awsのcloudwatchエージェントを利用するときにアタッチすべきロール

Question

要件:awsのcloudwatchエージェントを利用してメモリ使用などのカスタムメトリクス監視がしたい。

つまづいたところ：cloudwatchエージェントの利用には、特定のポリシーを含んだロールが必要
とのことでしたが、以下の公式サイトでは、

aws公式サイト１
CloudWatchAgentServerPolicy、
AmazonSSMManagedInstanceCore

aws公式サイト２

AmazonSSMFullAccess、
AmazonEC2ReadOnlyAccess
などが必要とされていますが一体どちらを採用すべきなのでしょうか？
どれかが他に内包されていたりするのでしょうか？

個人的に公式サイト1のほうだけではec2へのアクセス許可がないように感じて違和感あります。

Answer 1

言及しているのはロールではなくポリシーではないでしょうか。
ロールは自分で作ってください。

どのポリシーが何のために必要なのかをきちんと把握する必要があります。
CloudWatch Agentに動いてもらうにはCloudWatchAgentServerPolicyがあれば十分です。

1のほうを良く読むと

Systems Manager を使用して CloudWatch エージェントをインストールまたは設定するには、[AmazonSSMManagedInstanceCore] の横にあるボックスを選択します。この AWS 管理ポリシーにより、インスタンスは Systems Manager サービスコア機能を使用できます。

と書いてありますね。
AmazonSSMManagedInstanceCoreは、Systems Managerを使用するための権限が振られたポリシーです。
CloudWatch Agentを動かすには必要ありませんが、便利なので一緒に割り当てておくことを推奨します。
また、Systems Managerを使ってCloudWatch Agentをインストールする場合は必須です。

2のほうは過剰に権限を与えすぎです。4年も前の記事なのでもう少し新しい記事を参考にすべきでしょう。
AmazonEC2ReadOnlyAccessを与えている理由はちょっとわかりません…。不要な気がしますが。

Comments

[ketuge]

色々と試した結果、yu_1985さんのご回答通りでした。ありがとうございました。