AWS の IAM にロールというのがあります。

ドキュメントを一読しただけではよくわかりませんでしたが、
例えば、ec2 サーバ全部に、cloudwatch を全て許可する、
といった場合にロールが便利です。

個別のユーザでも設定できるとは思うのですが、手間がかかるので。