaApplicationSignalsExecutionRolePolicy) – 새 **CloudWatchLambdaApplicationSignalsExecutionRolePolicy**. 이 정책은 Lambda 워크로드에 대해 CloudWatch Application Signals가 활성화된 경우에 사용됩니다. 이를 통해 X-Ray 및 CloudWatch Application Signals에서 사용하는 로그 그룹에 대한 쓰기 액세스를 활성화할 수 있습니다. | 2024년 10월 16일 |
| [CloudWatchSyntheticsFullAccess](#managed-policies-cloudwatch-CloudWatchSyntheticsFullAccess) – 기존 정책 업데이트 | CloudWatch에서 **CloudWatchSyntheticsFullAccess** 정책을 업데이트했습니다. 카나리에 태그를 적용하거나 변경할 때 `lambda:ListTags`, `lambda:TagResource`, `lambda:UntagResource` 권한이 추가되었습니다. 따라서 Synthetics도 카나리가 사용하는 Lambda 함수에 동일한 태그 또는 변경 사항을 적용하도록 선택할 수 있습니다. | 2024년 10월 11일 |
| [CloudWatchApplicationSignalsReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchApplicationSignalsReadOnlyAccess) - 새 정책 | CloudWatch에서 **CloudWatchApplicationSignalsReadOnlyAccess**라는 새 정책을 추가했습니다. 이 정책은 Application Signals에 대한 CloudWatch 콘솔에서 사용할 수 있는 리소스와 작업에 대한 읽기 전용 액세스 권한을 부여합니다. 이 정책의 범위에는 사용자가 Application Signals 아래의 CloudWatch 콘솔에서 사용할 수 있는 읽기 전용 작업과 리소스를 사용할 수 있도록 `application-signals:` 정책이 포함됩니다. 여기에는 IAM 역할 관리를 위한 `iam:` 정책이 포함됩니다. 여기에는 로그 쿼리 및 필터 관리를 위한 몇 가지 `logs:` 정책이 포함됩니다. 여기에는 CloudWatch 경보 및 지표에 대한 정보 검색을 위한 `cloudwatch:` 정책이 포함됩니다. 여기에는 Synthetics canary에 대한 정보 검색을 위한 몇 가지 `synthetics:` 정책이 포함됩니다. 여기에는 RUM 클라이언트 및 작업 관리를 위한 `rum:` 정책이 포함됩니다. 여기에는 트레이스 요약을 얻기 위한 `xray:` 정책이 포함됩니다. | 2024년 6월 7일 |
| [CloudWatchApplicationSignalsFullAccess](#managed-policies-cloudwatch-CloudWatchApplicationSignalsFullAccess) - 새 정책 | CloudWatch에서 **CloudWatchApplicationSignalsFullAccess**라는 새 정책을 추가했습니다. 이 정책은 Application Signals에 대한 CloudWatch 콘솔에서 사용할 수 있는 리소스와 작업에 대한 전체 액세스 권한을 부여합니다. 이 정책의 범위에는 사용자가 Application Signals 작업과 리소스를 사용할 수 있도록 `application-signals:`가 포함됩니다. 여기에는 CloudWatch 경보 및 지표에 대한 정보 검색을 위한 몇 가지 `cloudwatch:` 정책이 포함됩니다. 여기에는 로그 쿼리 관리를 위한 몇 가지 `logs:` 정책이 포함됩니다. 여기에는 Synthetics canary에 대한 정보 작성 및 검색을 위한 몇 가지 `synthetics:` 정책이 포함됩니다. 여기에는 RUM 클라이언트 및 작업 관리를 위한 `rum:` 정책이 포함됩니다. 여기에는 트레이스 요약을 얻기 위한 `xray:` 정책이 포함됩니다. 여기에는 CloudWatch `cloudwatch:` 경보 관리를 위한 몇 가지 정책이 포함됩니다. 여기에는 IAM 역할 관리를 위한 몇 가지 `iam:` 정책이 포함됩니다. 여기에는 Amazon Simple Notification Service 알림 관리를 위한 몇 가지 `sns:` 정책이 포함됩니다. | 2024년 6월 7일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) – 기존 정책에 대한 업데이트 | CloudWatch에서 **CloudWatchFullAccessV2** 정책이 업데이트되었습니다. 사용자가 CloudWatch Application Signals를 사용하여 서비스 상태와 관련된 문제를 보고, 조사하며, 진단할 수 있도록 `application-signals:*`를 추가하기 위해 `CloudWatchFullAccessPermissions` 정책 범위가 업데이트되었습니다. | 2024년 5월 20일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch에서 **CloudWatchReadOnlyAccess** 정책이 업데이트되었습니다. 사용자가 CloudWatch Application Signals를 사용하여 서비스 상태와 관련된 문제를 보고, 조사하며, 진단할 수 있도록 `application-signals:BatchGet*`, `application-signals:List*`, `application-signals:Get*`을 추가하기 위해 `CloudWatchReadOnlyAccessPermissions` 정책 범위가 업데이트되었습니다. CloudWatch Application Signals가 설정되어 있는지 사용자가 확인할 수 있도록 `iam:GetRole` 작업을 추가하기 위해 `CloudWatchReadOnlyGetRolePermissions` 범위가 업데이트되었습니다. | 2024년 5월 20일 |
| [CloudWatchApplicationSignalsServiceRolePolicy](using-service-linked-roles.md#service-linked-role-signals) – 기존 정책 업데이트 | CloudWatch에서 **CloudWatchApplicationSignalsServiceRolePolicy** 정책이 업데이트되었습니다. 더 많은 아키텍처에서 Application Signals를 활성화하도록 `logs:StartQuery` 및 `logs:GetQueryResults` 권한의 범위가 변경되어 `arn:aws:logs:*:*:log-group:/aws/appsignals/*:*` 및 `arn:aws:logs:*:*:log-group:/aws/application-signals/data:*` ARN이 추가되었습니다. | 2024년 4월 18일 |
| [CloudWatchApplicationSignalsServiceRolePolicy](using-service-linked-roles.md#service-linked-role-signals) – 기존 정책 업데이트 | CloudWatch에서 **CloudWatchApplicationSignalsServiceRolePolicy**의 권한 범위가 변경되었습니다. Application Signals가 연결된 계정의 소스에서 지표를 검색할 수 있도록 `cloudwatch:GetMetricData` 권한 범위가 `*`로 변경되었습니다. | 2024년 4월 8일 |
| [CloudWatchAgentServerPolicy](#managed-policies-cloudwatch-CloudWatchAgentServerPolicy) - 기존 정책 업데이트 | CloudWatch가 **CloudWatchAgentServerPolicy**에 대한 권한을 추가했습니다. `xray:PutTraceSegments`, `xray:PutTelemetryRecords`, `xray:GetSamplingRules`, `xray:GetSamplingTargets`, `xray:GetSamplingStatisticSummaries` 및 `logs:PutRetentionPolicy` 권한이 추가되어 CloudWatch 에이전트가 X-Ray 트레이스를 게시하고 로그 그룹 보존 기간을 수정할 수 있습니다. | 2024년 2월 12일 |
| [CloudWatchAgentAdminPolicy](#managed-policies-cloudwatch-CloudWatchAgentAdminPolicy) – 기존 정책 업데이트 | CloudWatch가 **CloudWatchAgentAdminPolicy**에 대한 권한을 추가했습니다. `xray:PutTraceSegments`, `xray:PutTelemetryRecords`, `xray:GetSamplingRules`, `xray:GetSamplingTargets`, `xray:GetSamplingStatisticSummaries` 및 `logs:PutRetentionPolicy` 권한이 추가되어 CloudWatch 에이전트가 X-Ray 트레이스를 게시하고 로그 그룹 보존 기간을 수정할 수 있습니다. | 2024년 2월 12일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) – 기존 정책에 대한 업데이트 | CloudWatch는 **CloudWatchFullAccessV2**에 권한을 추가했습니다. 이 정책이 적용되는 사용자가 CloudWatch Application Signals를 관리할 수 있도록 CloudWatch Synthetics, X-Ray 및 CloudWatch RUM 작업에 대한 기존 권한과 CloudWatch Application Signals에 대한 새 권한이 추가되었습니다. CloudWatch Application Signals가 로그, 지표, 트레이스 및 태그에서 텔레메트리 데이터를 검색할 수 있도록 CloudWatch Application Signals 서비스 연결 역할을 생성할 수 있는 권한이 추가되었습니다. | 2023년 12월 5일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch에서는 **CloudWatchReadOnlyAccess**에 권한을 추가했습니다. 이 정책이 적용되는 사용자가 CloudWatch Application Signals에서 보고하는 서비스 상태 문제를 분류하고 진단할 수 있도록 CloudWatch Synthetics, X-Ray, CloudWatch RUM 작업에 대한 기존 읽기 전용 권한과 CloudWatch Application Signals에 대한 새로운 읽기 전용 권한이 추가되었습니다. 이 정책이 적용되는 사용자가 자연어 프롬프트에서 CloudWatch Metrics Insights 쿼리 문자열을 생성할 수 있도록 `cloudwatch:GenerateQuery` 권한이 추가되었습니다. | 2023년 12월 5일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch Logs는 **CloudWatchReadOnlyAccess**에 대한 권한을 추가했습니다. 이 정책이 적용되는 사용자가 자연어 프롬프트에서 [CloudWatch Metrics Insights](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/query_with_cloudwatch-metrics-insights.html) 쿼리 문자열을 생성할 수 있도록 `cloudwatch:GenerateQuery` 권한이 추가되었습니다. | 2023년 12월 1일 |
| [CloudWatchApplicationSignalsServiceRolePolicy](using-service-linked-roles.md#service-linked-role-signals) – 새 정책 | CloudWatch에 새 정책 **CloudWatchApplicationSignalsServiceRolePolicy**가 추가되었습니다. **CloudWatchApplicationSignalsServiceRolePolicy**은 예정된 기능에 CloudWatch Logs 데이터, X-Ray 추적 데이터, CloudWatch 지표 데이터, 태깅 데이터를 수집할 수 있는 권한을 부여합니다. | 2023년 11월 9일 |
| [AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsightsServiceRolePolicy](using-service-linked-roles.md#service-linked-role-permissions-dbperfinsights) – 새 정책 | CloudWatch에 새 정책 **AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsightsServiceRolePolicy**가 추가되었습니다. **AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsightsServiceRolePolicy**는 사용자를 대신하여 데이터베이스에서 성능 개선 도우미 지표를 가져올 수 있는 권한을 CloudWatch에 부여합니다. | 2023년 9월 20일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch Logs는 **CloudWatchReadOnlyAccess**에 대한 권한을 추가했습니다. 이 정책이 적용되는 사용자가 Application Auto Scaling 정책에 대한 정보에 액세스할 수 있도록 `application-autoscaling:DescribeScalingPolicies` 권한이 추가되었습니다. | 2023년 9월 14일 |
| [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2) – 새 정책 | CloudWatch에 새 정책 **CloudWatchFullAccessV2**가 추가되었습니다. **CloudWatchFullAccessV2**는 CloudWatch 작업 및 리소스에 대한 전체 액세스 권한을 부여하는 동시에 Amazon SNS 및 Amazon EC2 Auto Scaling과 같은 다른 서비스에 부여된 권한의 범위를 더 효과적으로 지정합니다. 자세한 내용은 [ CloudWatchFullAccessV2](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/managed-policies-cloudwatch-CloudWatchFullAccessV2.html)를 참조하세요. | 2023년 8월 1일 |
| [AWSServiceRoleForInternetMonitor](using-service-linked-roles-CWIM.md#service-linked-role-permissions-CWIM-AWSServiceRoleForInternetMonitor) – 기존 정책 업데이트 | Amazon CloudWatch Internet Monitor에 Network Load Balancer 리소스를 모니터링할 수 있는 새로운 권한이 추가되었습니다. Internet Monitor가 NLB 리소스에 대한 흐름 로그를 분석하여 고객의 Network Load Balancer 트래픽을 모니터링하려면 `elasticloadbalancing:DescribeLoadBalancers` 및 `ec2:DescribeNetworkInterfaces` 권한이 필요합니다. 자세한 내용은 [Internet Monitor 사용](CloudWatch-InternetMonitor.md) 섹션을 참조하세요. | 2023년 7월 15일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch에서는 **CloudWatchReadOnlyAccess**에 권한을 추가했습니다. 이 정책이 있는 사용자가 콘솔을 사용하여 CloudWatch Logs Live Tail 세션을 시작하고 중지할 수 있도록 `logs:StartLiveTail` 및 `logs:StopLiveTail` 권한이 추가되었습니다. 자세한 내용은 [Live Tail을 사용하여 거의 실시간으로 로그 보기](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CloudWatchLogs_LiveTail.html)를 참조하세요. | 2023년 6월 6일 |
| [CloudWatchCrossAccountSharingConfiguration](#managed-policies-cloudwatch-CloudWatchCrossAccountSharingConfiguration) — 새 정책 | CloudWatch에서는 CloudWatch 지표를 공유하는 CloudWatch 크로스 계정 관측성 링크를 관리할 수 있는 새로운 정책을 추가했습니다. 자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요. | 2022년 11월 27일 |
| [OAMFullAccess](#managed-policies-cloudwatch-OAMFullAccess) – 새 정책 | CloudWatch에서는 CloudWatch 크로스 계정 관측성 링크 및 싱크를 완전하게 관리할 수 있는 새로운 정책을 추가했습니다. 자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요. | 2022년 11월 27일 |
| [OAMReadOnlyAccess](#managed-policies-cloudwatch-OAMReadOnlyAccess) - 새 정책 | CloudWatch에서는 CloudWatch 크로스 계정 관측성 링크 및 싱크에 대한 정보를 볼 수 있는 새로운 정책을 추가했습니다. 자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요. | 2022년 11월 27일 |
| [CloudWatchFullAccess](#managed-policies-cloudwatch-CloudWatchFullAccess) – 기존 정책에 대한 업데이트 | CloudWatch는 **CloudWatchFullAccess**에 권한을 추가했습니다. 이 정책이 적용되는 사용자가 콘솔을 사용하여 CloudWatch 크로스 계정 관측성에서 소스 계정의 공유된 데이터를 볼 수 있도록 여기에는 `oam:ListSinks` 및 `oam:ListAttachedLinks` 권한이 포함되었습니다. | 2022년 11월 27일 |
| [CloudWatchReadOnlyAccess](#managed-policies-cloudwatch-CloudWatchReadOnlyAccess) – 기존 정책에 대한 업데이트 | CloudWatch에서는 **CloudWatchReadOnlyAccess**에 권한을 추가했습니다. 이 정책이 적용되는 사용자가 콘솔을 사용하여 CloudWatch 크로스 계정 관찰성에서 소스 계정의 공유된 데이터를 볼 수 있도록 여기에는 `oam:ListSinks` 및 `oam:ListAttachedLinks` 권한이 포함되었습니다. | 2022년 11월 27일 |
| [AmazonCloudWatchRUMServiceRolePolicy](using-service-linked-roles-RUM.md#service-linked-role-permissions-RUM) - 기존 정책에 대한 업데이트 | CloudWatch RUM은 **AmazonCloudWatchRUMServiceRolePolicy**에서 조건 키를 업데이트했습니다. `"Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/RUM" } }` 조건 키가 다음과 같이 변경되어 CloudWatch RUM이 사용자 지정 지표를 사용자 지정 지표 네임스페이스로 보낼 수 있습니다. "Condition": {
"StringLike": {
"cloudwatch:namespace": [
"RUM/CustomMetrics/*",
"AWS/RUM"
]
}
}
| 2023년 2월 2일 |
| [AmazonCloudWatchRUMReadOnlyAccess](#managed-policies-CloudWatchRUMReadOnlyAccess) – 업데이트된 정책 | CloudWatch가 **AmazonCloudWatchRUMReadOnlyAccess** 정책에 권한을 추가했습니다. CloudWatch RUM이 CloudWatch로 확장된 지표를 전송할 수 있도록 `rum:ListRumMetricsDestinations` 및 `rum:BatchGetRumMetricsDefinitions` 권한이 추가되었습니다. | 2022년 10월 27일 |
| [AmazonCloudWatchRUMServiceRolePolicy](using-service-linked-roles-RUM.md#service-linked-role-permissions-RUM) - 기존 정책에 대한 업데이트 | CloudWatch RUM이 **AmazonCloudWatchRUMServiceRolePolicy**에 권한을 추가했습니다. CloudWatch RUM이 확장된 지표를 CloudWatch로 전송할 수 있도록 `cloudwatch:PutMetricData` 권한이 추가되었습니다. | 2022년 10월 26일 |
| [CloudWatchSyntheticsFullAccess](#managed-policies-cloudwatch-CloudWatchSyntheticsFullAccess) – 기존 정책 업데이트 | CloudWatch Synthetics는 **CloudWatchSyntheticsFullAccess**에 권한을 추가했습니다. Canary가 삭제될 때 CloudWatch Synthetics에서 관련 리소스를 삭제할 수 있도록 `lambda:DeleteFunction`과 `lambda:DeleteLayerVersion` 권한이 추가되었습니다. 고객이 canary의 IAM 역할에 연결된 정책을 볼 수 있도록 `iam:ListAttachedRolePolicies`가 추가되었습니다. | 2022년 5월 6일 |
| [AmazonCloudWatchRUMFullAccess](#managed-policies-CloudWatchRUMFullAccess)(새 정책) | CloudWatch는 CloudWatch RUM을 완전히 관리할 수 있는 새 정책을 추가했습니다. CloudWatch RUM을 사용하면 웹 애플리케이션에 대한 실제 사용자 모니터링을 수행할 수 있습니다. 자세한 내용은 [CloudWatch RUM](CloudWatch-RUM.md) 섹션을 참조하세요. | 2021년 11월 29일 |
| [AmazonCloudWatchRUMReadOnlyAccess](#managed-policies-CloudWatchRUMReadOnlyAccess)(새 정책) | CloudWatch는 CloudWatch RUM에 대한 읽기 전용 액세스를 활성화하는 새로운 정책을 추가했습니다. CloudWatch RUM을 사용하면 웹 애플리케이션에 대한 실제 사용자 모니터링을 수행할 수 있습니다. 자세한 내용은 [CloudWatch RUM](CloudWatch-RUM.md) 섹션을 참조하세요. | 2021년 11월 29일 |
| [**AWSServiceRoleForCloudWatchRUM**](using-service-linked-roles-RUM.md) – 새 관리형 정책 | CloudWatch는 CloudWatch RUM이 모니터링 데이터를 다른 관련 AWS 서비스에 게시하도록 허용하는 새 서비스 연결 역할에 대한 정책을 추가했습니다. | 2021년 11월 29일 |
| [CloudWatchSyntheticsFullAccess](#managed-policies-cloudwatch-CloudWatchSyntheticsFullAccess) – 기존 정책 업데이트 | CloudWatch Synthetics는 **CloudWatchSyntheticsFullAccess**에 대한 권한을 추가하고 해당 권한의 범위도 변경했습니다. 사용자가 canary 아티팩트를 암호화하는 데 사용할 수 있는 사용 가능한 AWS KMS 키를 나열할 수 있도록 `kms:ListAliases` 권한이 추가되었습니다. 사용자가 canary 아티팩트를 암호화하는 데 사용할 키의 세부 정보를 확인할 수 있도록 `kms:DescribeKey` 권한이 추가되었습니다. 그리고 사용자가 canary 아티팩트를 복호화할 수 있도록 `kms:Decrypt` 권한이 추가되었습니다. 이 복호화 기능은 Amazon S3 버킷 내의 리소스에서 사용하도록 제한됩니다. `s3:GetBucketLocation` 권한의 `Resource` 범위가 `*`에서 `arn:aws:s3:::*`로 변경되었습니다. | 2021년 9월 29일 |
| [CloudWatchSyntheticsFullAccess](#managed-policies-cloudwatch-CloudWatchSyntheticsFullAccess) – 기존 정책 업데이트 | CloudWatch Synthetics는 [**CloudWatchSyntheticsFullAccess**]에 권한을 추가했습니다. 이 정책이 있는 사용자가 canary의 런타임 버전을 변경할 수 있도록 `lambda:UpdateFunctionCode` 권한을 추가했습니다. | 2021년 7월 20일 |
| [AWSCloudWatchAlarms\$1ActionSSMIncidentsServiceRolePolicy](#managed-policies-cloudwatch-incident-manager) – 새 관리형 정책 | CloudWatch는 새 관리형 IAM 정책을 추가하여 CloudWatch가 AWS Systems Manager Incident Manager에서 인시던트를 생성할 수 있도록 했습니다. | 2021년 5월 10일 |
| [CloudWatchAutomaticDashboardsAccess](#managed-policies-cloudwatch-CloudWatch-CloudWatchAutomaticDashboardsAccess) – 기존 정책 업데이트 | CloudWatch는 [**CloudWatchAutomaticDashboardsAccess**] 관리형 정책에 권한을 추가했습니다. 교차 계정 대시보드 사용자가 CloudWatch Synthetics canary 실행에 관한 세부 정보를 볼 수 있도록 이 정책에 `synthetics:DescribeCanariesLastRun` 권한을 추가했습니다. | 2021년 4월 20일 |
| CloudWatch에서 변경 사항 추적 시작 | CloudWatch가 AWS 관리형 정책의 변경 사항 추적을 시작했습니다. | 2021년 4월 14일 |
## CloudWatchFullAccessV2
최근 AWS에 **CloudWatchFullAccessV2** 관리형 IAM 정책이 추가되었습니다. 이 정책은 CloudWatch 작업 및 리소스에 대한 전체 액세스 권한을 부여하는 동시에 Amazon SNS 및 Amazon EC2 Auto Scaling과 같은 다른 서비스에 부여된 권한의 범위를 더 적절하게 지정합니다. **CloudWatchFullAccess**를 사용하는 대신 이 정책을 사용하는 것이 좋습니다. AWS에서는 가까운 시일 내에 **CloudWatchFullAccess**를 사용 중단할 계획입니다.
여기에는 사용자가 CloudWatch 콘솔의 Application Signals 아래에서 모든 기능에 액세스할 수 있도록 `application-signals:` 권한이 포함됩니다. 여기에는 일부 `autoscaling:Describe` 권한이 포함됩니다. 따라서 이 정책이 적용되는 사용자가 CloudWatch 경보와 연결된 Auto Scaling 작업을 볼 수 있습니다. 여기에는 일부 `sns` 권한이 포함됩니다. 따라서 이 정책이 적용되는 사용자가 Amazon SNS 주제를 검색, 생성하여 CloudWatch 경보와 연결할 수 있습니다. 여기에는 IAM 권한이 포함되며, 이 정책이 적용되는 사용자가 CloudWatch와 연결된 서비스 연결 역할에 대한 정보를 볼 수 있습니다. 여기에는 `oam:ListSinks` 및 `oam:ListAttachedLinks` 권한이 포함됩니다. 따라서 이 정책이 적용되는 사용자가 콘솔을 사용하여 CloudWatch 교차 계정 관측성에서 소스 계정의 공유된 데이터를 볼 수 있습니다. 여기에는 Application Signals 내에서 상위 관측 및 변경 지표 기능을 지원하는 CloudTrail 및 Service Quotas 권한도 포함됩니다.
여기에는 Amazon OpenSearch Service 분석을 통해 생성된 CloudWatch Logs에서 판매된 로그 대시보드를 지원할 수 있는 Amazon OpenSearch Service 권한이 포함됩니다. 그리고 사용자가 콘솔을 사용하여 계정에서 계측되지 않은 서비스를 볼 수 있도록 하는 `resource-explorer-2:` 정책이 포함되어 있습니다.
사용자가 CloudWatch 서비스에 포함된 CloudWatch Synthetics, AWS X-Ray 및 CloudWatch RUM에 대한 전체 액세스 권한을 가질 수 있도록 여기에는 `rum`, `synthetics` 및 `xray` 권한이 포함되어 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchFullAccessV2](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchFullAccessV2.html)를 참조하세요.
## CloudWatchFullAccess
**CloudWatchFullAccess** 정책은 사용 중단될 예정입니다. 따라서 사용을 중단하고 대신 [CloudWatchFullAccessV2](#managed-policies-cloudwatch-CloudWatchFullAccessV2)를 사용하는 것이 좋습니다.
## CloudWatchReadOnlyAccess
**CloudWatchReadOnlyAccess** 정책은 CloudWatch 및 관련된 관찰성 기능에 대한 읽기 전용 액세스 권한을 부여합니다.
정책에는 몇 가지 `logs:` 권한이 포함되어 있습니다. 따라서 이 정책이 적용되는 사용자가 콘솔을 사용하여 CloudWatch Logs 정보와 보고 CloudWatch Logs Insights 쿼리를 볼 수 있습니다. 이 정책이 적용되는 사용자가 CloudWatch 경보와 연결된 Auto Scaling 작업을 볼 수 있도록 `autoscaling:Describe*`가 포함되어 있습니다. 여기에는 사용자가 Application Signals를 사용하여 서비스 상태를 모니터링할 수 있도록 `application-signals:` 권한이 포함됩니다. 이 정책이 적용되는 사용자가 Application Auto Scaling 정책에 대한 정보에 액세스할 수 있도록 `application-autoscaling:DescribeScalingPolicies`가 포함되어 있습니다. 이 정책이 적용되는 사용자가 CloudWatch 경보에 대한 알림을 수신하는 Amazon SNS 주제에 대한 정보를 검색할 수 있도록 `sns:Get*` 및 `sns:List*`가 포함되어 있습니다. 이 정책이 적용되는 사용자가 콘솔을 사용하여 CloudWatch 크로스 계정 관측성에서 소스 계정의 공유된 데이터를 볼 수 있도록 `oam:ListSinks` 및 `oam:ListAttachedLinks` 권한이 포함되어 있습니다. 여기에는 사용자가 CloudWatch Application Signals가 설정되었는지 확인할 수 있도록 `iam:GetRole` 권한이 포함됩니다. 여기에는 Application Signals 내에서 상위 관측 및 변경 지표 기능을 지원하는 CloudTrail 및 Service Quotas 권한도 포함됩니다. 그리고 AWS Organizations 전체에서 원격 분석 규칙, 중앙 집중화 구성, 리소스 원격 분석 데이터를 볼 수 있는 관찰성 관리 권한이 포함됩니다. 이 정책에는 `cloudwatch:GenerateQuery` 권한이 포함되므로 이 정책이 적용되는 사용자는 자연어 프롬프트에서 [CloudWatch Metrics Insights](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/query_with_cloudwatch-metrics-insights.html) 쿼리 문자열을 생성할 수 있습니다. 그리고 사용자가 콘솔을 사용하여 계정에서 계측되지 않은 서비스를 볼 수 있도록 하는 `resource-explorer-2:` 정책이 포함되어 있습니다.
사용자가 CloudWatch 서비스에 포함된 CloudWatch Synthetics, AWS X-Ray 및 CloudWatch RUM에 대한 읽기 전용 액세스 권한을 가질 수 있도록 여기에는 `rum`, `synthetics` 및 `xray` 권한이 포함되어 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchReadOnlyAccess.html)를 참조하세요.
## CloudWatchActionsEC2Access
[**CloudWatchActionsEC2Access**] 정책은 Amazon EC2 메타데이터 외에도 CloudWatch 경보 및 지표에 대한 읽기 전용 액세스 권한을 부여합니다. 또한 EC2 인스턴스의 중지, 종료 및 재부팅 API 작업에 대한 액세스 권한도 부여합니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchActionsEC2Access](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchActionsEC2Access.html)를 참조하세요.
## CloudWatch-CrossAccountAccess
[**CloudWatch-CrossAccountAccess**] 관리형 정책은 [**CloudWatch-CrossAccountSharingRole**] IAM 역할에 의해 사용됩니다. 이 역할 및 정책을 통해 교차 계정 대시보드 사용자가 대시보드를 공유하는 각 계정의 자동 대시보드를 볼 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatch-CrossAccountAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatch-CrossAccountAccess.html)를 참조하세요.
## CloudWatchAutomaticDashboardsAccess
**CloudWatchAutomaticDashboardsAccess** 관리형 정책은 CloudWatch가 아닌 API에 CloudWatch에 대한 액세스 권한을 부여하므로 Lambda 함수와 같은 리소스를 CloudWatch 자동 대시보드에 표시할 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchAutomaticDashboardsAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchAutomaticDashboardsAccess.html)를 참조하세요.
## CloudWatchAgentServerPolicy
[**CloudWatchAgentServerPolicy**] 정책은 Amazon EC2 인스턴스에 연결된 IAM 역할에서 사용되어 CloudWatch 에이전트가 정보를 인스턴스에서 읽고 CloudWatch에 쓸 수 있게 합니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchAgentServerPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchAgentServerPolicy.html)를 참조하세요.
## CloudWatchAgentAdminPolicy
[**CloudWatchAgentAdminPolicy**] 정책은 Amazon EC2 인스턴스에 연결된 IAM 역할에서 사용할 수 있습니다. 이 정책을 통해 CloudWatch 에이전트가 정보를 인스턴스에서 읽고 CloudWatch에 쓸 수 있으며 파라미터 스토어에도 쓸 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchAgentAdminPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchAgentAdminPolicy.html)를 참조하세요.
## CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy
` CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy`를 IAM 엔티티에 연결할 수 없습니다. 이 정책은 **AWSServiceRoleForNetworkFlowMonitor\$1Topology**라는 서비스 연결 역할에 연결됩니다. 이 서비스 연결 역할은 이러한 권한 및 성능 효율성을 위한 내부 메타 데이터 정보 수집을 함께 사용하여 이 서비스가 네트워크 트래픽을 모니터링하는 리소스의 리소스 네트워크 구성에 대한 메타 데이터(예: 라우팅 테이블 및 게이트웨이 관련 설명)를 수집합니다. Network Flow Monitor는 이 메타 데이터를 통해 리소스의 토폴로지 스냅샷을 생성할 수 있습니다. 네트워크 성능 저하가 발생하면 Network Flow Monitor는 토폴로지를 사용하여 네트워크의 문제 위치에 대한 인사이트를 제공하고, 문제의 속성을 확인할 수 있도록 지원합니다.
이 정책의 권한을 보려면 AWS 관리형 정책 참조**의 [CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchNetworkFlowMonitorTopologyServiceRolePolicy.html)를 확인하세요.
자세한 내용은 [Network Flow Monitor의 서비스 연결 역할](using-service-linked-roles-network-flow-monitor.md) 섹션을 참조하세요.
**참고**
IAM 콘솔에 로그인하고 이 콘솔에서 특정 정책을 검색하여 이러한 권한 정책을 검토할 수 있습니다.
또한 CloudWatch 작업 및 리소스에 대한 권한을 허용하는 자체 사용자 지정 IAM 정책을 생성할 수도 있습니다. 해당 권한이 필요한 IAM 사용자 또는 그룹에 이러한 사용자 지정 정책을 연결할 수 있습니다.
## CloudWatch 크로스 계정 관측성에 대한 AWS 관리형 (미리 정의된) 정책
이 섹션의 정책은 CloudWatch 크로스 계정 관측성과 관련된 권한을 부여합니다. 자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요.
### CloudWatchCrossAccountSharingConfiguration
**CloudWatchCrossAccountSharingConfiguration** 정책은 계정 간에 CloudWatch 리소스를 공유하기 위해 Observability Access Manager 링크를 생성 및 관리하고 볼 수 있는 액세스 권한을 부여합니다. 자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchCrossAccountSharingConfiguration](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchCrossAccountSharingConfiguration.html)를 참조하세요.
### OAMFullAccess
**OAMFullAccess** 정책은 CloudWatch 크로스 계정 관측성에 사용되는 Observability Access Manager 싱크 및 링크를 생성 및 관리하고 볼 수 있는 액세스 권한을 부여합니다.
**OAMFullAccess** 정책 자체는 링크 간 관측성 데이터를 공유를 허용하지 않습니다. CloudWatch 지표를 공유하기 위한 링크를 생성하려면 **CloudWatchFullAccess** 또는 **CloudWatchCrossAccountSharingConfiguration**이 필요합니다. CloudWatch Logs 로그 그룹을 공유하기 위한 링크를 생성하려면 **CloudWatchLogsFullAccess** 또는 **CloudWatchLogsCrossAccountSharingConfiguration**이 필요합니다. X-Ray 추적을 공유하는 링크를 생성하려면 **AWSXRayFullAccess** 또는 **AWSXRayCrossAccountSharingConfiguration**이 필요합니다.
자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [OAMFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/OAMFullAccess.html)를 참조하세요.
### OAMReadOnlyAccess
**OAMReadOnlyAccess** 정책은 CloudWatch 크로스 계정 관측성에 사용되는 Observability Access Manager 리소스에 대한 읽기 전용 액세스 권한을 부여합니다. 자세한 내용은 [CloudWatch 크로스 계정 관측성](CloudWatch-Unified-Cross-Account.md) 섹션을 참조하세요.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [OAMReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/OAMReadOnlyAccess.html)를 참조하세요.
## CloudWatch 조사에 대한 AWS 관리형(미리 정의된) 정책
이 섹션의 정책은 CloudWatch 조사와 관련된 권한을 부여합니다. 자세한 내용은 [CloudWatch 조사](Investigations.md) 섹션을 참조하세요.
### AIOpsConsoleAdminPolicy
**AIOpsConsoleAdminPolicy** 정책은 AWS 콘솔을 통해 모든 CloudWatch 조사 작업 및 필요한 권한에 대한 전체 액세스 권한을 부여합니다. 또한 이 정책은 CloudWatch 조사 기능에 필요한 다른 서비스의 API에 대해 제한된 액세스 권한을 부여합니다.
+ `aiops` 권한은 모든 CloudWatch 조사 작업에 대한 액세스 권한을 부여합니다.
+ `organizations`, `sso`, `identitystore`, `sts` 권한을 수행하면 자격 증명 인식 세션을 용이하게 하는 IAM Identity Center 관리에 필요한 작업을 수행할 수 있습니다.
+ SSM Ops Item과 서드 파티 문제 관리를 통합하려면 `ssm` 권한이 필요합니다.
+ 관리자가 IAM 역할을 `aiops` 및 `ssm.integrations` 서비스에 전달하려면 `iam` 권한이 필요하며, 나중에 어시스턴트가 이 역할을 사용하여 AWS 리소스를 분석합니다.
**중요**
이러한 권한을 통해 이 정책을 사용하는 사용자는 모든 IAM 역할을 `aiops` 및 `ssm.integrations` 서비스에 전달할 수 있습니다.
+ 이 정책은 조사 기능에 필요한 CloudWatch 조사 외부의 서비스의 API를 허용합니다. 여기에는 채팅 애플리케이션 내 Amazon Q Developer, AWS KMS, CloudTrail 추적, SSM 서드 파티 문제 관리를 구성하는 작업이 포함됩니다.
+ `q` 권한을 사용하여 Amazon Q와 통합할 수 있으므로, 사용자는 Amazon Q의 대화형 인터페이스를 통해 CloudWatch 조사 인시던트 보고서와 상호 작용하고 이를 업데이트할 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AIOpsConsoleAdminPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsConsoleAdminPolicy.html)를 참조하세요.
### AIOpsOperatorAccess
**AIOpsOperatorAccess** 정책은 제한된 CloudWatch 조사 API 집합에 대한 액세스 권한을 부여하며, 여기에는 조사, 조사 이벤트 및 조사 리소스의 생성, 업데이트, 삭제가 포함됩니다.
이 정책은 조사에 대한 액세스 권한만 제공합니다. 이 정책을 사용하는 IAM 보안 주체는 지표, SLO, CloudWatch Logs 쿼리 결과 같은 CloudWatch 관찰성 데이터를 읽을 수 있는 권한도 있어야 합니다.
+ `aiops` 권한을 사용하면 CloudWatch 조사 API에 액세스하여 조사를 생성, 업데이트, 삭제할 수 있습니다.
+ `sso-directory`, `sso`, `identitystore`, `sts` 권한을 수행하면 자격 증명 인식 세션을 용이하게 하는 IAM Identity Center 관리에 필요한 작업을 수행할 수 있습니다.
+ SSM Ops Item과 서드 파티 문제 관리를 통합하려면 `ssm` 권한이 필요합니다.
+ `q` 권한을 사용하여 Amazon Q와 통합할 수 있으므로, 사용자는 Amazon Q의 대화형 인터페이스를 통해 CloudWatch 조사 인시던트 보고서와 상호 작용하고 이를 업데이트할 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AIOpsOperatorAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsOperatorAccess.html)를 참조하세요.
### AIOpsReadOnlyAccess
**AIOpsReadOnlyAccess** 정책은 CloudWatch 조사 및 기타 관련 서비스에 대한 읽기 전용 권한을 부여합니다.
+ `aiops` 권한을 사용하면 CloudWatch 조사 API에 액세스하여 조사를 가져오고 나열하며 검증할 수 있습니다.
+ `sso` 권한을 사용하면 자격 증명 인식 세션을 용이하게 하는 IAM Identity Center 관리에 필요한 작업을 수행할 수 있습니다.
+ SSM Ops Item과 서드 파티 문제 관리를 통합하려면 `ssm` 권한이 필요합니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AIOpsReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsReadOnlyAccess.html)를 참조하세요.
### AIOpsAssistantPolicy
**AIOpsAssistantPolicy** 정책은 AWS에서 권장하는 기본 정책입니다. 이 정책을 조사 그룹에서 사용하는 Amazon AI Operations(AIOps) 역할에 할당하여 운영 이벤트 조사가 진행되는 동안 AWS 리소스를 분석할 수 있습니다. 이 정책은 인간 사용자가 사용할 수 있는 정책이 아닙니다.
조사를 생성할 경우 정책을 자동으로 할당하도록 선택하거나, 조사에서 사용 중인 역할에 정책을 수동으로 할당할 수 있습니다. 이 정책의 범위는 조사를 수행할 때 CloudWatch 조사가 지원하는 리소스를 기준으로 하며, 더 많은 리소스가 지원되면 정책이 업데이트됩니다. CloudWatch 조사와 함께 작동하는 서비스의 전체 목록은 [조사가 지원되는 AWS 서비스](Investigations-Services.md) 섹션을 참조하세요.
**AIOpsAssistantPolicy**를 할당하는 것 외에도, 일반 AWS [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/ReadOnlyAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/ReadOnlyAccess.html)를 어시스턴트에 할당하도록 선택할 수도 있습니다. 이렇게 해야 하는 이유는 AWS는 릴리스된 새 AWS 서비스 및 작업에 대한 권한으로 **ReadOnlyAccess**를 더 자주 업데이트하기 때문입니다. **AIOpsAssistantPolicy**도 새 작업에 대해 업데이트되지만, 자주 업데이트되지는 않습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AIOpsAssistantPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsAssistantPolicy.html)를 참조하세요.
### AIOpsAssistantIncidentReportPolicy
**AIOpsAssistantIncidentReportPolicy** 정책은 CloudWatch 조사가 조사 데이터에서 인시던트 보고서를 생성하는 데 필요한 권한을 부여합니다.
이 정책을 CloudWatch 조사에서 사용하는 이유는 조사 결과에서 인시던트 보고서 생성을 자동화하는 기능을 사용 설정하기 위해서입니다.
+ 이 `aiops` 권한을 통해 CloudWatch 조사 API에 액세스하여 조사 데이터 및 이벤트를 읽고, 인시던트 보고서를 생성 및 업데이트하고, 보고서를 생성할 토대를 형성하는 AI 도출 사실을 관리할 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AIOpsAssistantIncidentReportPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AIOpsAssistantIncidentReportPolicy.html)를 참조하세요.
## CloudWatch Application Signals에 대한 AWS 관리형(미리 정의된) 정책
이 섹션의 정책은 CloudWatch Application Signals와 관련된 권한을 부여합니다. 자세한 내용은 [Application Signals](CloudWatch-Application-Monitoring-Sections.md) 섹션을 참조하세요.
### CloudWatchApplicationSignalsReadOnlyAccess
AWS에서 **CloudWatchApplicationSignalsReadOnlyAccess** 관리형 IAM 정책을 추가했습니다. 이 정책은 Application Signals에서 사용자가 CloudWatch 콘솔에서 사용할 수 있는 작업과 리소스에 대한 읽기 전용 액세스 권한을 부여합니다. 여기에는 사용자가 CloudWatch Application Signals를 사용하여 서비스 상태를 확인, 조사 및 모니터링할 수 있도록 `application-signals:` 정책이 포함됩니다. 여기에는 사용자가 IAM 역할에 대한 정보를 검색할 수 있도록 하는 `iam:GetRole` 정책이 포함됩니다. 여기에는 쿼리 시작 및 중지, 지표 필터 구성 검색, 쿼리 결과 가져오기를 위한 `logs:` 정책이 포함됩니다. 여기에는 사용자가 CloudWatch 경보 또는 지표에 대한 정보를 얻을 수 있도록 `cloudwatch:` 정책이 포함됩니다. 여기에는 사용자가 Synthetics canary 실행에 대한 정보를 검색할 수 있도록 `synthetics:` 정책이 포함됩니다. 여기에는 RUM 클라이언트에 대한 배치 작업 실행, 데이터 검색, 지표 정의 업데이트를 위한 `rum:` 정책이 포함됩니다. 여기에는 트레이스 요약 검색을 위한 `xray:` 정책이 포함됩니다. 여기에는 `oam:` 정책이 포함됩니다. 따라서 사용자가 콘솔을 사용하여 CloudWatch 교차 계정 관찰성에서 소스 계정의 공유된 데이터를 볼 수 있습니다. 그리고 사용자가 콘솔을 사용하여 계정에서 계측되지 않은 서비스를 볼 수 있도록 하는 `resource-explorer-2:` 정책이 포함되어 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchApplicationSignalsReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchApplicationSignalsReadOnlyAccess.html)를 참조하세요.
### CloudWatchApplicationSignalsFullAccess
AWS에서 **CloudWatchApplicationSignalsFullAccess** 관리형 IAM 정책을 추가했습니다. 이 정책은 사용자가 CloudWatch 콘솔에서 사용할 수 있는 모든 작업과 리소스에 대한 액세스 권한을 부여합니다. 여기에는 사용자가 CloudWatch Application Signals를 사용하여 서비스 상태를 확인, 조사 및 모니터링할 수 있도록 `application-signals:` 정책이 포함됩니다. 여기에서는 `cloudwatch:` 정책을 사용하여 지표와 경보에서 데이터를 검색합니다. 여기에서는 `logs:` 정책을 사용하여 쿼리와 필터를 관리합니다. 여기에서는 사용자가 Synthetics canary 실행에 대한 정보를 검색할 수 있도록 `synthetics:` 정책을 사용합니다. 여기에는 RUM 클라이언트에 대한 배치 작업 실행, 데이터 검색, 지표 정의 업데이트를 위한 `rum:` 정책이 포함됩니다. 여기에는 트레이스 요약 검색을 위한 `xray:` 정책이 포함됩니다. 여기에는 사용자가 서비스 수준 목표(SLO) 경보에 대한 정보를 검색할 수 있도록 `arn:aws:cloudwatch:*:*:alarm:` 정책이 포함됩니다. 여기에는 IAM 역할 관리를 위한 `iam:` 정책이 포함됩니다. 여기에서는 `sns:` 정책을 사용하여 Amazon SNS 주제를 생성, 나열 및 구독합니다. 여기에는 `oam:` 정책이 포함됩니다. 따라서 사용자가 콘솔을 사용하여 CloudWatch 교차 계정 관찰성에서 소스 계정의 공유된 데이터를 볼 수 있습니다. 그리고 사용자가 콘솔을 사용하여 계정에서 계측되지 않은 서비스를 볼 수 있도록 하는 `resource-explorer-2:` 정책이 포함되어 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchApplicationSignalsFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchApplicationSignalsFullAccess.html)를 참조하세요.
### CloudWatchLambdaApplicationSignalsExecutionRolePolicy
이 정책은 Lambda 워크로드에 대해 CloudWatch Application Signals가 활성화된 경우에 사용됩니다. 이를 통해 X-Ray 및 CloudWatch Application Signals에서 사용하는 로그 그룹에 대한 쓰기 액세스를 활성화할 수 있습니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchLambdaApplicationSignalsExecutionRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchLambdaApplicationSignalsExecutionRolePolicy.html)를 참조하세요.
## CloudWatch Synthetics에 대한 AWS 관리형(미리 정의된) 정책
[**CloudWatchSyntheticsFullAccess**] 및 [**CloudWatchSyntheticsReadOnlyAccess**] AWS 관리형 정책은 CloudWatch Synthetics를 관리하거나 사용할 사용자에게 할당할 수 있습니다. 다음과 같은 추가 정책도 관련이 있습니다.
+ **AmazonS3ReadOnlyAccess** 및 **CloudWatchReadOnlyAccess** – 이러한 정책은 CloudWatch 콘솔에서 모든 Synthetics 데이터를 읽는 데 필요합니다.
+ **AWSLambdaReadOnlyAccess** – 카나리가 사용한 소스 코드를 보는 데 필요합니다.
+ **CloudWatchSyntheticsFullAccess** – 카나리를 생성할 수 있습니다. 또한 새 IAM 역할을 생성할 카나리를 생성하고 삭제하려면 특정한 인라인 정책 권한이 필요합니다.
**중요**
사용자에게 `iam:CreateRole`, `iam:DeleteRole`, `iam:CreatePolicy`, `iam:DeletePolicy`, `iam:AttachRolePolicy`, 및 `iam:DetachRolePolicy` 권한을 부여하면 해당 사용자에게 `arn:aws:iam::*:role/service-role/CloudWatchSyntheticsRole*` 및 `arn:aws:iam::*:policy/service-role/CloudWatchSyntheticsPolicy*`과 일치하는 ARN이 있는 역할 및 정책을 생성, 연결 및 삭제할 수 있는 전체 관리 액세스 권한이 부여됩니다. 예를 들어 이러한 권한을 가진 사용자는 모든 리소스에 대한 전체 권한을 가진 정책을 생성하고 해당 정책을 ARN 패턴과 일치하는 모든 역할에 연결할 수 있습니다. 이러한 권한을 다른 사용자에게 부여할 경우 매우 주의해야 합니다.
정책 연결 및 사용자에게 권한 부여에 대한 자세한 내용은 [IAM 사용자의 권한 변경](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) 및 [사용자 또는 역할의 인라인 정책을 포함하려면](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html#embed-inline-policy-console)을 참조하세요.
### CloudWatchSyntheticsFullAccess
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchSyntheticsFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchSyntheticsFullAccess.html)를 참조하세요.
### CloudWatchSyntheticsReadOnlyAccess
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [CloudWatchSyntheticsReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchSyntheticsReadOnlyAccess.html)를 참조하세요.
## Amazon CloudWatch RUM에 대한 AWS 관리형(미리 정의된) 정책
**AmazonCloudWatchRUMFullAccess** 및 **AmazonCloudWatchRUMReadOnlyAccess** AWS 관리형 정책은 CloudWatch RUM을 관리하거나 사용할 사용자에게 배정할 수 있습니다.
### AmazonCloudWatchRUMFullAccess
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AmazonCloudWatchRUMFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonCloudWatchRUMFullAccess.html)를 참조하세요.
### AmazonCloudWatchRUMReadOnlyAccess
**AmazonCloudWatchRUMReadOnlyAccess**에서는 CloudWatch RUM에 대한 읽기 전용 관리 액세스 권한이 허용됩니다.
+ `synthetics` 권한은 연결된 Synthetics 카나리를 RUM 앱 모니터에 표시하도록 허용합니다.
+ `cloudwatch` 권한은 연결된 CloudWatch 지표를 RUM 앱 모니터에 표시할 수 있도록 허용합니다.
+ `cloudwatch alarms` 권한은 연결된 CloudWatch 경보를 RUM 앱 모니터에 표시하도록 허용합니다.
+ `cloudwatch logs` 권한은 연결된 CloudWatch 로그를 RUM 앱 모니터에 표시하도록 허용합니다.
+ `x-ray` 권한은 연결된 X-Ray 추적 세그먼트를 RUM 앱 모니터에 표시하도록 허용합니다.
+ `rum` 권한은 연결된 태그를 RUM 앱 모니터에 표시하도록 허용합니다.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AmazonCloudWatchRUMReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonCloudWatchRUMReadOnlyAccess.html)를 참조하세요.
### AmazonCloudWatchRUMServiceRolePolicy
**AmazonCloudWatchRUMServiceRolePolicy**를 IAM 엔터티에 연결할 수 없습니다. 이 정책은 CloudWatch RUM이 모니터링 데이터를 다른 관련 AWS 서비스에 게시하도록 허용하는 서비스 연결 역할에 연결됩니다. 이 서비스 연결 역할에 대한 자세한 내용은 [CloudWatch RUM에 서비스 연결 역할 사용](using-service-linked-roles-RUM.md) 섹션을 참조하세요.
정책의 전체 내용을 보려면 *AWS 관리형 정책 참조 가이드*의 [AmazonCloudWatchRUMServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonCloudWatchRUMServiceRolePolicy.html)를 참조하세요.
## AWS Systems Manager Incident Manager에 대한 AWS 관리형 정책
[**AWSCloudWatchAlarms\$1ActionSSMIncidentsServiceRolePolicy**] 정책은 CloudWatch가 사용자를 대신하여 AWS Systems Manager Incident Manager에서 인시던트를 시작할 수 있게 허용하는 서비스 연결 역할에 연결됩니다. 자세한 내용은 [CloudWatch 경보 Systems Manager Incident Manager 작업에 대한 서비스 연결 역할 권한](using-service-linked-roles.md#service-linked-role-permissions-incident-manager) 단원을 참조하세요.
정책에 다음 권한이 있습니다.
+ ssm-incidents:StartIncident
# 고객 관리형 정책 예제
이 단원에서는 다양한 CloudWatch 작업에 대한 권한을 부여하는 사용자 정책의 예를 확인할 수 있습니다. 이러한 정책은 CloudWatch API, AWS SDK 또는 AWS CLI를 사용하는 경우에 유효합니다.
**Topics**
+ [예 1: 사용자에게 CloudWatch에 대한 전체 액세스 허용](#full-access-example-cw)
+ [예 2: CloudWatch에 대한 읽기 전용 액세스 허용](#read-only-access-example-cw)
+ [예 3: Amazon EC2 인스턴스 중지 또는 종료](#stop-terminate-example-cw)
## 예 1: 사용자에게 CloudWatch에 대한 전체 액세스 허용
사용자에게 CloudWatch에 대한 전체 액세스 권한을 부여하려면 고객 관리형 정책을 생성하는 대신 사용자에게 [**CloudWatchFullAccess**] 관리형 정책을 부여하면 됩니다. [**CloudWatchFullAccess**]의 내용은 [CloudWatchFullAccess](managed-policies-cloudwatch.md#managed-policies-cloudwatch-CloudWatchFullAccess) 단원에 나와 있습니다.
## 예 2: CloudWatch에 대한 읽기 전용 액세스 허용
다음 정책은 사용자에게 CloudWatch에 대한 읽기 전용 액세스를 허용하고 Amazon EC2 Auto Scaling 작업, CloudWatch 지표, CloudWatch Logs 데이터, 경보 관련 Amazon SNS 데이터를 볼 수 있도록 허용합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"autoscaling:Describe*",
"cloudwatch:Describe*",
"cloudwatch:Get*",
"cloudwatch:List*",
"logs:Get*",
"logs:Describe*",
"logs:StartQuery",
"logs:StopQuery",
"logs:TestMetricFilter",
"logs:FilterLogEvents",
"logs:StartLiveTail",
"logs:StopLiveTail",
"sns:Get*",
"sns:List*"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
## 예 3: Amazon EC2 인스턴스 중지 또는 종료
다음 정책은 CloudWatch 경보 작업이 EC2 인스턴스를 중지하거나 종료하도록 허용합니다. 아래 샘플에서 GetMetricData, ListMetrics 및 DescribeAlarms 작업은 선택 사항입니다. 인스턴스를 제대로 중지 또는 종료하려면 이러한 작업을 포함하는 것이 좋습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"cloudwatch:PutMetricAlarm",
"cloudwatch:GetMetricData",
"cloudwatch:ListMetrics",
"cloudwatch:DescribeAlarms"
],
"Resource": [
"*"
],
"Effect": "Allow"
},
{
"Action": [
"ec2:DescribeInstanceStatus",
"ec2:DescribeInstances",
"ec2:StopInstances",
"ec2:TerminateInstances"
],
"Resource": [
"*"
],
"Effect": "Allow"
}
]
}
```
------
# 조건 키를 사용하여 CloudWatch에 대한 액세스 제한
IAM 정책의 `Condition` 요소에서 사용할 수 있는 서비스별 조건 키에 대해 알아보려면 다음 주제를 참조하세요. 이러한 키를 사용하여 정책 설명이 적용되는 조건을 보다 상세하게 설정할 수 있습니다.
+ [조건 키를 사용하여 CloudWatch 네임스페이스에 대한 액세스 제한](iam-cw-condition-keys-namespace.md)
+ [조건 키를 사용하여 Contributor Insights 사용자의 로그 그룹 액세스 제한](iam-cw-condition-keys-contributor.md)
+ [조건 키를 사용하여 경보 작업 제한](iam-cw-condition-keys-alarm-actions.md)
+ [CloudWatch Observability Admin에 대한 조건 키](condition-keys-observabilityadmin.md)
모든 서비스에서 사용할 수 있는 글로벌 조건 키를 보려면 [사용 가능한 글로벌 조건 키](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)를 참조하세요.
# 조건 키를 사용하여 CloudWatch 네임스페이스에 대한 액세스 제한
IAM 조건 키를 사용하여 사용자가 지정된 CloudWatch 네임스페이스에만 지표를 게시하도록 제한합니다. 이 섹션에서는 네임스페이스에 지표를 게시하는 사용자를 허용하고 제외하는 방법을 설명하는 예를 제공합니다.
**하나의 네임스페이스에만 게시 허용**
다음 정책은 사용자가 `MyCustomNamespace`라는 네임스페이스에만 지표를 게시하도록 제한합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Effect": "Allow",
"Resource": "*",
"Action": "cloudwatch:PutMetricData",
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "MyCustomNamespace"
}
}
}
}
```
------
**네임스페이스에서 게시 제외**
다음 정책은 사용자가 `CustomNamespace2`를 제외한 모든 네임스페이스에 지표를 게시할 수 있도록 허용합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Resource": "*",
"Action": "cloudwatch:PutMetricData"
},
{
"Effect": "Deny",
"Resource": "*",
"Action": "cloudwatch:PutMetricData",
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "CustomNamespace2"
}
}
}
]
}
```
------
**OTLP 수집 제어**
다음 정책은 사용자가 OTLP API를 사용하여 지표를 게시하도록 허용합니다.
------
#### [ JSON ]
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Resource": "*",
"Action": "cloudwatch:PutMetricData"
}
]
}
```
------
이중 수집을 비활성화하는 경우, 즉 PutMetricData만 사용하고 OTLP 수집을 거부하는 경우 다음 정책을 사용할 수 있습니다. 사용자가 PutMetricData를 사용하여 네임스페이스 `MyCustomNamespace`에 지표를 게시하도록 제한하는 동시에 `StringEquals` 조건으로 인한 OTLP 수집을 묵시적으로 거부합니다.
------
#### [ JSON ]
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringEquals": {
"cloudwatch:namespace": "MyCustomNamespace"
}
}
}
]
}
```
------
이중 수집을 활성화하는 경우, 즉 PutMetricData와 OTLP 수집을 모두 허용하는 경우 다음 정책을 사용할 수 있습니다. 사용자가 PutMetricData를 사용하여 네임스페이스 `MyCustomNamespace`에 지표를 게시하도록 제한하는 동시에 `StringEqualsIfExists` 조건으로 인한 OTLP 수집을 허용합니다.
------
#### [ JSON ]
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringEqualsIfExists": {
"cloudwatch:namespace": "MyCustomNamespace"
}
}
}
]
}
```
------
# 조건 키를 사용하여 Contributor Insights 사용자의 로그 그룹 액세스 제한
Contributor Insights에서 규칙을 생성하고 그 결과를 확인하려면 사용자에게 `cloudwatch:PutInsightRule` 권한이 있어야 합니다. 기본적으로 이 권한이 있는 사용자는 CloudWatch Logs의 로그 그룹을 평가하는 Contributor Insights 규칙을 생성한 다음, 결과를 확인할 수 있습니다. 결과에는 해당 로그 그룹의 기여자 데이터가 포함될 수 있습니다.
조건 키를 사용해 IAM 정책을 생성하여 사용자에게 일부 로그 그룹에 대한 Contributor Insights 규칙을 쓸 수 있는 권한을 부여하는 동시에 다른 로그 그룹에 대한 규칙을 쓰고 이 데이터를 보는 것을 방지할 수 있습니다.
IAM 정책의 `Condition` 요소에 대한 자세한 내용은 [IAM JSON 정책 요소: Condition](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) 단원을 참조하세요.
**특정 로그 그룹에 대해서만 규칙을 쓰고 결과를 볼 수 있는 액세스 권한 허용**
다음 정책은 사용자에게 `AllowedLogGroup`이라는 로그 그룹과 이름이 `AllowedWildCard`로 시작하는 모든 로그 그룹에 대한 규칙을 쓰고 결과를 볼 수 있는 액세스 권한을 허용합니다. 다른 로그 그룹에 대한 규칙을 쓰거나 규칙 결과를 볼 수 있는 액세스 권한은 부여하지 않습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowCertainLogGroups",
"Effect": "Allow",
"Action": "cloudwatch:PutInsightRule",
"Resource": "arn:aws:cloudwatch:*:*:insight-rule/*",
"Condition": {
"ForAllValues:StringEqualsIgnoreCase": {
"cloudwatch:requestInsightRuleLogGroups": [
"AllowedLogGroup",
"AllowedWildcard*"
]
}
}
}
]
}
```
------
**특정 로그 그룹에 대한 규칙 쓰기는 거부하지만 다른 모든 로그 그룹에 대한 규칙 쓰기는 허용**
다음 정책은 사용자에게 `ExplicitlyDeniedLogGroup`이라는 로그 그룹에 대한 규칙 쓰기 및 규칙 결과 보기 액세스 권한을 명시적으로 거부하지만 다른 모든 로그 그룹에 대한 규칙 쓰기 및 규칙 결과 보기는 허용합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowInsightRulesOnLogGroupsByDefault",
"Effect": "Allow",
"Action": "cloudwatch:PutInsightRule",
"Resource": "arn:aws:cloudwatch:*:*:insight-rule/*"
},
{
"Sid": "ExplicitDenySomeLogGroups",
"Effect": "Deny",
"Action": "cloudwatch:PutInsightRule",
"Resource": "arn:aws:cloudwatch:*:*:insight-rule/*",
"Condition": {
"ForAllValues:StringEqualsIgnoreCase": {
"cloudwatch:requestInsightRuleLogGroups": [
"/test/alpine/ExplicitlyDeniedLogGroup"
]
}
}
}
]
}
```
------
# 조건 키를 사용하여 경보 작업 제한
CloudWatch 경보의 상태가 변경되면 해당 경보는 EC2 인스턴스 중지 및 종료, Systems Manager 작업 수행과 같은 다양한 작업을 수행할 수 있습니다. 경보가 ALARM, OK 또는 INSUFFICIENT\$1DATA를 포함하여 어떤 상태로든 변경될 때 이러한 작업을 시작할 수 있습니다.
`cloudwatch:AlarmActions` 조건 키를 사용하면 사용자가 경보 상태 변경 시 지정된 작업만 수행할 수 있는 경보를 생성하도록 허용할 수 있습니다. 예를 들어 사용자가 EC2 작업이 아닌 작업만 수행할 수 있는 경보를 생성하도록 허용할 수 있습니다.
**사용자가 Amazon SNS 알림 전송 또는 Systems Manager 작업 수행만 가능한 경보를 생성하도록 허용**
다음 정책은 사용자가 Amazon SNS 알림 전송 및 Systems Manager 작업 수행만 가능한 경보를 생성하도록 제한합니다. 사용자는 EC2 작업을 수행하는 경보를 생성할 수 없습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateAlarmsThatCanPerformOnlySNSandSSMActions",
"Effect": "Allow",
"Action": "cloudwatch:PutMetricAlarm",
"Resource": "*",
"Condition": {
"ForAllValues:StringLike": {
"cloudwatch:AlarmActions": [
"arn:aws:sns:*",
"arn:aws:ssm:*"
]
}
}
}
]
}
```
------
# CloudWatch Observability Admin에 대한 조건 키
IAM 정책을 사용하여 조건 키를 통해 Amazon CloudWatch Observability Admin 리소스 및 작업에 대한 액세스를 제어할 수 있습니다.
Observability Admin에는 다음과 같은 조건 키가 있습니다.
| 조건 키 | 설명 | 형식 |
| --- | --- | --- |
| CentralizationSourceRegions | ArrayOfString | 요청에서 전달되는 소스 리전을 기준으로 액세스를 필터링합니다 |
| CentralizationDestinationRegion | 문자열 | 요청에서 전달되는 대상 리전을 기준으로 액세스를 필터링합니다. |
| CentralizationBackupRegion | 문자열 | 요청에서 전달되는 백업 리전을 기준으로 액세스를 필터링합니다. |
## CentralizationSourceRegions
중앙 집중화 규칙에 지정된 백업 리전을 기준으로 액세스를 필터링합니다.
+ *가용성* - 이 키는 organization-centralization-rule 리소스 유형에 사용할 수 있음
+ *값 유형* - 문자열
**Example observabilityadmin:CentralizationBackupRegion을 사용하는 JSON 정책 예제**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestedRegion": "us-east-1"
}
}
}
]
}
```
## CentralizationDestinationRegion
중앙 집중화 규칙에 지정된 대상 리전을 기준으로 액세스를 필터링합니다.
+ *가용성* - 이 키는 organization-centralization-rule 리소스 유형에 사용할 수 있음
+ *값 유형* - 문자열
**Example observabilityadmin:CentralizationDestinationRegion을 사용하는 JSON 정책 예제**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestedRegion": "us-east-1"
}
}
}
]
}
```
## CentralizationBackupRegion
중앙 집중화 규칙에 지정된 소스 리전을 기준으로 액세스를 필터링합니다.
+ *가용성* - 이 키는 organization-centralization-rule 리소스 유형에 사용할 수 있음
+ *값 유형* - 문자열 목록
**Example observabilityadmin:CentralizationSourceRegions을 사용하는 JSON 정책 예제**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestedRegion": ["us-east-1", "us-east-1"]
}
}
}
]
}
```
# CloudWatch에 서비스 연결 역할 사용
Amazon CloudWatch는 AWS Identity and Access Management(IAM) [서비스 연결 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)을 사용합니다. 서비스 연결 역할은 CloudWatch에 직접 연결된 고유한 유형의 IAM 역할입니다. 서비스 연결 역할은 CloudWatch에서 미리 정의하며 서비스가 사용자를 대신하여 다른 AWS 서비스를 호출하는 데 필요한 모든 권한을 포함합니다.
CloudWatch의 한 서비스 연결 역할을 사용하면 필요한 권한을 수동으로 추가할 필요 없이 Amazon EC2 인스턴스를 종료, 중지 또는 재부팅할 수 있는 CloudWatch 경보를 설정할 수 있습니다. 또 다른 서비스 연결 역할을 사용하면 모니터링 계정이 지정된 다른 계정의 CloudWatch 데이터에 액세스하여 교차 계정 교차 리전 대시보드를 구축할 수 있습니다.
CloudWatch는 이러한 서비스 연결 역할의 권한을 정의합니다. 달리 정의되어 있지 않는 한, CloudWatch만 역할을 맡을 수 있습니다. 정의된 권한에는 신뢰 정책과 권한 정책이 포함되며 이 권한 정책은 다른 IAM 엔터티에 연결할 수 없습니다.
먼저 역할의 관련 리소스를 삭제해야만 역할을 삭제할 수 있습니다. 이렇게 제한하면 리소스에 액세스할 수 있는 권한을 실수로 제거할 수 없기 때문에 CloudWatch가 보호됩니다.
서비스 연결 역할을 지원하는 기타 서비스에 대해 자세히 알아보려면 [AWS Services That Work with IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)(IAM과 연동하는 서비스)을 참조하고 **Service-Linked Role**(서비스 연결 역할) 열에 **Yes**(예)라고 표시된 서비스를 찾으세요. 해당 서비스에 대한 서비스 연결 역할 설명서를 보려면 **예(Yes)** 링크를 선택합니다.
## CloudWatch 경보 EC2 작업에 대한 서비스 연결 역할 권한
CloudWatch는 [**AWSServiceRoleForCloudWatchEvents**]라는 서비스 연결 역할을 사용합니다. CloudWatch는 이 서비스 연결 역할을 사용하여 Amazon EC2 경보 작업을 수행합니다.
AWSServiceRoleForCloudWatchEvents 서비스 연결 역할은 역할을 맡는 CloudWatch Events 서비스를 신뢰합니다. CloudWatch Events는 경보에 의해 호출될 때 인스턴스 종료, 중지 또는 재부팅 작업을 호출합니다.
AWSServiceRoleForCloudWatchEvents 서비스 연결 역할 권한 정책은 CloudWatch Events가 Amazon EC2 인스턴스에서 다음 작업을 완료하도록 허용합니다.
+ `ec2:StopInstances`
+ `ec2:TerminateInstances`
+ `ec2:RecoverInstances`
+ `ec2:DescribeInstanceRecoveryAttribute`
+ `ec2:DescribeInstances`
+ `ec2:DescribeInstanceStatus`
[**AWSServiceRoleForCloudWatchCrossAccount**] 서비스 연결 역할 권한 정책은 CloudWatch가 다음 작업을 완료하도록 허용합니다.
+ `sts:AssumeRole`
## CloudWatch 원격 측정 구성에 대한 서비스 연결 역할 권한
CloudWatch 관찰성 관리자는 **AWSServiceRoleForObservabilityAdmin**이라는 서비스 연결 역할을 생성하고 사용합니다. CloudWatch는 이 서비스 연결 역할을 사용하여 AWS Organizations에 대한 리소스 및 원격 측정 구성 검색을 지원합니다. 이 역할은 조직의 모든 멤버 계정에서 생성됩니다.
**AWSServiceRoleForObservabilityAdmin** 서비스 연결 역할은 Observability Admin에게 이 역할을 부여합니다. Observability Admin은 Organizations 계정에서 AWS Config Service Linked Configuration Recorder 및 Service Linked Configuration Aggregator를 관리합니다.
**AWSServiceRoleForObservabilityAdmin** 서비스 연결 역할에는 AWSObservabilityAdminServiceRolePolicy라는 정책이 연결되어 있으며, 이 정책은 CloudWatch Observability Admin에게 다음과 같은 작업을 완료할 수 있는 권한을 부여합니다.
+ `organizations:ListAccounts`
+ `organizations:ListAccountsForParent`
+ `organizations:ListChildren`
+ `organizations:ListParents`
+ `organizations:DescribeOrganization`
+ `organizations:DescribeOrganizationalUnit`
+ `organizations:EnableAWSServiceAccess`
+ `organizations:ListDelegatedAdministrators`
+ `config:PutServiceLinkedConfigurationRecorder`
+ `config:DeleteServiceLinkedConfigurationRecorder`
+ `config:PutConfigurationAggregator`
+ `config:DeleteConfigurationAggregator`
+ `config:SelectAggregateResourceConfig`
+ `iam:CreateServiceLinkedRole`
+ `iam:PassRole`
AWSObservabilityAdminServiceRolePolicy 정책의 전체 내용은 다음과 같습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"organizations:ListAccounts",
"organizations:ListAccountsForParent",
"organizations:ListChildren",
"organizations:ListParents",
"organizations:DescribeOrganization",
"organizations:DescribeOrganizationalUnit"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"config:PutServiceLinkedConfigurationRecorder",
"config:DeleteServiceLinkedConfigurationRecorder"
],
"Resource": [
"arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForObservabilityAdmin/*"
]
},
{
"Effect": "Allow",
"Action": [
"config:PutConfigurationAggregator",
"config:DeleteConfigurationAggregator",
"config:SelectAggregateResourceConfig"
],
"Resource": [
"arn:aws:config:*:*:config-aggregator/aws-service-config-aggregator/observabilityadmin.amazonaws.com/*"
]
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": [
"config.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig"
],
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"config.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"organizations:EnableAWSServiceAccess"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"organizations:ServicePrincipal": [
"config.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"organizations:ListDelegatedAdministrators"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"organizations:ServicePrincipal": [
"observabilityadmin.amazonaws.com",
"config.amazonaws.com"
]
}
}
}
]
}
```
------
## CloudWatch 원격 분석 활성화에 대한 서비스 연결 역할 권한
`AWSObservabilityAdminTelemetryEnablementServiceRolePolicy`는 원격 분석 규칙에 따라 AWS 리소스에 대한 원격 분석 구성을 활성화하고 관리하는 데 필요한 권한을 부여합니다.
이 정책은 다음에 대한 권한을 부여합니다.
+ VPC, 흐름 로그, 로그 그룹 설명을 포함한 기본 원격 분석 작업. 또한 EKS 클러스터 로깅, WAF put 로깅 구성, NLB 로그 활성화, Route53 Resolver 쿼리 로깅, Amazon EC2 세부 모니터링, Security Hub, Bedrock Agentcore Gateway, Bedrock Agentcore Memory 및 CloudFront Distribution에 대한 로깅 구성을 활성화할 수 있는 권한도 포함되어 있습니다.
+ 관리형 리소스를 추적하기 위해 `CloudWatchTelemetryRuleManaged` 태그를 사용하는 리소스 태그 지정 작업
+ AWS Bedrock 및 VPC 흐름 로그와 같은 서비스에 대한 로그 전송 구성
+ 원격 분석 활성화 추적을 위한 구성 레코더 관리
이 정책은 다음과 같은 조건을 통해 보안 경계를 적용합니다.
+ `aws:ResourceAccount`를 사용하여 동일한 계정 내 리소스로 작업 제한
+ 리소스 수정을 위해 `CloudWatchTelemetryRuleManaged` 태그 요구
+ 원격 분석 활성화와 관련된 항목으로 구성 레코더 액세스 제한
AWSObservabilityAdminTelemetryEnablementServiceRolePolicy 정책의 전체 내용은 [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSObservabilityAdminTelemetryEnablementServiceRolePolicy.html)에서 확인할 수 있습니다.
## CloudWatch Application Signals에 대한 서비스 연결 역할 권한
곧 출시될 기능에서는 **AWSServiceRoleForCloudWatchApplicationSignals**라는 서비스 연결 역할을 사용할 예정입니다. CloudWatch는 이 서비스 연결 역할을 사용하여 CloudWatch Logs 데이터, X-Ray 트레이스 데이터, CloudWatch 지표 데이터, 태깅 데이터를 수집합니다.
**AWSServiceRoleForCloudWatchApplicationSignals** 서비스 연결 역할은 CloudWatch Application Signals를 신뢰하여 역할을 수임합니다. Application Signals는 계정에서 로그, 트레이스, 지표 및 태그 데이터를 수집합니다.
**AWSServiceRoleForCloudWatchApplicationSignals**에는 IAM 정책이 첨부되어 있으며, 이 정책의 이름은 **CloudWatchApplicationSignalsServiceRolePolicy**입니다. 이 정책은 CloudWatch Application Signals에 다른 관련 AWS 서비스로부터 모니터링 및 태깅 데이터를 수집할 수 있는 권한을 부여합니다. 여기에는 Application Signals가 다음 작업을 완료할 수 있는 권한이 포함됩니다.
+ `xray` - X-Ray 트레이스를 검색합니다.
+ `logs` - 현재 CloudWatch 로그 정보를 검색합니다.
+ `cloudwatch` - 현재 CloudWatch 지표 정보를 검색합니다.
+ `tags` - 현재 태그를 검색합니다.
+ `application-signals` - SLO 및 관련 시간 제외 기간에 대한 정보를 검색합니다.
+ `autoscaling` - Amazon EC2 Autoscaling 그룹에서 애플리케이션 태그를 검색합니다.
+ `resource-explorer-2` - AWS Resource Explorer에서 현재 AWS 리소스 정보를 검색합니다.
+ `cloudtrail` - CloudTrail 이벤트를 검색하기 위한 서비스 연결 채널 생성을 사용합니다.
**CloudWatchApplicationSignalsServiceRolePolicy**의 전체 내용은 다음과 같습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "XRayPermission",
"Effect": "Allow",
"Action": [
"xray:GetServiceGraph"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
},
{
"Sid": "CWLogsPermission",
"Effect": "Allow",
"Action": [
"logs:StartQuery",
"logs:GetQueryResults"
],
"Resource": [
"arn:aws:logs:*:*:log-group:/aws/appsignals/*:*",
"arn:aws:logs:*:*:log-group:/aws/application-signals/data:*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
},
{
"Sid": "CWListMetricsPermission",
"Effect": "Allow",
"Action": [
"cloudwatch:ListMetrics"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
},
{
"Sid": "CWGetMetricDataPermission",
"Effect": "Allow",
"Action": [
"cloudwatch:GetMetricData"
],
"Resource": [
"*"
]
},
{
"Sid": "TagsPermission",
"Effect": "Allow",
"Action": [
"tag:GetResources"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
},
{
"Sid": "ApplicationSignalsPermission",
"Effect": "Allow",
"Action": [
"application-signals:ListServiceLevelObjectiveExclusionWindows",
"application-signals:GetServiceLevelObjective"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
},
{
"Sid": "EC2AutoScalingPermission",
"Effect": "Allow",
"Action": [
"autoscaling:DescribeAutoScalingGroups"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
}
]
}
```
------
## CloudWatch 경보 Systems Manager OpsCenter 작업에 대한 서비스 연결 역할 권한
CloudWatch는 [**AWSServiceRoleForCloudWatchAlarms\$1ActionSSM**]이라는 서비스 연결 역할을 사용합니다. CloudWatch는 이 서비스 연결 역할을 사용하여 CloudWatch 경보가 ALARM 상태가 될 때 Systems Manager OpsCenter 작업을 수행합니다.
AWSServiceRoleForCloudWatchAlarms\$1ActionSSM 서비스 연결 역할은 역할을 맡는 CloudWatch 서비스를 신뢰합니다. CloudWatch 경보는 경보에 의해 호출될 때 Systems Manager OpsCenter 작업을 호출합니다.
[**AWSServiceRoleForCloudWatchAlarms\$1ActionSSM**] 서비스 연결 역할 권한 정책은 Systems Manager가 다음 작업을 완료하도록 허용합니다.
+ `ssm:CreateOpsItem`
## CloudWatch 경보 Systems Manager Incident Manager 작업에 대한 서비스 연결 역할 권한
CloudWatch는 [**AWSServiceRoleForCloudWatchAlarms\$1ActionSSMIncidents**]라는 서비스 연결 역할을 사용합니다. CloudWatch는 이 서비스 연결 역할을 사용하여 CloudWatch 경보가 ALARM 상태가 될 때 Incident Manager 인시던트를 시작합니다.
[**AWSServiceRoleForCloudWatchAlarms\$1ActionSSMIncidents**] 서비스 연결 역할은 역할을 맡는 CloudWatch 서비스를 신뢰합니다. CloudWatch 경보는 경보에 의해 호출될 때 Systems Manager Incident Manager 작업을 호출합니다.
[**AWSServiceRoleForCloudWatchAlarms\$1ActionSSMIncidents**] 서비스 연결 역할 권한 정책은 Systems Manager가 다음 작업을 완료하도록 허용합니다.
+ `ssm-incidents:StartIncident`
## CloudWatch 교차 계정 교차 리전에 대한 서비스 연결 역할 권한
CloudWatch는 [**AWSServiceRoleForCloudWatchCrossAccount**]라는 서비스 연결 역할을 사용합니다. CloudWatch는 이 역할을 사용하여 지정된 다른 AWS 계정의 CloudWatch 데이터에 액세스합니다. SLR은 CloudWatch 서비스가 공유 계정의 역할을 맡을 수 있도록 역할 수임 권한만 제공합니다. 데이터에 대한 액세스 권한을 제공하는 공유 역할입니다.
[**AWSServiceRoleForCloudWatchCrossAccount**] 서비스 연결 역할 권한 정책은 CloudWatch가 다음 작업을 완료하도록 허용합니다.
+ `sts:AssumeRole`
[**AWSServiceRoleForCloudWatchCrossAccount**] 서비스 연결 역할은 역할을 맡는 CloudWatch 서비스를 신뢰합니다.
## CloudWatch 데이터베이스 성능 개선 도우미에 대한 서비스 연결 역할 권한
CloudWatch는 **AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights**라는 서비스 연결 역할을 사용합니다. CloudWatch는 이 역할을 사용하여 경보 생성 및 스냅샷 생성을 위한 성능 개선 도우미 지표를 검색합니다.
**AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights** 서비스 연결 역할에는 `AWSServiceRoleForCloudWatchMetrics_DbPerfInsightsServiceRolePolicy` IAM 정책이 연결되어 있습니다. 해당 정책의 내용은 다음과 같습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"pi:GetResourceMetrics"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "${aws:PrincipalAccount}"
}
}
}
]
}
```
------
**AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights** 서비스 연결 역할은 CloudWatch 서비스를 신뢰하여 역할을 위임합니다.
## CloudWatch Logs 중앙 집중화에 대한 서비스 연결 역할 권한
**AWSObservabilityAdminLogsCentralizationServiceRolePolicy**는 CloudWatch 서비스 역할 같은 중앙 관리 계정의 적합한 IAM 엔터티에 연결하여 중앙 집중식 로그 수집을 설정하고 관리하는 데 필요한 권한을 부여합니다. CloudWatch는이 역할을 사용하여 조직의 모니터링 계정에서 CloudWatch 로그 그룹, 로그 스트림, 로그 이벤트를 생성하기 위해 지정한 다른 AWS 계정의 원격 분석 데이터에 액세스합니다. SLR은 CloudWatch 서비스가 모니터링 계정의 역할을 맡을 수 있도록 역할 수임 권한만 제공합니다. AWS Management Console을 사용하여 중앙 집중식 로그 수집을 설정한 경우 이 정책은 자동으로 연결됩니다. AWS CLI 또는 API를 사용하여 로그 중앙 집중화를 구성할 경우, 관찰성 관리 태스크에 사용할 IAM 역할에 이 정책을 수동으로 연결해야 합니다.
**AWSObservabilityAdminLogsCentralizationServiceRolePolicy** 서비스 연결 역할 권한 정책을 통해 CloudWatch는 다음 작업을 수행할 수 있습니다.
+ `sts:AssumeRole`
+ `logs:CreateLogGroup`
+ `logs:CreateLogStream`
+ `logs:PutLogEvents`
+ `kms:Encrypt`
+ `kms:Decrypt`
+ `kms:GenerateDataKey`
**AWSObservabilityAdminLogsCentralizationServiceRolePolicy** 서비스 연결 역할은 `logs-centralization.observabilityadmin.amazonaws.com` 서비스의 역할 수임을 신뢰합니다.
## CloudWatch에 대한 서비스 연결 역할 생성
이러한 서비스 연결 역할을 수동으로 생성할 필요가 없습니다. AWS Management Console, IAM CLI 또는 IAM API에서 경보를 처음 생성할 때 CloudWatch는 AWSServiceRoleForCloudWatchEvents와 **AWSServiceRoleForCloudWatchAlarms\$1ActionSSM**을 자동으로 생성합니다.
서비스 및 토폴로지 검색을 처음 활성화하면 Application Signals가 **AWSServiceRoleForCloudWatchApplicationSignals**를 생성합니다.
계정을 크로스 계정 크로스 리전 기능에 대한 모니터링 계정으로 처음 활성화할 때 CloudWatch는 **AWSServiceRoleForCloudWatchCrossAccount**를 자동으로 생성합니다.
`DB_PERF_INSIGHTS` 지표 수학 함수를 사용하는 경보를 처음 생성하면 CloudWatch가 **AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights**를 생성합니다.
자세한 내용은 *IAM 사용 설명서*의 [서비스 연결 역할 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) 섹션을 참조하세요.
## CloudWatch에 대한 서비스 연결 역할 편집
CloudWatch에서는 **AWSServiceRoleForCloudWatchEvents**, **AWSServiceRoleForCloudWatchAlarms\$1ActionSSM**, **AWSServiceRoleForCloudWatchCrossAccount** 또는 **AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights** 역할을 편집하는 것을 허용하지 않습니다. 다양한 개체가 역할을 참조할 수 있으므로 이러한 역할을 생성한 후에는 이름을 변경할 수 없습니다. 그러나 IAM을 사용하여 이러한 역할의 설명을 편집할 수 있습니다.
### 서비스 연결 역할 설명 편집(IAM 콘솔)
IAM 콘솔을 사용하여 서비스 연결 역할의 설명을 편집할 수 있습니다.
**서비스 연결 역할의 설명을 편집하는 방법(콘솔)**
1. IAM 콘솔의 탐색 창에서 **역할**을 선택합니다.
1. 변경할 역할 이름을 선택합니다.
1. **역할 설명**의 맨 오른쪽에서 **편집**을 선택합니다.
1. 상자에 새 설명을 입력하고 **저장**을 선택합니다.
### 서비스 연결 역할 설명 편집(AWS CLI)
AWS Command Line Interface에서 IAM 명령을 사용하여 서비스 연결 역할의 설명을 편집할 수 있습니다.
**서비스 연결 역할의 설명을 변경하려면(AWS CLI)**
1. (옵션) 역할의 현재 설명을 보려면 다음 명령 중 하나를 사용합니다.
```
$ aws iam [get-role](https://docs.aws.amazon.com/cli/latest/reference/iam/get-role.html) --role-name role-name
```
AWS CLI 명령에서 역할을 참조하려면 ARN이 아니라 역할 이름을 사용해야 합니다. 예를 들어, 어떤 역할의 ARN이 `arn:aws:iam::123456789012:role/myrole`인 경우 참조할 역할은 **myrole**입니다.
1. 서비스 연결 역할의 설명을 업데이트하려면 다음 명령을 사용합니다.
```
$ aws iam [update-role-description](https://docs.aws.amazon.com/cli/latest/reference/iam/update-role-description.html) --role-name role-name --description description
```
### 서비스 연결 역할 설명 편집(IAM API)
IAM API를 사용하여 서비스 연결 역할의 설명을 편집할 수 있습니다.
**서비스 연결 역할의 설명을 변경하는 방법(API)**
1. (선택 사항) 역할의 현재 설명을 보려면 다음 명령을 사용합니다.
[GetRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetRole.html)
1. 역할 설명을 업데이트하려면 다음 명령을 사용합니다.
[UpdateRoleDescription](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateRoleDescription.html)
## CloudWatch에 대한 서비스 연결 역할 삭제
자동으로 EC2 인스턴스를 중지, 종료 또는 재부팅하는 경보가 더 이상 없는 경우 AWSServiceRoleForCloudWatchEvents 역할을 삭제하는 것이 좋습니다.
Systems Manager OpsCenter 작업을 수행하는 경보가 더 이상 없는 경우 AWSServiceRoleForCloudWatchAlarms\$1ActionSSM 역할을 삭제하는 것이 좋습니다.
`DB_PERF_INSIGHTS` 지표 수학 함수를 사용하는 경보를 모두 삭제하는 경우 **AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights** 서비스 연결 역할을 삭제하는 것이 좋습니다.
따라서 적극적으로 모니터링하거나 유지하지 않는 미사용 엔터티가 없도록 합니다. 단, 삭제 전에 서비스 연결 역할을 정리해야 합니다.
### 서비스 연결 역할 정리
IAM을 사용하여 서비스 연결 역할을 삭제하기 전에 먼저 역할에 활성 세션이 없는지 확인하고 역할에서 사용되는 리소스를 모두 제거해야 합니다.
**IAM 콘솔에서 서비스 연결 역할에 활성 세션이 있는지 확인하려면**
1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/))을 엽니다.
1. 탐색 창에서 **역할**을 선택합니다. AWSServiceRoleForCloudWatchEvents 역할의 이름(확인란 아님)을 선택합니다.
1. 선택된 역할의 **요약** 페이지에서 **Access Advisor(액세스 관리자)**를 선택하고 서비스 연결 역할의 최근 활동을 검토합니다.
**참고**
CloudWatch가 AWSServiceRoleForCloudWatchEvents 역할을 사용하고 있는지 확실하지 않은 경우 역할을 삭제해 보세요. 서비스에서 역할을 사용하는 경우에는 삭제가 안 되어 역할이 사용 중인 리전을 볼 수 있습니다. 역할이 사용 중인 경우에는 세션이 종료될 때까지 기다렸다가 역할을 삭제해야 합니다. 서비스 연결 역할에 대한 세션은 취소할 수 없습니다.
### 서비스 연결 역할 삭제(IAM 콘솔)
IAM 콘솔을 사용하여 서비스 연결 역할을 삭제할 수 있습니다.
**서비스 연결 역할을 삭제하는 방법(콘솔)**
1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/))을 엽니다.
1. 탐색 창에서 **역할**을 선택합니다. 그런 다음 삭제할 역할의 이름이나 행이 아닌 이름 옆에 있는 확인란을 선택합니다.
1. **역할 작업**에 대해 **역할 삭제**를 선택합니다.
1. 확인 대화 상자에서 서비스 마지막 액세스 데이터를 검토합니다. 이 데이터는 선택된 각 역할이 AWS 서비스를 언제 마지막으로 액세스했는지 보여 줍니다. 이를 통해 역할이 현재 활동 중인지를 확인할 수 있습니다. 계속하려면 **예, 삭제**를 선택합니다.
1. IAM 콘솔 알림을 보고 서비스 연결 역할 삭제 진행 상황을 모니터링합니다. IAM 서비스 연결 역할 삭제는 비동기이므로 삭제할 역할을 제출한 후에 삭제 태스크가 성공하거나 실패할 수 있습니다. 작업에 실패할 경우 알림의 **세부 정보 보기** 또는 **View Resources(리소스 보기)**를 선택하면 삭제 실패 이유를 확인할 수 있습니다. 역할에서 사용 중인 리소스가 서비스에 있기 때문에 삭제에 실패하는 경우, 실패 원인에 리소스 목록이 포함됩니다.
### 서비스 연결 역할 삭제(AWS CLI)
AWS Command Line Interface에서 IAM 명령을 사용하여 서비스 연결 역할을 삭제할 수 있습니다.
**서비스 연결 역할을 삭제하려면(AWS CLI)**
1. 서비스 연결 역할이 사용되지 않거나 연결된 리소스가 없는 경우에는 서비스 연결 역할을 삭제할 수 없으므로 삭제 요청을 제출해야 합니다. 이러한 조건이 충족되지 않으면 요청이 거부될 수 있습니다. 삭제 태스크 상태를 확인하려면 응답의 `deletion-task-id`(을)를 캡처해야 합니다. 다음 명령을 입력하여 서비스 연결 역할 삭제 요청을 제출합니다.
```
$ aws iam [delete-service-linked-role](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-service-linked-role.html) --role-name service-linked-role-name
```
1. 다음 명령을 입력하여 삭제 작업의 상태를 확인합니다.
```
$ aws iam [get-service-linked-role-deletion-status](https://docs.aws.amazon.com/cli/latest/reference/iam/get-service-linked-role-deletion-status.html) --deletion-task-id deletion-task-id
```
삭제 태스크는 `NOT_STARTED`, `IN_PROGRESS`, `SUCCEEDED` 또는 `FAILED` 상태일 수 있습니다. 삭제에 실패할 경우 문제를 해결할 수 있도록 실패 이유가 호출에 반환됩니다.
### 서비스 연결 역할 삭제(IAM API)
IAM API를 사용하여 서비스 연결 역할을 삭제할 수 있습니다.
**서비스 연결 역할(API)을 삭제하는 방법**
1. 서비스 연결 역할 삭제 요청을 제출하려면 [DeleteServiceLinkedRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceLinkedRole.html)을 호출합니다. 요청에서 삭제할 역할 이름을 지정합니다.
서비스 연결 역할이 사용되지 않거나 연결된 리소스가 없는 경우에는 서비스 연결 역할을 삭제할 수 없으므로 삭제 요청을 제출해야 합니다. 이러한 조건이 충족되지 않으면 요청이 거부될 수 있습니다. 삭제 태스크 상태를 확인하려면 응답의 `DeletionTaskId`(을)를 캡처해야 합니다.
1. 삭제 상태를 확인하려면 [GetServiceLinkedRoleDeletionStatus](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetServiceLinkedRoleDeletionStatus.html)를 호출합니다. 요청에 `DeletionTaskId`(을)를 지정합니다.
삭제 태스크는 `NOT_STARTED`, `IN_PROGRESS`, `SUCCEEDED` 또는 `FAILED` 상태일 수 있습니다. 삭제에 실패할 경우 문제를 해결할 수 있도록 실패 이유가 호출에 반환됩니다.
## AWS 서비스 연결 역할에 대한 CloudWatch 업데이트
아래에는 CloudWatch의 AWS 관리형 정책 업데이트에 관한 세부 정보가 나와 있습니다. 이 서비스가 해당 변경 사항을 추적하기 시작한 이후부터 설명되어 있습니다. 이 페이지의 변경 사항에 관한 자동 알림을 받으려면 CloudWatch 문서 기록 페이지에서 RSS 피드를 구독하세요.
| 변경 | 설명 | 날짜 |
| --- | --- | --- |
| [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement) - 서비스 연결 역할 정책에 대한 업데이트. | 원격 분석 규칙을 기반으로 추가 AWS 리소스에 대한 원격 분석 구성을 사용하고 관리하는 데 필요한 권한을 CloudWatch에 부여하는 [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement)에 대한 정보를 업데이트했습니다. | 2026년 3월 31일 |
| [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement) - 서비스 연결 역할 정책에 대한 업데이트. | 원격 분석 규칙을 기반으로 추가 AWS 리소스에 대한 원격 분석 구성을 사용하고 관리하는 데 필요한 권한을 CloudWatch에 부여하는 [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement)에 대한 정보를 업데이트했습니다. | 2026년 3월 10일 |
| [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement) - 서비스 연결 역할 정책에 대한 업데이트. | 원격 분석 규칙을 기반으로 추가 AWS 리소스에 대한 원격 분석 구성을 사용하고 관리하는 데 필요한 권한을 CloudWatch에 부여하는 [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement)에 대한 정보를 업데이트했습니다. | 2025년 12월 2일 |
| [AWSServiceRoleForCloudWatchApplicationSignals](#service-linked-role-signals) – 서비스 연결 역할 정책의 권한 업데이트 | `resource-explorer-2:Search` 및 `cloudtrail:CreateServiceLinkedChannel`을 포함하도록 [CloudWatchApplicationSignalsServiceRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/using-service-linked-roles.html#service-linked-role-signals)를 업데이트하여 새로운 Application Signals 기능을 사용할 수 있게 되었습니다. | 2025년 11월 12일 |
| [ AWSObservabilityAdminLogsCentralizationServiceRolePolicy ](#service-linked-role-logscentralization) - 새 서비스 연결 역할 정책. | 원격 분석 규칙을 기반으로 AWS 리소스에 대한 원격 분석 구성을 활성화하고 관리하는 데 필요한 권한을 CloudWatch에 부여하는 [AWSObservabilityAdminLogsCentralizationServiceRolePolicy](#service-linked-role-logscentralization)에 대한 정보를 추가했습니다. | 2025년 9월 5일 |
| [ AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement) - 새로운 서비스 연결 역할 정책. | 원격 분석 규칙을 기반으로 AWS 리소스에 대한 원격 분석 구성을 활성화하고 관리하는 데 필요한 권한을 CloudWatch에 부여하는 [AWSObservabilityAdminTelemetryEnablementServiceRolePolicy](#service-linked-role-telemetry-enablement)에 대한 정보를 추가했습니다. | 2025년 7월 17일 |
| [AWSServiceRoleForCloudWatchApplicationSignals](#service-linked-role-signals) – 서비스 연결 역할 정책의 권한 업데이트 | SLO 달성률, 오류 예산 및 기타 비용율 지표에 영향을 미치는 기간을 제외하도록 [CloudWatchApplicationSignalsServiceRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/using-service-linked-roles.html#service-linked-role-signals)를 업데이트했습니다. CloudWatch는 사용자를 대신하여 제외 기간을 검색할 수 있습니다. | 2025년 3월 13일 |
| [AWSServiceRoleForObservabilityAdmin](#service-linked-role-telemetry-config) – 새 서비스 연결 역할 | CloudWatch는 AWS Organizations에 대한 리소스 및 원격 측정 구성 검색을 지원하기 위해 이 새로운 서비스 연결 역할과 해당하는 관리형 정책인 AWSObservabilityAdminServiceRolePolicy를 추가했습니다. | 2024년 11월 26일 |
| [AWSServiceRoleForCloudWatchApplicationSignals](#service-linked-role-signals) – 서비스 연결 역할 정책의 권한 업데이트 | CloudWatch에서 이 역할이 부여하는 `logs:StartQuery` 및 `logs:GetQueryResults` 권한의 범위에 더 많은 로그 그룹이 추가됩니다. | 2024년 4월 24일 |
| [ AWSServiceRoleForCloudWatchApplicationSignals](#service-linked-role-signals) – 새 서비스 연결 역할 | CloudWatch는 CloudWatch Application Signals가 CloudWatch Application Signals에 대해 활성화한 애플리케이션에서 CloudWatch Logs 데이터, X-Ray 트레이스 데이터, CloudWatch 지표 데이터 및 태그 지정 데이터를 수집할 수 있도록 이 새로운 서비스 연결 역할을 추가했습니다. | 2023년 11월 9일 |
| [ AWSServiceRoleForCloudWatchMetrics\$1DbPerfInsights](#service-linked-role-permissions-dbperfinsights) – 새로운 서비스 연결 역할 | CloudWatch는 CloudWatch가 경보 및 스냅샷 생성을 위해 성능 개선 도우미 지표를 가져올 수 있도록 이 새로운 서비스 연결 역할을 추가했습니다. IAM 정책은 이 역할에 연결되며, 정책은 CloudWatch에 사용자를 대신하여 성능 개선 도우미 지표를 가져올 수 있는 권한을 부여합니다. | 2023년 9월 13일 |
| [AWSServiceRoleForCloudWatchAlarms\$1ActionSSMIncidents](#service-linked-role-permissions-incident-manager) – 새 서비스 연결 역할 | CloudWatch는 새 서비스 연결 역할을 추가하여 CloudWatch가 AWS Systems Manager Incident Manager에서 인시던트를 생성할 수 있도록 했습니다. | 2021년 4월 26일 |
| CloudWatch에서 변경 사항 추적 시작 | CloudWatch가 서비스 연결 역할의 변경 사항 추적을 시작했습니다. | 2021년 4월 26일 |
# CloudWatch RUM에 서비스 연결 역할 사용
CloudWatch RUM은 AWS Identity and Access Management(IAM) [서비스 연결 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)을 사용합니다. 서비스 연결 역할은 RUM에 직접 연결된 고유한 유형의 IAM 역할입니다. 서비스 연결 역할은 RUM에서 사전 정의하며, 다른 AWS 서비스를 자동으로 호출하기 위해 필요한 모든 권한을 포함합니다.
RUM에서 서비스 연결 역할 권한을 정의하므로 달리 정의되지 않은 한 RUM만 해당 역할을 수임할 수 있습니다. 정의된 권한에는 신뢰 정책과 권한 정책이 포함되며 이 권한 정책은 다른 IAM 엔터티에 연결할 수 없습니다.
먼저 역할의 관련 리소스를 삭제해야만 역할을 삭제할 수 있습니다. 이렇게 제한하면 리소스에 대한 액세스 권한을 실수로 삭제할 수 없으므로 RUM 리소스가 보호됩니다.
서비스 연결 역할을 지원하는 기타 서비스에 대한 자세한 내용은 [AWS IAM으로 작업하는 서비스](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)를 참조하고 **서비스 연결 역할** 열에 **예**가 있는 서비스를 찾으세요. 해당 서비스에 대한 서비스 연결 역할 설명서를 보려면 **예** 링크를 선택합니다.
## RUM에 대한 서비스 연결 역할 권한
RUM은 **AWSServiceRoleForCloudWatchRUM**이라는 서비스 연결 역할을 사용합니다. X-Ray 추적을 활성화한 앱 모니터에 대해 이 역할을 사용하여 RUM이 AWS X-Ray 추적 데이터를 사용자 계정으로 전송할 수 있습니다.
**AWSServiceRoleForCloudWatchRUM** 서비스 연결 역할은 해당 역할을 맡는 X-Ray 서비스를 신뢰합니다. X-Ray는 추적 데이터를 계정으로 보냅니다.
**AWSServiceRoleForCloudWatchRUM** 서비스 연결 역할에는 **AmazonCloudWatchRUMServiceRolePolicy**에 연결된 IAM 정책이 있습니다. 이 정책은 CloudWatch RUM에 모니터링 데이터를 다른 관련 AWS 서비스에 게시할 수 있는 권한을 부여합니다. 여기에는 RUM이 다음 작업을 완료할 수 있도록 허용하는 권한이 포함됩니다.
+ `xray:PutTraceSegments`
+ `cloudwatch:PutMetricData`
**AmazonCloudWatchRUMServiceRolePolicy**의 전체 내용은 다음과 같습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"xray:PutTraceSegments"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": "cloudwatch:PutMetricData",
"Resource": "*",
"Condition": {
"StringLike": {
"cloudwatch:namespace": [
"RUM/CustomMetrics/*",
"AWS/RUM"
]
}
}
}
]
}
```
------
## RUM에 대한 서비스 연결 역할 생성
CloudWatch RUM에 대한 서비스 연결 역할은 수동으로 생성할 필요가 없습니다. X-Ray 추적이 활성화된 앱 모니터를 처음 생성하거나 X-Ray 추적을 사용하도록 앱 모니터를 처음 업데이트하면 RUM이 **AWSServiceRoleForCloudWatchRUM**을 생성합니다.
자세한 내용은 *IAM 사용 설명서*의 [서비스 연결 역할 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role) 섹션을 참조하세요.
## RUM에 대한 서비스 연결 역할 편집
CloudWatch RUM은 **AWSServiceRoleForCloudWatchRUM** 역할 편집을 허용하지 않습니다. 다양한 개체가 역할을 참조할 수 있으므로 이러한 역할을 생성한 후에는 이름을 변경할 수 없습니다. 그러나 IAM을 사용하여 이러한 역할의 설명을 편집할 수 있습니다.
### 서비스 연결 역할 설명 편집(IAM 콘솔)
IAM 콘솔을 사용하여 서비스 연결 역할의 설명을 편집할 수 있습니다.
**서비스 연결 역할의 설명을 편집하는 방법(콘솔)**
1. IAM 콘솔의 탐색 창에서 **역할**을 선택합니다.
1. 변경할 역할 이름을 선택합니다.
1. **역할 설명**의 맨 오른쪽에서 **편집**을 선택합니다.
1. 상자에 새 설명을 입력하고 **저장**을 선택합니다.
### 서비스 연결 역할 설명 편집(AWS CLI)
AWS Command Line Interface에서 IAM 명령을 사용하여 서비스 연결 역할의 설명을 편집할 수 있습니다.
**서비스 연결 역할의 설명을 변경하려면(AWS CLI)**
1. (옵션) 역할의 현재 설명을 보려면 다음 명령 중 하나를 사용합니다.
```
$ aws iam [get-role](https://docs.aws.amazon.com/cli/latest/reference/iam/get-role.html) --role-name role-name
```
AWS CLI 명령에서 역할을 참조하려면 ARN이 아니라 역할 이름을 사용해야 합니다. 예를 들어, 어떤 역할의 ARN이 `arn:aws:iam::123456789012:role/myrole`인 경우 참조할 역할은 **myrole**입니다.
1. 서비스 연결 역할의 설명을 업데이트하려면 다음 명령을 사용합니다.
```
$ aws iam [update-role-description](https://docs.aws.amazon.com/cli/latest/reference/iam/update-role-description.html) --role-name role-name --description description
```
### 서비스 연결 역할 설명 편집(IAM API)
IAM API를 사용하여 서비스 연결 역할의 설명을 편집할 수 있습니다.
**서비스 연결 역할의 설명을 변경하는 방법(API)**
1. (선택 사항) 역할의 현재 설명을 보려면 다음 명령을 사용합니다.
[GetRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetRole.html)
1. 역할 설명을 업데이트하려면 다음 명령을 사용합니다.
[UpdateRoleDescription](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateRoleDescription.html)
## RUM에 대한 서비스 연결 역할 삭제
활성화된 X-Ray를 사용하는 앱 모니터가 더 이상 없는 경우 **AWSServiceRoleForCloudWatchRUM** 역할을 삭제하는 것이 좋습니다.
따라서 적극적으로 모니터링하거나 유지하지 않는 미사용 엔터티가 없도록 합니다. 단, 삭제 전에 서비스 연결 역할을 정리해야 합니다.
### 서비스 연결 역할 정리
IAM을 사용하여 서비스 연결 역할을 삭제하기 전에 먼저 역할에 활성 세션이 없는지 확인하고 역할에서 사용되는 리소스를 모두 제거해야 합니다.
**IAM 콘솔에서 서비스 연결 역할에 활성 세션이 있는지 확인하려면**
1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/))을 엽니다.
1. 탐색 창에서 **역할**을 선택합니다. **AWSServiceRoleForCloudWatchRUM** 역할의 이름(확인란 아님)을 선택합니다.
1. 선택된 역할의 **요약** 페이지에서 **Access Advisor(액세스 관리자)**를 선택하고 서비스 연결 역할의 최근 활동을 검토합니다.
**참고**
RUM이 **AWSServiceRoleForCloudWatchRUM** 역할을 사용하고 있는지 확실하지 않은 경우 역할을 삭제할 수 있습니다. 서비스에서 역할을 사용하는 경우에는 삭제가 안 되어 역할이 사용 중인 리전을 볼 수 있습니다. 역할이 사용 중인 경우에는 세션이 종료될 때까지 기다렸다가 역할을 삭제해야 합니다. 서비스 연결 역할에 대한 세션은 취소할 수 없습니다.
### 서비스 연결 역할 삭제(IAM 콘솔)
IAM 콘솔을 사용하여 서비스 연결 역할을 삭제할 수 있습니다.
**서비스 연결 역할을 삭제하는 방법(콘솔)**
1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/))을 엽니다.
1. 탐색 창에서 **역할**을 선택합니다. 그런 다음 삭제할 역할의 이름이나 행이 아닌 이름 옆에 있는 확인란을 선택합니다.
1. **역할 작업**에 대해 **역할 삭제**를 선택합니다.
1. 확인 대화 상자에서 서비스 마지막 액세스 데이터를 검토합니다. 이 데이터는 선택된 각 역할이 AWS 서비스를 언제 마지막으로 액세스했는지 보여 줍니다. 이를 통해 역할이 현재 활동 중인지를 확인할 수 있습니다. 계속하려면 **예, 삭제**를 선택합니다.
1. IAM 콘솔 알림을 보고 서비스 연결 역할 삭제 진행 상황을 모니터링합니다. IAM 서비스 연결 역할 삭제는 비동기이므로 삭제할 역할을 제출한 후에 삭제 태스크가 성공하거나 실패할 수 있습니다. 작업에 실패할 경우 알림의 **세부 정보 보기** 또는 **View Resources(리소스 보기)**를 선택하면 삭제 실패 이유를 확인할 수 있습니다. 역할에서 사용 중인 리소스가 서비스에 있기 때문에 삭제에 실패하는 경우, 실패 원인에 리소스 목록이 포함됩니다.
### 서비스 연결 역할 삭제(AWS CLI)
AWS Command Line Interface에서 IAM 명령을 사용하여 서비스 연결 역할을 삭제할 수 있습니다.
**서비스 연결 역할을 삭제하려면(AWS CLI)**
1. 서비스 연결 역할이 사용되지 않거나 연결된 리소스가 없는 경우에는 서비스 연결 역할을 삭제할 수 없으므로 삭제 요청을 제출해야 합니다. 이러한 조건이 충족되지 않으면 요청이 거부될 수 있습니다. 삭제 태스크 상태를 확인하려면 응답의 `deletion-task-id`(을)를 캡처해야 합니다. 다음 명령을 입력하여 서비스 연결 역할 삭제 요청을 제출합니다.
```
$ aws iam [delete-service-linked-role](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-service-linked-role.html) --role-name service-linked-role-name
```
1. 다음 명령을 입력하여 삭제 작업의 상태를 확인합니다.
```
$ aws iam [get-service-linked-role-deletion-status](https://docs.aws.amazon.com/cli/latest/reference/iam/get-service-linked-role-deletion-status.html) --deletion-task-id deletion-task-id
```
삭제 태스크는 `NOT_STARTED`, `IN_PROGRESS`, `SUCCEEDED` 또는 `FAILED` 상태일 수 있습니다. 삭제에 실패할 경우 문제를 해결할 수 있도록 실패 이유가 호출에 반환됩니다.
### 서비스 연결 역할 삭제(IAM API)
IAM API를 사용하여 서비스 연결 역할을 삭제할 수 있습니다.
**서비스 연결 역할(API)을 삭제하는 방법**
1. 서비스 연결 역할 삭제 요청을 제출하려면 [DeleteServiceLinkedRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceLinkedRole.html)을 호출합니다. 요청에서 삭제할 역할 이름을 지정합니다.
서비스 연결 역할이 사용되지 않거나 연결된 리소스가 없는 경우에는 서비스 연결 역할을 삭제할 수 없으므로 삭제 요청을 제출해야 합니다. 이러한 조건이 충족되지 않으면 요청이 거부될 수 있습니다. 삭제 태스크 상태를 확인하려면 응답의 `DeletionTaskId`(을)를 캡처해야 합니다.
1. 삭제 상태를 확인하려면 [GetServiceLinkedRoleDeletionStatus](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetServiceLinkedRoleDeletionStatus.html)를 호출합니다. 요청에 `DeletionTaskId`(을)를 지정합니다.
삭제 태스크는 `NOT_STARTED`, `IN_PROGRESS`, `SUCCEEDED` 또는 `FAILED` 상태일 수 있습니다. 삭제에 실패할 경우 문제를 해결할 수 있도록 실패 이유가 호출에 반환됩니다.
## CloudWatch RUM 서비스 연결 역할을 지원하는 리전
CloudWatch RUM에서는 서비스를 사용할 수 있는 모든 AWS 리전에서 서비스 연결 역할 사용을 지원합니다. 자세한 내용은 [CloudWatch RUM 서비스 엔드포인트](https://docs.aws.amazon.com/general/latest/gr/cw_rum_region.html)를 참조하세요.
# CloudWatch Application Insights에 서비스 연결 역할 사용
CloudWatch Application Insights는 AWS Identity and Access Management(IAM) [서비스 연결 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)을 사용합니다. 서비스 연결 역할은 CloudWatch Application Insights에 직접 연결된 고유한 유형의 IAM 역할입니다. 서비스 연결 역할은 CloudWatch Application Insights에서 미리 정의하며 서비스가 사용자를 대신하여 다른 AWS 서비스를 호출하는 데 필요한 모든 권한을 포함합니다.
서비스 연결 역할을 사용하면 필요한 권한을 수동으로 추가할 필요가 없으므로 CloudWatch Application Insights를 더 쉽게 설정할 수 있습니다. CloudWatch Application Insights는 해당 서비스 연결 역할의 권한을 정의합니다. 달리 정의되어 있지 않는 한, CloudWatch Application Insights만 역할을 맡을 수 있습니다. 정의된 권한에는 신뢰 정책과 권한 정책이 포함되며 이 권한 정책은 다른 IAM 엔터티에 연결할 수 없습니다.
서비스 연결 역할을 지원하는 기타 서비스에 대한 자세한 내용은 [IAM으로 작업하는 AWS 서비스](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)를 참조해 **서비스 연결 역할(Service-Linked Role)** 열이 **예(Yes)**인 서비스를 찾으세요. 해당 서비스에 대한 서비스 연결 역할 설명서를 보려면 **예** 링크를 선택합니다.
## CloudWatch Application Insights에 대한 서비스 연결 역할 권한
CloudWatch Application Insights는 [**AWSServiceRoleForApplicationInsights**]라는 서비스 연결 역할을 사용합니다. Application Insights는 이 역할을 사용하여 고객의 리소스 그룹 분석, 지표에 대한 경보 생성을 위한 CloudFormation 스택 생성, EC2 인스턴스에서 CloudWatch 에이전트 구성과 같은 작업을 수행합니다. 이 서비스 연결 역할에는 연결된 IAM 정책이 있으며, 이름은 `CloudwatchApplicationInsightsServiceLinkedRolePolicy`입니다. 이 정책에 대한 업데이트는 [AWS 관리형 정책에 대한 Application Insights 업데이트](security-iam-awsmanpol-appinsights.md#security-iam-awsmanpol-appinsights-updates) 단원을 참조하세요.
역할 권한 정책은 CloudWatch Application Insights가 리소스에서 다음 작업을 완료하도록 허용합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CloudWatch",
"Effect": "Allow",
"Action": [
"cloudwatch:DescribeAlarmHistory",
"cloudwatch:DescribeAlarms",
"cloudwatch:GetMetricData",
"cloudwatch:ListMetrics",
"cloudwatch:PutMetricAlarm",
"cloudwatch:DeleteAlarms",
"cloudwatch:PutAnomalyDetector",
"cloudwatch:DeleteAnomalyDetector",
"cloudwatch:DescribeAnomalyDetectors"
],
"Resource": [
"*"
]
},
{
"Sid": "CloudWatchLogs",
"Effect": "Allow",
"Action": [
"logs:FilterLogEvents",
"logs:GetLogEvents",
"logs:DescribeLogStreams",
"logs:DescribeLogGroups"
],
"Resource": [
"*"
]
},
{
"Sid": "EventBridge",
"Effect": "Allow",
"Action": [
"events:DescribeRule"
],
"Resource": [
"*"
]
},
{
"Sid": "CloudFormation",
"Effect": "Allow",
"Action": [
"cloudFormation:CreateStack",
"cloudFormation:UpdateStack",
"cloudFormation:DeleteStack",
"cloudFormation:DescribeStackResources",
"cloudFormation:UpdateTerminationProtection"
],
"Resource": [
"arn:aws:cloudformation:*:*:stack/ApplicationInsights-*"
]
},
{
"Sid": "CloudFormationStacks",
"Effect": "Allow",
"Action": [
"cloudFormation:DescribeStacks",
"cloudFormation:ListStackResources",
"cloudFormation:ListStacks"
],
"Resource": [
"*"
]
},
{
"Sid": "Tag",
"Effect": "Allow",
"Action": [
"tag:GetResources"
],
"Resource": [
"*"
]
},
{
"Sid": "ResourceGroups",
"Effect": "Allow",
"Action": [
"resource-groups:ListGroupResources",
"resource-groups:GetGroupQuery",
"resource-groups:GetGroup"
],
"Resource": [
"*"
]
},
{
"Sid": "ApplicationInsightsResourceGroup",
"Effect": "Allow",
"Action": [
"resource-groups:CreateGroup",
"resource-groups:DeleteGroup"
],
"Resource": [
"arn:aws:resource-groups:*:*:group/ApplicationInsights-*"
]
},
{
"Sid": "ElasticLoadBalancing",
"Effect": "Allow",
"Action": [
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeTargetGroups",
"elasticloadbalancing:DescribeTargetHealth"
],
"Resource": [
"*"
]
},
{
"Sid": "AutoScaling",
"Effect": "Allow",
"Action": [
"autoscaling:DescribeAutoScalingGroups"
],
"Resource": [
"*"
]
},
{
"Sid": "SSMParameter",
"Effect": "Allow",
"Action": [
"ssm:PutParameter",
"ssm:DeleteParameter",
"ssm:AddTagsToResource",
"ssm:RemoveTagsFromResource",
"ssm:GetParameters"
],
"Resource": "arn:aws:ssm:*:*:parameter/AmazonCloudWatch-ApplicationInsights-*"
},
{
"Sid": "SSMAssociation",
"Effect": "Allow",
"Action": [
"ssm:CreateAssociation",
"ssm:UpdateAssociation",
"ssm:DeleteAssociation",
"ssm:DescribeAssociation"
],
"Resource": [
"arn:aws:ec2:*:*:instance/*",
"arn:aws:ssm:*:*:association/*",
"arn:aws:ssm:*:*:managed-instance/*",
"arn:aws:ssm:*:*:document/AWSEC2-ApplicationInsightsCloudwatchAgentInstallAndConfigure",
"arn:aws:ssm:*:*:document/AWS-ConfigureAWSPackage",
"arn:aws:ssm:*:*:document/AmazonCloudWatch-ManageAgent"
]
},
{
"Sid": "SSMOpsItem",
"Effect": "Allow",
"Action": [
"ssm:GetOpsItem",
"ssm:CreateOpsItem",
"ssm:DescribeOpsItems",
"ssm:UpdateOpsItem",
"ssm:DescribeInstanceInformation"
],
"Resource": [
"*"
]
},
{
"Sid": "SSMTags",
"Effect": "Allow",
"Action": [
"ssm:AddTagsToResource"
],
"Resource": "arn:aws:ssm:*:*:opsitem/*"
},
{
"Sid": "SSMGetCommandInvocation",
"Effect": "Allow",
"Action": [
"ssm:ListCommandInvocations",
"ssm:GetCommandInvocation"
],
"Resource": [
"*"
]
},
{
"Sid": "SSMSendCommand",
"Effect": "Allow",
"Action": "ssm:SendCommand",
"Resource": [
"arn:aws:ec2:*:*:instance/*",
"arn:aws:ssm:*:*:document/AWSEC2-CheckPerformanceCounterSets",
"arn:aws:ssm:*:*:document/AWS-ConfigureAWSPackage",
"arn:aws:ssm:*:*:document/AWSEC2-DetectWorkload",
"arn:aws:ssm:*:*:document/AmazonCloudWatch-ManageAgent"
]
},
{
"Sid": "EC2",
"Effect": "Allow",
"Action": [
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"ec2:DescribeVolumeStatus",
"ec2:DescribeVpcs",
"ec2:DescribeVpcAttribute",
"ec2:DescribeNatGateways"
],
"Resource": [
"*"
]
},
{
"Sid": "RDS",
"Effect": "Allow",
"Action": [
"rds:DescribeDBInstances",
"rds:DescribeDBClusters"
],
"Resource": [
"*"
]
},
{
"Sid": "Lambda",
"Effect": "Allow",
"Action": [
"lambda:ListFunctions",
"lambda:GetFunctionConfiguration",
"lambda:ListEventSourceMappings"
],
"Resource": [
"*"
]
},
{
"Sid": "EventBridgeManagedRule",
"Effect": "Allow",
"Action": [
"events:PutRule",
"events:PutTargets",
"events:RemoveTargets",
"events:DeleteRule"
],
"Resource": [
"arn:aws:events:*:*:rule/AmazonCloudWatch-ApplicationInsights-*"
]
},
{
"Sid": "XRay",
"Effect": "Allow",
"Action": [
"xray:GetServiceGraph",
"xray:GetTraceSummaries",
"xray:GetTimeSeriesServiceStatistics",
"xray:GetTraceGraph"
],
"Resource": [
"*"
]
},
{
"Sid": "DynamoDB",
"Effect": "Allow",
"Action": [
"dynamodb:ListTables",
"dynamodb:DescribeTable",
"dynamodb:DescribeContributorInsights",
"dynamodb:DescribeTimeToLive"
],
"Resource": [
"*"
]
},
{
"Sid": "ApplicationAutoscaling",
"Effect": "Allow",
"Action": [
"application-autoscaling:DescribeScalableTargets"
],
"Resource": [
"*"
]
},
{
"Sid": "S3",
"Effect": "Allow",
"Action": [
"s3:ListAllMyBuckets",
"s3:GetMetricsConfiguration",
"s3:GetReplicationConfiguration"
],
"Resource": [
"*"
]
},
{
"Sid": "States",
"Effect": "Allow",
"Action": [
"states:ListStateMachines",
"states:DescribeExecution",
"states:DescribeStateMachine",
"states:GetExecutionHistory"
],
"Resource": [
"*"
]
},
{
"Sid": "APIGateway",
"Effect": "Allow",
"Action": [
"apigateway:GET"
],
"Resource": [
"*"
]
},
{
"Sid": "ECS",
"Effect": "Allow",
"Action": [
"ecs:DescribeClusters",
"ecs:DescribeContainerInstances",
"ecs:DescribeServices",
"ecs:DescribeTaskDefinition",
"ecs:DescribeTasks",
"ecs:DescribeTaskSets",
"ecs:ListClusters",
"ecs:ListContainerInstances",
"ecs:ListServices",
"ecs:ListTasks"
],
"Resource": [
"*"
]
},
{
"Sid": "ECSCluster",
"Effect": "Allow",
"Action": [
"ecs:UpdateClusterSettings"
],
"Resource": [
"arn:aws:ecs:*:*:cluster/*"
]
},
{
"Sid": "EKS",
"Effect": "Allow",
"Action": [
"eks:DescribeCluster",
"eks:DescribeFargateProfile",
"eks:DescribeNodegroup",
"eks:ListClusters",
"eks:ListFargateProfiles",
"eks:ListNodegroups",
"fsx:DescribeFileSystems",
"fsx:DescribeVolumes"
],
"Resource": [
"*"
]
},
{
"Sid": "SNS",
"Effect": "Allow",
"Action": [
"sns:GetSubscriptionAttributes",
"sns:GetTopicAttributes",
"sns:GetSMSAttributes",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics"
],
"Resource": [
"*"
]
},
{
"Sid": "SQS",
"Effect": "Allow",
"Action": [
"sqs:ListQueues"
],
"Resource": "*"
},
{
"Sid": "CloudWatchLogsDeleteSubscriptionFilter",
"Effect": "Allow",
"Action": [
"logs:DeleteSubscriptionFilter"
],
"Resource": [
"arn:aws:logs:*:*:log-group:*"
]
},
{
"Sid": "CloudWatchLogsCreateSubscriptionFilter",
"Effect": "Allow",
"Action": [
"logs:PutSubscriptionFilter"
],
"Resource": [
"arn:aws:logs:*:*:log-group:*",
"arn:aws:logs:*:*:destination:AmazonCloudWatch-ApplicationInsights-LogIngestionDestination*"
]
},
{
"Sid": "EFS",
"Effect": "Allow",
"Action": [
"elasticfilesystem:DescribeFileSystems"
],
"Resource": [
"*"
]
},
{
"Sid": "Route53",
"Effect": "Allow",
"Action": [
"route53:GetHostedZone",
"route53:GetHealthCheck",
"route53:ListHostedZones",
"route53:ListHealthChecks",
"route53:ListQueryLoggingConfigs"
],
"Resource": [
"*"
]
},
{
"Sid": "Route53Resolver",
"Effect": "Allow",
"Action": [
"route53resolver:ListFirewallRuleGroupAssociations",
"route53resolver:GetFirewallRuleGroup",
"route53resolver:ListFirewallRuleGroups",
"route53resolver:ListResolverEndpoints",
"route53resolver:GetResolverQueryLogConfig",
"route53resolver:ListResolverQueryLogConfigs",
"route53resolver:ListResolverQueryLogConfigAssociations",
"route53resolver:GetResolverEndpoint",
"route53resolver:GetFirewallRuleGroupAssociation"
],
"Resource": [
"*"
]
}
]
}
```
------
IAM 엔터티(사용자, 그룹, 역할 등)가 서비스 연결 역할을 생성하고 편집하거나 삭제할 수 있도록 권한을 구성할 수 있습니다. 자세한 내용은 IAM 사용 설명서**의 [서비스 연결 역할 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) 섹션을 참조하세요.
## CloudWatch Application Insights에 대한 서비스 연결 역할 생성
서비스 연결 역할은 수동으로 생성할 필요가 없습니다. AWS Management Console에서 새 Application Insights 애플리케이션을 생성하면 CloudWatch Application Insights가 서비스 연결 역할을 자동으로 생성합니다.
이 서비스 연결 역할을 삭제한 다음 다시 생성하려는 경우 동일한 프로세스를 사용하여 계정에서 역할을 다시 생성할 수 있습니다. 새 Application Insights 애플리케이션을 생성하면 CloudWatch Application Insights가 서비스 연결 역할을 다시 자동으로 생성합니다.
## CloudWatch Application Insights에 대한 서비스 연결 역할 편집
CloudWatch Application Insights에서는 AWSServiceRoleForApplicationInsights 서비스 연결 역할을 편집할 수 없습니다. 서비스 연결 역할을 생성한 후에는 다양한 개체가 역할을 참조할 수 있기 때문에 역할 이름을 변경할 수 없습니다. 하지만 IAM을 사용하여 역할의 설명을 편집할 수 있습니다. 자세한 내용은 IAM 사용 설명서**의 [서비스 연결 역할 편집](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)을 참조하세요.
## CloudWatch Application Insights에 대한 서비스 연결 역할 삭제
서비스 연결 역할이 필요한 특성 또는 서비스가 더 이상 필요 없는 경우에는 해당 역할을 삭제하는 것이 좋습니다. 이렇게 하면 적극적으로 모니터링되거나 유지 관리되지 않는 미사용 개체를 피할 수 있습니다. 그러나 역할을 수동으로 삭제하기 전에 Application Insights에서 모든 애플리케이션을 삭제해야 합니다.
**참고**
리소스를 삭제하려고 할 때 CloudWatch Application Insights 서비스가 역할을 사용 중인 경우 삭제에 실패할 수 있습니다. 이 문제가 발생하면 몇 분 기다렸다가 작업을 다시 시도하세요.
**AWSServiceRoleForApplicationInsights가 사용하는 CloudWatch Application Insights 리소스를 삭제하려면**
+ 모든 CloudWatch Application Insights 애플리케이션을 삭제합니다. 자세한 내용은 CloudWatch Application Insights 사용 설명서의 ‘애플리케이션 삭제’ 단원을 참조하세요.
**IAM을 사용하여 수동으로 서비스 연결 역할을 삭제하려면 다음을 수행하세요.**
IAM 콘솔, AWS CLI 또는 AWS API를 사용하여 AWSServiceRoleForApplicationInsights 서비스 연결 역할을 삭제합니다. 자세한 내용은 [IAM 사용 설명서](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)의 *서비스 연결 역할 삭제*를 참조하세요.
## CloudWatch Application Insights 서비스 연결 역할에 지원되는 리전
CloudWatch Application Insights는 서비스를 사용할 수 있는 모든 AWS 리전에서 서비스 연결 역할 사용을 지원합니다. 자세한 내용은 [CloudWatch Application Insights 리전 및 엔드포인트](https://docs.aws.amazon.com/general/latest/gr/applicationinsights.html) 단원을 참조하세요.
# Amazon CloudWatch Application Insights에 대한 AWS 관리형 정책
AWS 관리형 정책은 AWS에 의해 생성되고 관리되는 독립 실행형 정책입니다. AWS 관리형 정책은 사용자, 그룹 및 역할에 권한 할당을 시작할 수 있도록 많은 일반 사용 사례에 대한 권한을 제공하도록 설계되었습니다.
AWS 관리형 정책은 모든 AWS 고객이 사용할 수 있기 때문에 특정 사용 사례에 대해 최소 권한을 부여하지 않을 수 있습니다. 사용 사례에 고유한 [고객 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)을 정의하여 권한을 줄이는 것이 좋습니다.
AWS 관리형 정책에서 정의한 권한은 변경할 수 없습니다. 만약 AWS가 AWS 관리형 정책에 정의된 권한을 업데이트할 경우 정책이 연결되어 있는 모든 보안 주체 ID(사용자, 그룹 및 역할)에도 업데이트가 적용됩니다. 새 AWS 서비스을(를) 시작하거나 새 API 작업을 기존 서비스에 이용하는 경우, AWS가 AWS 관리형 정책을 업데이트할 가능성이 높습니다.
자세한 내용은 *IAM 사용자 가이드*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)을 참조하세요.
## AWS 관리형 정책: CloudWatchApplicationInsightsFullAccess
`CloudWatchApplicationInsightsFullAccess` 정책을 IAM ID에 연결할 수 있습니다.
이 정책은 Application Insights 기능에 대한 전체 액세스를 허용하는 관리 권한을 부여합니다.
**권한 세부 정보**
이 정책에는 다음 권한이 포함되어 있습니다.
+ `applicationinsights` – Application Insights 기능에 대한 전체 액세스를 허용합니다.
+ `iam` – Application Insights가 서비스 연결 역할인 AWSServiceRoleForApplicationInsights를 생성하도록 허용합니다. 이 역할은 Application Insights가 고객의 리소스 그룹을 분석하고 CloudFormation 스택을 생성하여 지표에 대한 경보를 생성하며 EC2 인스턴스에서 CloudWatch 에이전트를 구성하는 등의 작업을 수행할 수 있도록 하는 데 필요합니다. 자세한 내용은 [CloudWatch Application Insights에 서비스 연결 역할 사용](CHAP_using-service-linked-roles-appinsights.md) 단원을 참조하세요.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "applicationinsights:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ec2:DescribeInstances",
"ec2:DescribeVolumes",
"rds:DescribeDBInstances",
"rds:DescribeDBClusters",
"sqs:ListQueues",
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeTargetGroups",
"elasticloadbalancing:DescribeTargetHealth",
"autoscaling:DescribeAutoScalingGroups",
"lambda:ListFunctions",
"dynamodb:ListTables",
"s3:ListAllMyBuckets",
"sns:ListTopics",
"states:ListStateMachines",
"apigateway:GET",
"ecs:ListClusters",
"ecs:DescribeTaskDefinition",
"ecs:ListServices",
"ecs:ListTasks",
"eks:ListClusters",
"eks:ListNodegroups",
"fsx:DescribeFileSystems",
"logs:DescribeLogGroups",
"elasticfilesystem:DescribeFileSystems"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/application-insights.amazonaws.com/AWSServiceRoleForApplicationInsights"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "application-insights.amazonaws.com"
}
}
}
]
}
```
------
## AWS 관리형 정책: CloudWatchApplicationInsightsReadOnlyAccess
`CloudWatchApplicationInsightsReadOnlyAccess` 정책을 IAM ID에 연결할 수 있습니다.
이 정책은 모든 Application Insights 기능에 대한 읽기 전용 액세스를 허용하는 관리 권한을 부여합니다.
**권한 세부 정보**
이 정책에는 다음 권한이 포함되어 있습니다.
+ `applicationinsights` – Application Insights 기능에 대한 읽기 전용 액세스를 허용합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"applicationinsights:Describe*",
"applicationinsights:List*"
],
"Resource": "*"
}
]
}
```
------
## AWS 관리형 정책: CloudwatchApplicationInsightsServiceLinkedRolePolicy
CloudwatchApplicationInsightsServiceLinkedRolePolicy를 IAM 엔터티에 연결할 수 없습니다. 이 정책은 Application Insights가 고객 리소스를 모니터링할 수 있게 허용하는 서비스 연결 역할에 연결됩니다. 자세한 내용은 [CloudWatch Application Insights에 서비스 연결 역할 사용](CHAP_using-service-linked-roles-appinsights.md) 단원을 참조하세요.
## AWS 관리형 정책에 대한 Application Insights 업데이트
아래에는 Application Insights의 AWS 관리형 정책 업데이트에 관한 세부 정보가 나와 있습니다. 이 서비스가 해당 변경 사항을 추적하기 시작한 이후부터 설명되어 있습니다. 이 페이지의 변경 사항에 관한 자동 알림을 받으려면 Application Insights [문서 기록](DocumentHistory.md) 페이지에서 RSS 피드를 구독하세요.
| 변경 | 설명 | 날짜 |
| --- | --- | --- |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에서 새 권한을 추가했습니다. 정책 변경을 통해 Amazon CloudWatch Application Insights는 CloudFormation 스택에서 종료 보호를 활성화 및 비활성화하여 CloudWatch 에이전트를 설치 및 구성하는 데 사용되는 SSM 리소스를 관리할 수 있습니다. | 2024년 7월 25일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에 CloudFormation 스택을 나열할 수 있는 새로운 권한이 추가되었습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 CloudFormation 스택에 중첩된 AWS 리소스를 분석하고 모니터하는 데 필요합니다. | 2023년 4월 24일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에서는 Amazon VPC 및 Route 53 리소스의 목록을 가져오는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights에서 Amazon CloudWatch을(를) 사용하여 모범 사례 네트워크 모니터링을 자동으로 설정하는 데 필요합니다. | 2023년 1월 23일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에는 SSM 명령 호출 결과를 가져오는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights에서 Amazon EC2에서 실행 중인 워크로드를 자동으로 탐지 및 모니터링하는 데 필요합니다. | 2022년 12월 19일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에서는 Amazon VPC 및 Route 53 리소스를 설명하는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 고객 Amazon VPC 및 Route 53 리소스 구성을 읽고 고객이 Amazon CloudWatch을(를) 사용해 모범 사례 네트워크 모니터링을 자동으로 설정하도록 지원하는 데 필요합니다. | 2022년 12월 19일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에는 EFS 리소스를 기술하는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 Amazon EFS 고객 리소스 구성을 읽고 고객이 CloudWatch를 사용해 EFS 모니터링에 대한 모범 사례를 자동으로 설정하도록 지원하는 데 필요합니다. | 2022년 10월 3일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에는 EFS 파일 리스템을 기술하는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 계정에서 지원되는 모든 리소스를 쿼리하여 계정 기반 애플리케이션을 생성하는 데 필요합니다. | 2022년 10월 3일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에서는 FSx 리소스에 대한 정보를 검색하는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 기본 FSx 볼륨에 대한 충분한 정보를 검색하여 워크로드를 모니터링하는 데 필요합니다. | 2022년 9월 12일 |
| [AWS 관리형 정책: CloudWatchApplicationInsightsFullAccess](#security-iam-awsmanpol-appinsights-CloudWatchApplicationInsightsFullAccess) - 기존 정책 업데이트 | Application Insights에서는 로그 그룹을 설명하는 새 권한을 추가했습니다. 새 애플리케이션을 생성할 때 모니터링 로그 그룹에 대한 올바른 권한이 계정에 있는지 확인하려면 Amazon CloudWatch Application Insights에 이 권한이 필요합니다. | 2022년 1월 24일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights에서는 CloudWatch Log 구독 필터를 생성하고 삭제하는 새 권한을 추가했습니다. 구성한 애플리케이션 내에서 리소스의 로그 모니터링이 용이하도록 Amazon CloudWatch Application Insights에서 구독 필터를 생성하려면 이러한 권한이 필요합니다. | 2022년 1월 24일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights는 Elastic Load Balancer의 대상 그룹 및 대상 상태를 설명하는 새로운 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 계정에서 지원되는 모든 리소스를 쿼리하여 계정 기반 애플리케이션을 생성하는 데 필요합니다. | 2021년 11월 4일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights는 Amazon EC2 인스턴스에 대한 `AmazonCloudWatch-ManageAgent` SSM 문서를 실행하는 새로운 권한을 추가했습니다. 이 권한은 Amazon CloudWatch Application Insights가 Application Insights에서 생성한 CloudWatch 에이전트 구성 파일을 정리하는 데 필요합니다. | 2021년 9월 30일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights는 계정 기반 애플리케이션 모니터링을 지원하는 새로운 권한을 추가하여 계정에서 지원되는 모든 리소스를 온보딩하고 모니터링합니다. 이러한 권한은 Amazon CloudWatch Application Insights에서 쿼리하고, 리소스에 태깅하고, 해당 리소스에 대한 그룹을 생성하는 데 필요합니다. Application Insights는 SNS 주제 모니터링을 지원하는 새로운 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 SNS 리소스에서 메타데이터를 수집하여 SNS 주제에 대한 모니터링을 구성하는 데 필요합니다. | 2021년 9월 15일 |
| [AWS 관리형 정책: CloudWatchApplicationInsightsFullAccess](#security-iam-awsmanpol-appinsights-CloudWatchApplicationInsightsFullAccess) - 기존 정책 업데이트 | Application Insights는 지원되는 리소스를 기술하고 나열하는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 계정에서 지원되는 모든 리소스를 쿼리하여 계정 기반 애플리케이션을 생성하는 데 필요합니다. | 2021년 9월 15일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights는 FSx 리소스를 기술하는 새 권한을 추가했습니다. 이러한 권한은 Amazon CloudWatch Application Insights가 고객 FSx 리소스 구성을 읽고 고객이 CloudWatch를 사용해 모범 사례 FSx 모니터링을 자동으로 설정하도록 지원하는 데 필요합니다. | 2021년 8월 31일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights는 ECS 및 EKS 서비스 리소스를 기술하고 나열하는 새 권한을 추가했습니다. 이 권한은 Amazon CloudWatch Application Insights가 고객 컨테이너 리소스 구성을 읽고 고객이 CloudWatch를 사용해 모범 사례 컨테이너 모니터링을 자동으로 설정하도록 지원하는 데 필요합니다. | 2021년 5월 18일 |
| [CloudwatchApplicationInsightsServiceLinkedRolePolicy](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CHAP_using-service-linked-roles-appinsights.html) – 기존 정책 업데이트 | Application Insights는 OpsCenter가 `opsitem` 리소스 유형의 리소스에서 `ssm:AddTagsToResource` 작업을 사용하여 OpsItem에 태그를 지정할 수 있게 허용하는 새 권한을 추가했습니다. 이 권한은 OpsCenter에 필요합니다. Amazon CloudWatch Application Insights는 고객이 [AWS SSM OpsCenter](https://docs.aws.amazon.com/systems-manager/latest/userguide/OpsCenter.html)를 사용하여 문제를 해결할 수 있도록 OpsItem을 생성합니다. | 2021년 4월 13일 |
| Application Insights에서 변경 사항 추적 시작 | Application Insights가 AWS 관리형 정책의 변경 사항 추적을 시작했습니다. | 2021년 4월 13일 |
# Amazon CloudWatch 권한 참조
다음 테이블에는 각 CloudWatch API 작업과 이 작업을 수행할 권한을 부여할 수 있는 작업이 나와 있습니다. 정책의 `Action` 필드에서 작업을 지정하고, 정책의 `Resource` 필드에서 리소스 값으로 와일드카드 문자 (\$1)를 지정합니다.
CloudWatch 정책에서 AWS 전체 조건 키를 사용하여 조건을 표현할 수 있습니다. AWS 전체 키의 완전한 목록은 *IAM 사용 설명서*의 [AWS 글로벌 및 IAM 조건 컨텍스트 키](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) 단원을 참조하세요.
**참고**
작업을 지정하려면 `cloudwatch:` 접두사 다음에 API 작업 이름을 사용합니다. 예를 들어 `cloudwatch:GetMetricData`, `cloudwatch:ListMetrics` 또는 `cloudwatch:*`(모든 CloudWatch 작업의 경우) 같이 지정합니다.
**Topics**
+ [CloudWatch API 작업 및 작업에 필요한 권한](#cw-permissions-table)
+ [CloudWatch Application Signals API 작업 및 작업에 필요한 권한](#cw-application-signals-permissions-table)
+ [CloudWatch Contributor Insights API 작업 및 작업에 필요한 권한](#cw-contributor-insights-permissions-table)
+ [CloudWatch Events API 작업 및 작업에 필요한 권한](#cwe-permissions-table)
+ [CloudWatch Logs API 작업 및 작업에 필요한 권한](#cwl-permissions-table)
+ [Amazon EC2 API 작업 및 작업에 필요한 권한](#cw-ec2-permissions-table)
+ [Amazon EC2 Auto Scaling API 작업 및 작업에 필요한 권한](#cw-as-permissions-table)
## CloudWatch API 작업 및 작업에 필요한 권한
| CloudWatch API 작업 | 필요한 권한(API 작업) |
| --- | --- |
| [DeleteAlarms](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DeleteAlarms.html) | `cloudwatch:DeleteAlarms` 경보를 삭제하는 데 필요합니다. |
| [DeleteDashboards](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DeleteDashboards.html) | `cloudwatch:DeleteDashboards` 대시보드를 삭제하는 데 필요합니다. |
| [DeleteMetricStream](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DeleteMetricStream.html) | `cloudwatch:DeleteMetricStream` 지표 스트림을 삭제하는 데 필요합니다. |
| [DescribeAlarmHistory](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DescribeAlarmHistory.html) | `cloudwatch:DescribeAlarmHistory` 경보 기록을 보는 데 필요합니다. 복합 경보에 관한 정보를 검색하려면 `cloudwatch:DescribeAlarmHistory` 권한의 범위가 `*`여야 합니다. `cloudwatch:DescribeAlarmHistory` 권한의 범위가 더 좁은 경우 복합 경보에 관한 정보를 반환할 수 없습니다. |
| [DescribeAlarms](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DescribeAlarms.html) | `cloudwatch:DescribeAlarms` 경보에 관한 정보를 검색하는 데 필요합니다. 복합 경보에 관한 정보를 검색하려면 `cloudwatch:DescribeAlarms` 권한의 범위가 `*`여야 합니다. `cloudwatch:DescribeAlarms` 권한의 범위가 더 좁은 경우 복합 경보에 관한 정보를 반환할 수 없습니다. |
| [DescribeAlarmsForMetric](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DescribeAlarmsForMetric.html) | `cloudwatch:DescribeAlarmsForMetric` 지표에 대한 경보를 보는 데 필요합니다. |
| [DisableAlarmActions](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DisableAlarmActions.html) | `cloudwatch:DisableAlarmActions` 경보 작업을 비활성화하는 데 필요합니다. |
| [EnableAlarmActions](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_EnableAlarmActions.html) | `cloudwatch:EnableAlarmActions` 경보 작업을 활성화하는 데 필요합니다. |
| [GetDashboard](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetDashboard.html) | `cloudwatch:GetDashboard` 기존 대시보드에 대한 데이터를 표시하는 데 필요합니다. |
| [GetMetricData](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetMetricData.html) | `cloudwatch:GetMetricData` CloudWatch 콘솔에서 지표 데이터를 그래프로 표시하고 지표 데이터의 대규모 배치를 검색하며 해당 데이터에 대해 지표 수학을 수행하는 데 필요합니다. |
| [GetMetricStatistics](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetMetricStatistics.html) | `cloudwatch:GetMetricStatistics` CloudWatch 콘솔의 다른 부분과 대시보드 위젯에서 그래프를 보는 데 필요합니다. |
| [GetMetricStream](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetMetricStream.html) | `cloudwatch:GetMetricStream` 지표 스트림에 관한 정보를 보는 데 필요합니다. |
| [GetMetricWidgetImage](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetMetricWidgetImage.html) | `cloudwatch:GetMetricWidgetImage` CloudWatch 지표 1개 이상의 스냅샷 그래프를 비트맵 이미지로 가져오는 데 필요합니다. |
| [ListDashboards](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_ListDashboards.html) | `cloudwatch:ListDashboards` 계정의 CloudWatch 대시보드 목록을 보는 데 필요합니다. |
| ListEntitiesForMetric (CloudWatch 콘솔 전용 권한) | `cloudwatch:ListEntitiesForMetric` 지표와 연결된 엔터티를 찾는 데 필요합니다. CloudWatch 콘솔 내에서 관련 원격 측정을 살펴보는 데 필요합니다. |
| [ListMetrics](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_ListMetrics.html) | `cloudwatch:ListMetrics` CloudWatch 콘솔 및 CLI에서 지표 이름을 보거나 검색하는 데 필요합니다. 대시보드 위젯에서 지표를 선택하는 데 필요합니다. |
| [ListMetricStreams](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_ListMetricStreams.html) | `cloudwatch:ListMetricStreams` 계정의 지표 스트림 목록을 보거나 검색하는 데 필요합니다. |
| [PutCompositeAlarm](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutCompositeAlarm.html) | `cloudwatch:PutCompositeAlarm` 복합 경보를 생성하는 데 필요합니다. 복합 경보를 생성하려면 `cloudwatch:PutCompositeAlarm` 권한의 범위가 `*`여야 합니다. `cloudwatch:PutCompositeAlarm` 권한의 범위가 더 좁은 경우 복합 경보에 관한 정보를 반환할 수 없습니다. |
| [PutDashboard](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutDashboard.html) | `cloudwatch:PutDashboard` 대시보드를 생성하거나 기존 대시보드를 업데이트하는 데 필요합니다. |
| [PutMetricAlarm](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutMetricAlarm.html) | `cloudwatch:PutMetricAlarm` 경보를 생성 또는 업데이트하는 데 필요합니다. |
| [PutMetricData](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutMetricData.html) | `cloudwatch:PutMetricData` 지표를 만드는 데 필요합니다. |
| [PutMetricStream](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutMetricStream.html) | `cloudwatch:PutMetricStream` 지표 스트림을 생성하는 데 필요합니다. |
| [SetAlarmState](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_SetAlarmState.html) | `cloudwatch:SetAlarmState` 경보 상태를 수동으로 설정하는 데 필요합니다. |
| [StartMetricStreams](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_StartMetricStreams.html) | `cloudwatch:StartMetricStreams` 지표 스트림의 지표 흐름을 시작하는 데 필요합니다. |
| [StopMetricStreams](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_StartMetricStreams.html) | `cloudwatch:StopMetricStreams` 지표 스트림의 지표 흐름을 일시적으로 중지하는 데 필요합니다. |
| [TagResource](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_TagResource.html) | `cloudwatch:TagResource` 경보 및 Contributor Insights 규칙과 같은 CloudWatch 리소스에서 태그를 추가하거나 업데이트하는 데 필요합니다. |
| [UntagResource](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_UntagResource.html) | `cloudwatch:UntagResource` CloudWatch 리소스에서 태그를 제거하는 데 필요합니다. |
## CloudWatch Application Signals API 작업 및 작업에 필요한 권한
| CloudWatch Application Signals API 작업 | 필요한 권한(API 작업) |
| --- | --- |
| [BatchGetServiceLevelObjectiveBudgetReport](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_BatchGetServiceLevelObjectiveBudgetReport.html) | `application-signals:BatchGetServiceLevelObjectiveBudgetReport` 서비스 수준 목표 예산 보고서를 검색하는 데 필요합니다. |
| [CreateServiceLevelObjective](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_CreateServiceLevelObjective.html) | `application-signals:CreateServiceLevelObjective` 서비스 수준 목표(SLO)를 생성하는 데 필요합니다. |
| [DeleteServiceLevelObjective](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_DeleteServiceLevelObjective.html) | `application-signals:DeleteServiceLevelObjective` 서비스 수준 목표(SLO)를 삭제하는 데 필요합니다. |
| [GetService](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_GetService.html) | `application-signals:GetService` Application Signals에서 검색한 서비스에 대한 정보를 가져오는 데 필요합니다. |
| [GetServiceLevelObjective](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_GetServiceLevelObjective.html) | `application-signals:GetServiceLevelObjective` 서비스 수준 목표(SLO)에 대한 정보를 검색하는 데 필요합니다. |
| ListObservedEntities | `application-signals:ListObservedEntities` 다른 엔터티와 연결된 엔터티를 나열할 수 있는 권한을 부여합니다. |
| [ListServiceDependencies](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_ListServiceDependencies.html) | `application-signals:ListServiceDependencies` 지정한 서비스의 서비스 종속성 목록을 검색하는 데 필요합니다. 이 서비스와 종속성은 Application Signals에서 검색했습니다. |
| [ListServiceDependents](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_ListServiceDependents.html) | `application-signals:ListServiceDependents` 지정한 서비스를 간접적으로 호출한 종속 항목 목록을 검색하는 데 필요합니다. 이 서비스와 종속 항목은 Application Signals에서 검색했습니다. |
| [ListServiceLevelObjectives](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_ListServiceLevelObjectives.html) | `application-signals:ListServiceLevelObjectives` 계정의 서비스 수준 목표(SLO) 목록을 검색하는 데 필요합니다. |
| [ListServiceOperations](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_ListServiceOperations.html) | `application-signals:ListServiceOperations` 지정한 서비스의 서비스 작업 목록을 검색하는 데 필요합니다. 이 서비스와 종속성은 Application Signals에서 검색했습니다. |
| [ListServices](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_ListServices.html) | `application-signals:ListServices` Application Signals에서 검색한 서비스 목록을 검색하는 데 필요합니다. |
| [ ListTagsForResource](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_ListTagsForResource.html) | `application-signals:ListTagsForResource` 리소스와 연결된 태그의 목록을 검색하는 데 필요합니다. |
| [StartDiscovery](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_StartDiscovery.html) | `application-signals:StartDiscovery` 계정에서 Application Signals를 활성화하고 필요한 서비스 연결 역할을 생성하는 데 필요합니다. |
| [ TagResource](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_TagResource.html) | `application-signals:TagResource` 리소스에 태그를 추가하는 데 필요합니다. |
| [ UntagResource](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_UntagResource.html) | `application-signals:UntagResource` 리소스로부터 태그를 제거하는 데 필요합니다. |
| [UpdateServiceLevelObjective](https://docs.aws.amazon.com/applicationsignals/latest/APIReference/API_UpdateServiceLevelObjective.html) | `application-signals:UpdateServiceLevelObjective` 기존 서비스 수준 목표를 업데이트하는 데 필요합니다. |
## CloudWatch Contributor Insights API 작업 및 작업에 필요한 권한
**중요**
사용자에게 `cloudwatch:PutInsightRule` 권한을 부여하면 기본적으로 해당 사용자는 CloudWatch Logs의 로그 그룹을 평가하는 규칙을 생성할 수 있습니다. 이러한 권한을 제한하는 IAM 정책 조건을 추가하여 사용자가 특정 로그 그룹을 포함하고 제외하도록 할 수 있습니다. 자세한 내용은 [조건 키를 사용하여 Contributor Insights 사용자의 로그 그룹 액세스 제한](iam-cw-condition-keys-contributor.md) 단원을 참조하세요.
| CloudWatch Contributor Insights API 작업 | 필요한 권한(API 작업) |
| --- | --- |
| [DeleteInsightRules](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DeleteInsightRules.html) | `cloudwatch:DeleteInsightRules` Contributor Insights 규칙을 삭제하는 데 필요합니다. |
| [DescribeInsightRules](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_DescribeInsightRules.html) | `cloudwatch:DescribeInsightRules` 계정의 Contributor Insights 규칙을 보는 데 필요합니다. |
| [EnableInsightRules](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_EnableInsightRules.html) | `cloudwatch:EnableInsightRules` Contributor Insights 규칙을 사용 설정하는 데 필요합니다. |
| [GetInsightRuleReport](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_GetInsightRuleReport.html) | `cloudwatch:GetInsightRuleReport` Contributor Insights 규칙이 수집한 시계열 데이터 및 기타 통계를 검색하는 데 필요합니다. |
| [PutInsightRule](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutInsightRule.html) | `cloudwatch:PutInsightRule` Contributor Insights 규칙을 생성하는 데 필요합니다. 이 표의 시작 부분에 있는 **중요** 참고 사항을 참조하세요. |
## CloudWatch Events API 작업 및 작업에 필요한 권한
| CloudWatch Events API 작업 | 필요한 권한(API 작업) |
| --- | --- |
| [DeleteRule](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_DeleteRule.html) | `events:DeleteRule` 규칙을 삭제하는 데 필요합니다. |
| [DescribeRule](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_DescribeRule.html) | `events:DescribeRule` 규칙에 대한 세부 사항을 나열하는 데 필요합니다. |
| [DisableRule](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_DisableRule.html) | `events:DisableRule` 규칙을 비활성화하는 데 필요합니다. |
| [EnableRule](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_EnableRule.html) | `events:EnableRule` 규칙을 활성화하는 데 필요합니다. |
| [ListRuleNamesByTarget](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_ListRuleNamesByTarget.html) | `events:ListRuleNamesByTarget` 대상과 연관된 규칙을 나열하는 데 필요합니다. |
| [ListRules](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_ListRules.html) | `events:ListRules` 계정에서 모든 그룹을 나열하는 데 필요합니다. |
| [ListTargetsByRule](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_ListTargetsByRule.html) | `events:ListTargetsByRule` 규칙과 연관된 모든 대상을 나열하는 데 필요합니다. |
| [PutEvents](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_PutEvents.html) | `events:PutEvents` 규칙에 일치시킬 수 있는 사용자 지정 이벤트를 추가하는 데 필요합니다. |
| [PutRule](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_PutRule.html) | `events:PutRule` 규칙을 생성 또는 업데이트하는 데 필요합니다. |
| [PutTargets](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_PutTargets.html) | `events:PutTargets` 규칙에 대상을 추가하는 데 필요합니다. |
| [RemoveTargets](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_RemoveTargets.html) | `events:RemoveTargets` 규칙에서 대상을 제거하는 데 필요합니다. |
| [TestEventPattern](https://docs.aws.amazon.com/AmazonCloudWatchEvents/latest/APIReference/API_TestEventPattern.html) | `events:TestEventPattern` 특정 이벤트를 기준으로 이벤트 패턴을 테스트하는 데 필요합니다. |
## CloudWatch Logs API 작업 및 작업에 필요한 권한
**참고**
CloudWatch Logs 권한은 [CloudWatch Logs 사용 설명서](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/permissions-reference-cwl.html)에서 확인할 수 있습니다.
## Amazon EC2 API 작업 및 작업에 필요한 권한
| Amazon EC2 API 작업 | 필요한 권한(API 작업) |
| --- | --- |
| [DescribeInstanceStatus](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DescribeInstanceStatus.html) | `ec2:DescribeInstanceStatus` EC2 인스턴스 상태에 대한 세부 정보를 보는 데 필요합니다. |
| [DescribeInstances](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DescribeInstances.html) | `ec2:DescribeInstances` EC2 인스턴스에 대한 세부 정보를 보는 데 필요합니다. |
| [RebootInstances](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_RebootInstances.html) | `ec2:RebootInstances` EC2 인스턴스를 재부팅하는 데 필요합니다. |
| [StopInstances](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_StopInstances.html) | `ec2:StopInstances` EC2 인스턴스를 중지하는 데 필요합니다. |
| [TerminateInstances](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_TerminateInstances.html) | `ec2:TerminateInstances` EC2 인스턴스를 종료하는 데 필요합니다. |
## Amazon EC2 Auto Scaling API 작업 및 작업에 필요한 권한
| Amazon EC2 Auto Scaling API 작업 | 필요한 권한(API 작업) |
| --- | --- |
| 규모 조정 | `autoscaling:Scaling` Auto Scaling 그룹의 크기를 조정하는 데 필요합니다. |
| 트리거 | `autoscaling:Trigger` Auto Scaling 작업을 트리거하는 데 필요합니다. |