如何获取CloudWatch RUM监控ARN？CDK中CfnAppMonitor无对应属性

问题背景 #

在CDK中配置IAM策略时，需要将权限范围限制到单个CloudWatch RUM监控实例，但遇到两个障碍：

• CfnAppMonitor构造类没有暴露可直接访问的ARN属性
• 尝试调用cfnAppMonitor.getAtt("Arn")也无法获取ARN，因为CloudFormation本身并未为该资源定义这个返回属性

解决方案：手动构造ARN #

CloudWatch RUM AppMonitor的ARN遵循固定格式，可以通过已知信息手动拼接：

arn:aws:rum:<区域>:<账号ID>:appmonitor/<AppMonitor名称>

在CDK中，你可以直接通过栈的内置属性获取当前区域和账号ID，结合AppMonitor的名称（或ref值）来生成准确的ARN。

代码示例（TypeScript） #

import { Stack, StackProps, aws_iam as iam, aws_rum as rum } from 'aws-cdk-lib';
import { Construct } from 'constructs';

export class RumIamRestrictionStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // 创建目标CloudWatch RUM AppMonitor
    const myAppMonitor = new rum.CfnAppMonitor(this, 'TargetRumMonitor', {
      name: 'MyProductionAppMonitor',
      domain: 'myapp.example.com',
      appMonitorConfiguration: {
        enableXRay: true
      }
    });

    // 手动构造ARN：使用栈的区域、账号ID，加上AppMonitor的实际名称（ref返回资源名称）
    const monitorArn = `arn:aws:rum:${this.region}:${this.account}:appmonitor/${myAppMonitor.ref}`;

    // 创建仅允许访问该特定AppMonitor的IAM策略
    const restrictedRumPolicy = new iam.Policy(this, 'RestrictedRumAccessPolicy', {
      statements: [
        new iam.PolicyStatement({
          effect: iam.Effect.ALLOW,
          actions: [
            'rum:GetAppMonitor',
            'rum:UpdateAppMonitor',
            'rum:BatchCreateRumMetricDefinitions'
          ],
          resources: [monitorArn]
        })
      ]
    });

    // 将策略附加到需要权限的IAM实体（示例：Lambda角色）
    const appRole = new iam.Role(this, 'AppRumAccessRole', {
      assumedBy: new iam.ServicePrincipal('lambda.amazonaws.com')
    });
    restrictedRumPolicy.attachToRole(appRole);
  }
}

说明 #

• 使用myAppMonitor.ref而非硬编码名称更安全，若AppMonitor名称是CDK动态生成（自动加后缀），ref会返回实际创建的资源名称
• ARN格式是AWS官方固定规则，稳定性有保障

内容的提问来源于stack exchange，提问作者Claudiu Moise