Monitoraggio con Amazon CloudWatch Logs

Come creare un ruolo IAM per abilitare la registrazione per Amazon CloudWatch

1. Usa la consoleAWS IAM o il seguente comandoAWS IAM CLI CreateRole, per creare un nuovo ruolo IAM con una politica di relazione di fiducia (politica di fiducia). La policy di attendibilità garantisce a un'entità, come Amazon CloudWatch, l'autorizzazione per assumere il ruolo.

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   IlexampleTrustPolicy.json file contiene il seguente contenuto.

   Nota

   Questo esempio include una chiave di contesto della condizione globale per proteggersi dal problema di sicurezza noto come «confused deputy». Sostituisci 123456789012 con l'IDAWS del tuo account e aws-region con laAWS regione delle tueAWS risorse. Per ulteriori informazioni, consulta Prevenzione del confused deputy tra servizi.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": {
               "Service": "iotanalytics.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "aws:SourceAccount": "123456789012"
              },
              "ArnLike": {
                "aws:SourceArn": "arn:aws:iotanalytics:aws-region:123456789012:*"
              }
            }
            
         }
      ]
   }

   L'ARN di questo ruolo viene utilizzato in un secondo momento quando si chiama ilAWS IoT AnalyticsPutLoggingOptions comando.

2. UsaAWS IAM PutRolePolicyper allegare una politica di autorizzazioni (arole policy) al ruolo che hai creato nella Fase 1.

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   Il exampleRolePolicy file.json contiene il seguente contenuto.

   {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": [
      	"logs:CreateLogGroup",
      	"logs:CreateLogStream"
      ],
      "Resource": [
      	"arn:aws:logs:*:*:*"
      ]
      }
      ]
   }

3. PerAWS IoT Analytics autorizzare l'invio di eventi di registrazione ad Amazon CloudWatch, utilizza il CloudWatch comando Amazon PutResourcePolicy.

   Nota

   Per evitare il confuso problema di sicurezza secondaria, ti consigliamo di specificarloaws:SourceArn nella politica delle risorse. Ciò limita l'accesso per consentire solo le richieste provenienti da un account specificato. Per ulteriori informazioni sul problema del «confused deputy», consultaPrevenzione del confused deputy tra servizi.

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   IlexampleResourcePolicy.json file contiene la seguente politica in materia di risorse.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition":{
                   "ArnLike":{
                       "aws:SourceArn":"arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals":{
                       "aws:SourceAccount":"123456789012"
                   }
               }
       ]
   }