Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de políticas basadas en la identidad (políticas de IAM) para los registros CloudWatch

Este tema contiene ejemplos de políticas basadas en identidades, donde los administradores de cuentas pueden asociar políticas de permisos a identidades de IAM (es decir, a usuarios, grupos y funciones).

Este tema cubre lo siguiente:

A continuación se muestra un ejemplo de una política de permisos:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogStreams"
    ],
      "Resource": [
        "arn:aws:logs:*:*:*"
    ]
  }
 ]
}

Esta política tiene una declaración que concede permisos para crear grupos de registro y flujos de registro para cargar eventos de registro a flujos de registro y para mostrar un listado de detalles acerca de los flujos de registro.

El carácter comodín (*) del Resource valor otorga permiso para realizar las acciones enumeradas en cualquier recurso de CloudWatch Logs.

Consulta la referencia de autorización del servicio para ver qué tipo de recurso requiere cada API.

Permisos necesarios para usar la CloudWatch consola

Para que un usuario pueda trabajar con los CloudWatch registros de la CloudWatch consola, debe tener un conjunto mínimo de permisos que le permita describir otros AWS recursos de su AWS cuenta. Para usar CloudWatch los registros en la CloudWatch consola, debes tener permisos de los siguientes servicios:

Si crea una política de IAM que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para los usuarios con esa política de IAM. Para garantizar que esos usuarios puedan seguir utilizando la CloudWatch consola, adjunte también la política CloudWatchReadOnlyAccess gestionada al usuario, tal y como se describe enAWS políticas administradas (predefinidas) para CloudWatch los registros.

No es necesario conceder permisos mínimos de consola a los usuarios que solo llamen a la API Logs AWS CLI o a la API CloudWatch Logs.

El conjunto completo de permisos necesarios para trabajar con la CloudWatch consola para un usuario que no utilice la consola para gestionar las suscripciones a los registros es el siguiente:

Para un usuario que también utilice la consola para administrar las suscripciones de registro, los siguientes permisos son igualmente necesarios:

AWS políticas administradas (predefinidas) para CloudWatch los registros

AWS aborda muchos casos de uso comunes al proporcionar políticas de IAM independientes que son creadas y administradas por. AWS Las políticas administradas conceden los permisos necesarios para casos de uso comunes, lo que le evita tener que investigar los permisos que se necesitan. Para más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

Las siguientes políticas AWS administradas, que puedes adjuntar a los usuarios y roles de tu cuenta, son específicas de los CloudWatch registros:

CloudWatchLogsFullAccess

La CloudWatchLogsFullAccess política otorga acceso total a los CloudWatch registros. La política incluye los cloudwatch:GenerateQueryResultsSummary permisos cloudwatch:GenerateQuery y, de modo que los usuarios que la tengan puedan generar una cadena de consulta de CloudWatch Logs Insights a partir de un mensaje en lenguaje natural. Para ver el contenido completo de la política, consulte la Guía CloudWatchLogsFullAccess de referencia de políticas AWS administradas.

CloudWatchLogsReadOnlyAccess

La CloudWatchLogsReadOnlyAccess política otorga acceso de solo lectura a los CloudWatch registros. Incluye los cloudwatch:GenerateQueryResultsSummary permisos cloudwatch:GenerateQuery y, de modo que los usuarios con esta política pueden generar una cadena de consulta de CloudWatch Logs Insights a partir de un mensaje en lenguaje natural. Para ver el contenido completo de la política, consulte la Guía CloudWatchLogsReadOnlyAccess de referencia de políticas AWS administradas.

CloudWatchOpenSearchDashboardsFullAccess

La CloudWatchOpenSearchDashboardsFullAccess política otorga acceso para crear, administrar y eliminar integraciones con el OpenSearch Servicio, y para crear paneles de control de registros vendidos en esas integraciones.

Para ver el contenido completo de la política, consulte la Guía de referencia de políticas CloudWatchOpenSearchDashboardsFullAccess AWS administradas.

CloudWatchOpenSearchDashboardAccess

La CloudWatchOpenSearchDashboardAccess política permite ver los paneles de control de registros vendidos que se crean con Amazon OpenSearch Service análisis.

Para ver el contenido completo de la política, consulte la Guía CloudWatchOpenSearchDashboardAccess de referencia de políticas AWS administradas.

CloudWatchLogsCrossAccountSharingConfiguration

La CloudWatchLogsCrossAccountSharingConfiguration política otorga acceso para crear, administrar y ver los enlaces de Observability Access Manager para compartir los recursos de los CloudWatch registros entre cuentas. Para obtener más información, consulte Observabilidad entre cuentas de CloudWatch .

Para ver el contenido completo de la política, consulte la Guía CloudWatchLogsCrossAccountSharingConfiguration de referencia de políticas AWS administradas.

CloudWatchLogsAPIKeyAccess

La CloudWatchLogsAPIKeyAccess política permite la autenticación de la clave de la API de CloudWatch Logs y la ingesta de registros cifrados. Esta política otorga permisos para autenticarse mediante fichas portadoras y escribir eventos de registro en los CloudWatch registros, además de AWS KMS permisos adicionales para descifrar y generar claves de datos cuando los registros están cifrados.

Esta política le concede los siguientes permisos:

Para ver más detalles sobre la política, incluyendo la última versión del documento de política JSON, consulte CloudWatchLogsAPIKeyAccess en la Guía de referencia de políticas administradas de AWS .

CloudWatch Registra las actualizaciones en AWS políticas administradas

Consulta los detalles sobre las actualizaciones de las políticas AWS administradas para CloudWatch Logs desde que este servicio comenzó a rastrear estos cambios. Para recibir alertas automáticas sobre los cambios en esta página, suscríbase a la fuente RSS de la página CloudWatch del historial de documentos de registro.

Ejemplos de políticas administradas por el cliente

Puedes crear tus propias políticas de IAM personalizadas para conceder permisos a las acciones y los recursos de CloudWatch Logs. Puede asociar estas políticas personalizadas a los usuarios o grupos de que requieran esos permisos.

En esta sección, puedes encontrar ejemplos de políticas de usuario que conceden permisos para varias acciones de CloudWatch Logs. Estas políticas funcionan cuando utilizas la API de CloudWatch Logs, AWS los SDK o la AWS CLI.

Ejemplo 1: Permitir el acceso total a los registros CloudWatch

La siguiente política permite a un usuario acceder a todas las acciones de los CloudWatch registros.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Action": [
        "logs:*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Ejemplo 2: Permitir el acceso de solo lectura a los registros CloudWatch

AWS proporciona una CloudWatchLogsReadOnlyAccess política que permite el acceso de solo lectura a los datos de los registros. CloudWatch Esta política incluye los siguientes permisos.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "logs:StartLiveTail",
                "logs:StopLiveTail",
                "cloudwatch:GenerateQuery"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Ejemplo 3: Permitir el acceso a un grupo o flujo de registros

CloudWatch Logs tiene dos tipos de recursos con diferentes formatos de ARN:

Al escribir políticas de IAM, el formato ARN que utilices debe coincidir con el tipo de recurso que la API autoriza. Consulta la referencia de autorización de servicios para saber qué tipo de recurso requiere cada API.

Ejemplo 3a: Permitir el acceso a las acciones a nivel de grupo de registro en un grupo de registros específico

{
   "Version":"2012-10-17", 
   "Statement":[
      {
      "Action": [
        "logs:DeleteLogGroup",
        "logs:PutRetentionPolicy",
        "logs:PutSubscriptionFilter",
        "logs:DescribeLogStreams"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName"
      }
   ]
}

Estas acciones autorizan el tipo de recurso. log-group Se admite el formato ARN estándar (sin :* él).

Ejemplo 3b: Permitir el acceso a las acciones a nivel de secuencia de registro en un grupo de registros específico

{
   "Version":"2012-10-17", 
   "Statement":[
      {
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName:*"
      }
   ]
}

Estas acciones autorizan el tipo de recurso. log-stream El :* sufijo es necesario para que coincidan todas las secuencias de registro del grupo de registros o para especificar una secuencia específica con:log-stream:StreamName.

Ejemplo 3c: Política combinada para las acciones de grupos de registros y secuencias de registros

{
   "Version":"2012-10-17", 
   "Statement":[
      {
        "Action": [
          "logs:DeleteLogGroup",
          "logs:PutRetentionPolicy",
          "logs:DescribeLogStreams",
          "logs:FilterLogEvents"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName"
      },
      {
        "Action": [
          "logs:CreateLogStream",
          "logs:PutLogEvents",
          "logs:GetLogEvents"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName:*"
      }
   ]
}

Usar el etiquetado y las políticas de IAM para realizar el control en el nivel de grupo de registro

Puede conceder a los usuarios acceso a determinados grupos de registro al mismo tiempo que les impide tener acceso a otros grupos de registro. Para ello, etiquete los grupos de registro y utilice políticas de IAM que hagan referencia a esas etiquetas. Para aplicar etiquetas a un grupo de registro, debe tener el permiso logs:TagResource o logs:TagLogGroup. Esto se aplica si asigna etiquetas al grupo de registro cuando lo crea o si las asigna más adelante.

Para obtener más información sobre el etiquetado de grupos de registro, consulte Etiquetar grupos de registros en Amazon CloudWatch Logs.

Al etiquetar grupos de registro, puede conceder una política de IAM a un usuario para permitirle el acceso únicamente a los grupos de registro con una etiqueta determinada. Por ejemplo, la siguiente instrucción de política concede acceso únicamente a los grupos de registro que tienen el valor Team para la clave de etiqueta Green.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "logs:*"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/Team": "Green"
                }
            }
        }
    ]
}

Las operaciones StopQuery de la StopLiveTail API no interactúan con los AWS recursos en el sentido tradicional. No devuelven ningún dato, no colocan ningún dato ni tampoco modifican ningún recurso de ninguna manera. En su lugar, solo funcionan en una sesión de seguimiento activa determinada o en una consulta de CloudWatch Logs Insights determinada, que no se clasifican como recursos. Por lo tanto, al especificar el campo Resource en las políticas de IAM para estas operaciones, debe establecer el valor del campo Resource como *, como se muestra en el siguiente ejemplo.

JSON

{
    "Version":"2012-10-17", 
    "Statement": 
        [ {
            "Effect": "Allow", 
            "Action": [ 
                "logs:StopQuery",
                "logs:StopLiveTail"
            ], 
            "Resource": "*" 
            } 
        ] 
}

Para obtener más información acerca del uso de instrucciones de política de IAM, consulte Control del acceso mediante las políticas en la Guía del usuario de IAM.