Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Panoramica della gestione delle autorizzazioni di accesso alle risorse Logs CloudWatch

Per fornire l'accesso, aggiungi autorizzazioni ai tuoi utenti, gruppi o ruoli:

CloudWatch Registra risorse e operazioni

In CloudWatch Logs le risorse principali sono i gruppi di log, i flussi di log e le destinazioni. CloudWatch Logs non supporta le risorse secondarie (altre risorse da utilizzare con la risorsa principale).

A queste risorse e sottorisorse sono associati Amazon Resource Names (ARNs) univoci, come illustrato nella tabella seguente.

Per ulteriori informazioni in merito, consulta la Guida per l'utente. ARNs ARNsIAM Per informazioni sui CloudWatch logARNs, consulta Amazon Resource Names (ARNs) in Riferimenti generali di Amazon Web Services. Per un esempio di politica che copre CloudWatch i log, consulta. Utilizzo di politiche (politiche) IAM basate sull'identità per i registri CloudWatch

CloudWatch Logs fornisce una serie di operazioni per lavorare con le risorse CloudWatch Logs. Per un elenco di operazioni disponibili, consulta la sezione CloudWatch Registra il riferimento alle autorizzazioni.

Informazioni sulla proprietà delle risorse

L' AWS account possiede le risorse create nell'account, indipendentemente da chi ha creato le risorse. In particolare, il proprietario della risorsa è l' AWS account dell'entità principale (ovvero l'account root, un utente o un IAM ruolo) che autentica la richiesta di creazione delle risorse. Negli esempi seguenti viene illustrato il funzionamento:

Gestione dell'accesso alle risorse

La policy delle autorizzazioni descrive chi ha accesso a cosa. Nella sezione seguente vengono descritte le opzioni disponibili per la creazione di policy relative alle autorizzazioni.

Le politiche associate a un'IAMidentità sono denominate politiche basate sull'identità (IAMpolitiche) e le politiche allegate a una risorsa sono denominate politiche basate sulle risorse. CloudWatch Logs supporta politiche basate sull'identità e politiche basate sulle risorse per le destinazioni, utilizzate per abilitare gli abbonamenti tra più account. Per ulteriori informazioni, consulta Abbonamenti tra più account e più regioni.

Autorizzazioni del gruppo di log e Contributor Insights

Contributor Insights è una funzionalità CloudWatch che consente di analizzare i dati dei gruppi di log e creare serie temporali che visualizzano i dati dei collaboratori. Puoi visualizzare i parametri relative ai primi N collaboratori, al numero totale di collaboratori univoci e al loro utilizzo. Per ulteriori informazioni, consulta Utilizzo di Contributor Insights per analizzare dati ad alta cardinalità.

Quando concedi a un utente le cloudwatch:GetInsightRuleReport autorizzazioni cloudwatch:PutInsightRule and, quell'utente può creare una regola che valuta qualsiasi gruppo di log in CloudWatch Logs e quindi visualizzare i risultati. I risultati possono contenere dati dei collaboratori per tali gruppi di log. Assicurarsi di concedere queste autorizzazioni solo a utenti che devono essere in grado di visualizzare questi dati.

Policy basate su risorse

CloudWatch Logs supporta politiche basate sulle risorse per le destinazioni, che puoi utilizzare per abilitare le sottoscrizioni tra account. Per ulteriori informazioni, consulta Passaggio 1: creazione di una destinazione. Le destinazioni possono essere create utilizzando PutDestinationAPI, ed è possibile aggiungere una politica delle risorse alla destinazione utilizzando. PutDestinationPolicyAPI L'esempio seguente consente a un altro AWS account con l'ID account 111122223333 di iscrivere i propri gruppi di log alla destinazione. arn:aws:logs:us-east-1:123456789012:destination:testDestination

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "111122223333"
      },
      "Action" : "logs:PutSubscriptionFilter",
      "Resource" : "arn:aws:logs:us-east-1:123456789012:destination:testDestination"
    }
  ]
}

Specifica degli elementi delle policy: operazioni, effetti e principali

Per ogni risorsa CloudWatch Logs, il servizio definisce una serie di operazioni. API Per concedere le autorizzazioni per queste API operazioni, CloudWatch Logs definisce una serie di azioni che è possibile specificare in una politica. Alcune API operazioni possono richiedere le autorizzazioni per più di un'azione per eseguire l'operazione. API Per ulteriori informazioni su risorse e API operazioni, vedere CloudWatch Registra risorse e operazioni eCloudWatch Registra il riferimento alle autorizzazioni.

Di seguito sono elencati gli elementi di base di una policy:

Per ulteriori informazioni sulla sintassi e sulle descrizioni delle politiche, consulta IAM AWS IAMPolicy Reference nella Guida per l'utente. IAM

Per una tabella che mostra tutte le API azioni di CloudWatch Logs e le risorse a cui si applicano, vedere. CloudWatch Registra il riferimento alle autorizzazioni

Specifica delle condizioni in una policy

Quando concedi le autorizzazioni, puoi utilizzare la sintassi della policy di accesso per specificare le condizioni in base a cui la policy deve essere applicata. Ad esempio, potresti decidere che una policy venga applicata solo dopo una data specifica. Per ulteriori informazioni sulla specificazione delle condizioni in un linguaggio di policy, vedere Condition nella Guida per l'IAMutente.

Per esprimere le condizioni è necessario utilizzare chiavi di condizione predefinite. Per un elenco delle chiavi di contesto supportate da ciascun AWS servizio e un elenco delle chiavi di contesto a AWS livello di politica, consulta Azioni, risorse e chiavi di condizione per AWS i servizi e le chiavi di contesto delle condizioni AWS globali.