Langkah 3: Tambahkan/validasi IAM izin untuk tujuan lintas akun - CloudWatch Log Amazon

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Langkah 3: Tambahkan/validasi IAM izin untuk tujuan lintas akun

Menurut logika evaluasi kebijakan AWS lintas akun, untuk mengakses sumber daya lintas akun (seperti aliran Kinesis atau Firehose yang digunakan sebagai tujuan filter langganan), Anda harus memiliki kebijakan berbasis identitas di akun pengirim yang menyediakan akses eksplisit ke sumber tujuan lintas akun. Untuk informasi selengkapnya tentang logika evaluasi kebijakan, lihat Logika evaluasi kebijakan lintas akun.

Anda dapat melampirkan kebijakan berbasis identitas ke IAM peran atau IAM pengguna yang Anda gunakan untuk membuat filter langganan. Kebijakan ini harus ada di akun pengiriman. Jika Anda menggunakan peran Administrator untuk membuat filter langganan, Anda dapat melewati langkah ini dan melanjutkan keLangkah 4: Buat filter berlangganan.

Untuk menambah atau memvalidasi IAM izin yang diperlukan untuk lintas akun

  1. Masukkan perintah berikut untuk memeriksa IAM peran atau IAM pengguna mana yang digunakan untuk menjalankan perintah AWS log.

    aws sts get-caller-identity

    Perintah tersebut mengembalikan output serupa dengan berikut ini:

    {
"UserId": "User ID",
"Account": "sending account id",
"Arn": "arn:aws:sending account id:role/user:RoleName/UserName"
}

    Catat nilai yang diwakili oleh RoleName atau UserName.

  2. AWS Management Console Masuk ke akun pengiriman dan cari kebijakan terlampir dengan IAM peran atau IAM pengguna yang dikembalikan dalam output perintah yang Anda masukkan pada langkah 1.

  3. Verifikasi bahwa kebijakan yang dilampirkan pada peran ini atau pengguna memberikan izin eksplisit untuk memanggil sumber logs:PutSubscriptionFilter daya tujuan lintas akun. Contoh kebijakan berikut menunjukkan izin yang disarankan.

    Kebijakan berikut memberikan izin untuk membuat filter langganan pada sumber daya tujuan apa pun hanya dalam satu AWS akun, akun123456789012:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow subscription filters on any resource in one specific account",
            "Effect": "Allow",
            "Action": "logs:PutSubscriptionFilter",
            "Resource": [
                "arn:aws:logs:*:*:log-group:*",
                "arn:aws:logs:*:123456789012:destination:*"
            ]
        }
    ]
}

    Kebijakan berikut memberikan izin untuk membuat filter langganan hanya pada sumber daya tujuan tertentu yang dinamai sampleDestination dalam satu AWS akun, akun123456789012:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow subscription filters on one specific resource in one specific account",
            "Effect": "Allow",
            "Action": "logs:PutSubscriptionFilter",
            "Resource": [
                "arn:aws:logs:*:*:log-group:*",
                "arn:aws:logs:*:123456789012:destination:sampleDestination"
            ]
        }
    ]
}