Pemantauan dengan Amazon CloudWatch Logs

Untuk membuat IAM role agar pencatatan log untuk Amazon CloudWatch

1. Gunakan konsolAWS IAM atau perintahAWS IAM CLI berikut, CreateRole, untuk membuat peran IAM baru dengan kebijakan hubungan kepercayaan (kebijakan kepercayaan). Kebijakan kepercayaan memberi entitas, seperti Amazon CloudWatch, izin untuk mengambil peran.

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   exampleTrustPolicy.jsonFile berisi konten berikut.

   catatan

   Contoh ini mencakup kunci konteks kondisi global untuk melindungi terhadap masalah keamanan wakil yang bingung. Ganti 123456789012 dengan IDAWS akun dan aws-region Anda denganAWS wilayahAWS sumber daya Anda. Untuk informasi selengkapnya, lihat Pencegahan wakil bingung lintas layanan.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": {
               "Service": "iotanalytics.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "aws:SourceAccount": "123456789012"
              },
              "ArnLike": {
                "aws:SourceArn": "arn:aws:iotanalytics:aws-region:123456789012:*"
              }
            }
            
         }
      ]
   }

   Anda menggunakan ARN peran ini nanti ketika Anda memanggilAWS IoT AnalyticsPutLoggingOptions perintah.

2. GunakanAWS IAM PutRolePolicyuntuk melampirkan kebijakan izin (arole policy) ke peran yang Anda buat di Langkah 1.

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   exampleRolePolicyFile.json berisi konten berikut.

   {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": [
      	"logs:CreateLogGroup",
      	"logs:CreateLogStream"
      ],
      "Resource": [
      	"arn:aws:logs:*:*:*"
      ]
      }
      ]
   }

3. Untuk memberikanAWS IoT Analytics izin untuk menempatkan peristiwa logging ke Amazon CloudWatch, gunakan CloudWatch perintah Amazon PutResourcePolicy.

   catatan

   Untuk membantu mencegah masalah keamanan wakil yang bingung, kami sarankan Anda menentukanaws:SourceArn dalam kebijakan sumber daya Anda. Ini membatasi akses untuk mengizinkan hanya permintaan yang berasal dari akun tertentu. Untuk informasi lebih lanjut tentang masalah deputi yang membingungkan, lihatPencegahan wakil bingung lintas layanan.

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   exampleResourcePolicy.jsonFile berisi kebijakan sumber daya berikut.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition":{
                   "ArnLike":{
                       "aws:SourceArn":"arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals":{
                       "aws:SourceAccount":"123456789012"
                   }
               }
       ]
   }