Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Chiavi di condizione per l'accesso ai gruppi di log di Contributor Insights

Per creare una regola in Contributor Insights e visualizzarne i risultati, un utente deve disporre dell'autorizzazione cloudwatch:PutInsightRule. Per impostazione predefinita, un utente con questa autorizzazione può creare una regola che valuta qualsiasi gruppo di CloudWatch log in Logs e quindi visualizzare i risultati. I risultati possono includere i dati dei collaboratori provenienti da tali gruppi di log, che potrebbero contenere informazioni sensibili.

Puoi creare policy IAM con chiavi di condizione per concedere agli utenti il permesso di scrivere regole di Contributor Insights per gruppi di log specifici, impedendo al contempo l'accesso ai dati di altri gruppi di log.

Per ulteriori informazioni sull'elemento Condition nelle policy IAM, consulta Elementi JSON della policy IAM: Condizione.

Comprendere il modello di autorizzazioni di Contributor Insights

Le operazioni di Contributor Insights utilizzano il cloudwatch: namespace IAM. Le operazioni sui gruppi di log utilizzano il namespace. logs: Contributor Insights non richiede né valuta le logs: autorizzazioni quando elabora i dati dei gruppi di log.

Un responsabile con cloudwatch:PutInsightRule cloudwatch:GetInsightRuleReport autorizzazioni può creare regole che valutano qualsiasi gruppo di log e recuperano i risultati, anche senza alcuna logs: autorizzazione su tali gruppi di log.

Per l'accesso tra account, se un account di origine ha configurato un AWS Organizations collegamento che condivide l'accesso ai gruppi di log, un responsabile dell'account di monitoraggio deve solo creare regole destinate cloudwatch:PutInsightRule ai gruppi di log degli account di origine.

Limitazione dell'accesso di Contributor Insights a gruppi di log specifici

Utilizzate le seguenti chiavi di condizione per limitare i gruppi di log che un responsabile può specificare durante la creazione delle regole di Contributor Insights:

La seguente policy concede l'autorizzazione a creare regole Contributor Insights per il gruppo di log denominato AllowedLogGroup e per i gruppi di log con nomi che iniziano con. AllowedWildCard Non concede il permesso di creare regole per altri gruppi di log.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCertainLogGroups",
            "Effect": "Allow",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/*",
            "Condition": {
                "ForAllValues:StringLike": {
                    "cloudwatch:requestInsightRuleLogGroups": [
                        "AllowedLogGroup",
                        "AllowedWildcard*"
                    ]
                }
            }
        }
    ]
}

La seguente politica consente di creare regole per qualsiasi gruppo di log per impostazione predefinita, ma nega esplicitamente la creazione di regole per il gruppo di log denominato. ExplicitlyDeniedLogGroup

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowInsightRulesOnLogGroupsByDefault",
            "Effect": "Allow",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/*"
          
        },
        {
            "Sid": "ExplicitDenySomeLogGroups",
            "Effect": "Deny",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/*",
            "Condition": {
                "ForAllValues:StringEqualsIgnoreCase": {
                    "cloudwatch:requestInsightRuleLogGroups": [
                        "/test/alpine/ExplicitlyDeniedLogGroup"
                    ]
                }
            }
        }
    ]
}

La seguente policy nega la creazione di regole destinate ai gruppi di log contenuti /production/ nel percorso ARN.

{
    "Version": "",
    "Statement": [
        {
            "Sid": "DenyProductionLogGroupsByARN",
            "Effect": "Deny",
            "Action": "cloudwatch:PutInsightRule",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringLike": {
                    "cloudwatch:requestInsightRuleLogGroupARNs": [
                        "arn:aws:logs:*:*:log-group:*/production/*"
                    ]
                }
            }
        }
    ]
}

Best practice di sicurezza per Contributor Insights

Segui queste best practice per proteggere la tua configurazione di Contributor Insights.