Как раз на днях игрался с cloudwatch agent.
Насколько понимаю, нужно
cloudwatch:PutMetricData
cloudwatch:GetMetricStatistics
cloudwatch:ListMetrics
ec2:DescribeTags
А если готовые, то работает с
AmazonEC2ReadOnlyAccess
CloudWatchFullAccess
но наверняка можно ужать.