IAMautorizzazioni necessarie per creare o utilizzare una politica di protezione dei dati - CloudWatch Registri Amazon
Autorizzazioni necessarie per le policy di protezione dei dati a livello di accountAutorizzazioni necessarie per le policy di protezione dei dati per un singolo gruppo di logPolicy di protezione dei dati di esempio

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

IAMautorizzazioni necessarie per creare o utilizzare una politica di protezione dei dati

Per poter utilizzare le policy di protezione dei dati per i gruppi di log, è necessario disporre di determinate autorizzazioni, come mostrato nelle tabelle seguenti. Le autorizzazioni sono diverse per le policy di protezione dei dati a livello di account e per quelle che si applicano a un singolo gruppo di log.

Autorizzazioni necessarie per le policy di protezione dei dati a livello di account

Nota

Se si esegue una di queste operazioni all'interno di una funzione Lambda, il ruolo di esecuzione Lambda e il limite delle autorizzazioni devono includere anche le seguenti autorizzazioni.

Operazione IAMautorizzazione necessaria Risorsa

Crea una policy di protezione dei dati senza destinazioni di verifica

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

Crea una politica di protezione dei dati con CloudWatch Logs come destinazione di controllo

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

logs:CreateLogDelivery

*

logs:PutResourcePolicy

*

logs:DescribeResourcePolicies

*

logs:DescribeLogGroups

*

Crea una politica di protezione dei dati con Firehose come destinazione di controllo

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

logs:CreateLogDelivery

*

firehose:TagDeliveryStream

arn:aws:logs:::deliverystream/YOUR_DELIVERY_STREAM

Crea una policy di protezione dei dati con Amazon S3 come destinazione di verifica

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

logs:CreateLogDelivery

*

s3:GetBucketPolicy

arn:aws:s3:::YOUR_BUCKET

s3:PutBucketPolicy

arn:aws:s3:::YOUR_BUCKET

Smaschera i log eventi mascherati in un gruppo di log specificato

logs:Unmask

arn:aws:logs:::log-group:*

Visualizza una policy di protezione dei dati esistente

logs:GetDataProtectionPolicy

*

Elimina una policy di protezione dei dati

logs:DeleteAccountPolicy

*

logs:DeleteDataProtectionPolicy

*

Se i log di controllo della protezione dei dati sono già stati inviati a una destinazione, le altre policy che inviano i log alla stessa destinazione richiedono solo le autorizzazioni logs:PutDataProtectionPolicy e logs:CreateLogDelivery.

Autorizzazioni necessarie per le policy di protezione dei dati per un singolo gruppo di log

Nota

Se si esegue una di queste operazioni all'interno di una funzione Lambda, il ruolo di esecuzione Lambda e il limite delle autorizzazioni devono includere anche le seguenti autorizzazioni.

Operazione IAMautorizzazione necessaria Risorsa

Crea una policy di protezione dei dati senza destinazioni di verifica

logs:PutDataProtectionPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Crea una politica di protezione dei dati con CloudWatch Logs come destinazione di controllo

logs:PutDataProtectionPolicy

logs:CreateLogDelivery

logs:PutResourcePolicy

logs:DescribeResourcePolicies

logs:DescribeLogGroups

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

*

*

*

*

Crea una politica di protezione dei dati con Firehose come destinazione di controllo

logs:PutDataProtectionPolicy

logs:CreateLogDelivery

firehose:TagDeliveryStream

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

*

arn:aws:logs:::deliverystream/YOUR_DELIVERY_STREAM

Creazione di una policy di protezione dei dati con Amazon S3 come destinazione di controllo

logs:PutDataProtectionPolicy

logs:CreateLogDelivery

s3:GetBucketPolicy

s3:PutBucketPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

*

arn:aws:s3:::YOUR_BUCKET

arn:aws:s3:::YOUR_BUCKET

Smascheramento di eventi di log mascherati

logs:Unmask

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Visualizzazione di una policy di protezione dei dati esistente

logs:GetDataProtectionPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Elimina una policy di protezione dei dati

logs:DeleteDataProtectionPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Se i log di controllo della protezione dei dati sono già stati inviati a una destinazione, le altre policy che inviano i log alla stessa destinazione richiedono solo le autorizzazioni logs:PutDataProtectionPolicy e logs:CreateLogDelivery.

Policy di protezione dei dati di esempio

La seguente policy di esempio consente a un utente di creare, visualizzare ed eliminare policy di protezione dei dati in grado di inviare i risultati del controllo a tutti e tre i tipi di destinazioni di controllo. Non consente all'utente di visualizzare dati non mascherati.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "YOUR_SID_1",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:PutResourcePolicy",
                "logs:DescribeLogGroups",
                "logs:DescribeResourcePolicies"
            ],
            "Resource": "*"
        },
        {
            "Sid": "YOUR_SID_2",
            "Effect": "Allow",
            "Action": [
                "logs:GetDataProtectionPolicy",
                "logs:DeleteDataProtectionPolicy",
                "logs:PutDataProtectionPolicy",
                "s3:PutBucketPolicy",
                "firehose:TagDeliveryStream",
                "s3:GetBucketPolicy"
            ],
            "Resource": [
                "arn:aws:firehose:::deliverystream/YOUR_DELIVERY_STREAM",
                "arn:aws:s3:::YOUR_BUCKET",
                "arn:aws:logs:::log-group:YOUR_LOG_GROUP:*"
            ]
        }
    ]
}