Permissões de IAM necessárias para criar ou trabalhar com uma política de proteção de dados - CloudWatch Registros da Amazon
Permissões necessárias para políticas de proteção de dados no nível da contaPermissões necessárias para políticas de proteção de dados para um único grupo de logsAmostra da política de proteção de dados

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Permissões de IAM necessárias para criar ou trabalhar com uma política de proteção de dados

Para poder trabalhar com políticas de proteção de dados para grupos de logs, você deve ter certas permissões, conforme mostrado nas tabelas a seguir. As permissões são diferentes para políticas de proteção de dados em toda a conta e para políticas de proteção de dados aplicáveis a um único grupo de logs.

Permissões necessárias para políticas de proteção de dados no nível da conta

nota

Se você estiver executando qualquer uma dessas operações dentro de uma função do Lambda, a função de execução do Lambda e o limite de permissões também devem incluir as seguintes permissões.

Operation Permissão necessárias do IAM Recurso

Criar uma política de proteção de dados sem destinos de auditoria

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

Criar uma política de proteção de dados sem destinos de auditoria

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

logs:CreateLogDelivery

*

logs:PutResourcePolicy

*

logs:DescribeResourcePolicies

*

logs:DescribeLogGroups

*

Criar uma política de proteção de dados com o Firehose como destino de auditoria

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

logs:CreateLogDelivery

*

firehose:TagDeliveryStream

arn:aws:logs:::deliverystream/YOUR_DELIVERY_STREAM

Criar uma política de proteção de dados com o Amazon S3 como destino de auditoria

logs:PutAccountPolicy

*

logs:PutDataProtectionPolicy

*

logs:CreateLogDelivery

*

s3:GetBucketPolicy

arn:aws:s3:::YOUR_BUCKET

s3:PutBucketPolicy

arn:aws:s3:::YOUR_BUCKET

Desmascarar eventos de log mascarados em um grupo de logs especificado

logs:Unmask

arn:aws:logs:::log-group:*

Ver uma política de proteção de dados existente

logs:GetDataProtectionPolicy

*

Excluir uma política de proteção de dados

logs:DeleteAccountPolicy

*

logs:DeleteDataProtectionPolicy

*

Se algum log de auditoria de proteção de dados já estiver sendo enviado para um destino, outras políticas que enviam logs para o mesmo destino precisarão apenas das permissões logs:PutDataProtectionPolicy e logs:CreateLogDelivery.

Permissões necessárias para políticas de proteção de dados para um único grupo de logs

nota

Se você estiver executando qualquer uma dessas operações dentro de uma função do Lambda, a função de execução do Lambda e o limite de permissões também devem incluir as seguintes permissões.

Operation Permissão necessárias do IAM Recurso

Criar uma política de proteção de dados sem destinos de auditoria

logs:PutDataProtectionPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Criar uma política de proteção de dados sem destinos de auditoria

logs:PutDataProtectionPolicy

logs:CreateLogDelivery

logs:PutResourcePolicy

logs:DescribeResourcePolicies

logs:DescribeLogGroups

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

*

*

*

*

Criar uma política de proteção de dados com o Firehose como destino de auditoria

logs:PutDataProtectionPolicy

logs:CreateLogDelivery

firehose:TagDeliveryStream

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

*

arn:aws:logs:::deliverystream/YOUR_DELIVERY_STREAM

Criar uma política de proteção de dados com o Amazon S3 como destino de auditoria

logs:PutDataProtectionPolicy

logs:CreateLogDelivery

s3:GetBucketPolicy

s3:PutBucketPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

*

arn:aws:s3:::YOUR_BUCKET

arn:aws:s3:::YOUR_BUCKET

Desmascarar eventos de logs

logs:Unmask

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Ver uma política de proteção de dados existente

logs:GetDataProtectionPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Excluir uma política de proteção de dados

logs:DeleteDataProtectionPolicy

arn:aws:logs:::log-group:YOUR_LOG_GROUP:*

Se algum log de auditoria de proteção de dados já estiver sendo enviado para um destino, outras políticas que enviam logs para o mesmo destino precisarão apenas das permissões logs:PutDataProtectionPolicy e logs:CreateLogDelivery.

Amostra da política de proteção de dados

O exemplo de política a seguir permite que um usuário crie, visualize e exclua políticas de proteção de dados que podem enviar descobertas de auditoria para todos os três tipos de destinos de auditoria. Ele não permite que o usuário visualize dados não mascarados.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "YOUR_SID_1",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogDelivery",
                "logs:PutResourcePolicy",
                "logs:DescribeLogGroups",
                "logs:DescribeResourcePolicies"
            ],
            "Resource": "*"
        },
        {
            "Sid": "YOUR_SID_2",
            "Effect": "Allow",
            "Action": [
                "logs:GetDataProtectionPolicy",
                "logs:DeleteDataProtectionPolicy",
                "logs:PutDataProtectionPolicy",
                "s3:PutBucketPolicy",
                "firehose:TagDeliveryStream",
                "s3:GetBucketPolicy"
            ],
            "Resource": [
                "arn:aws:firehose:::deliverystream/YOUR_DELIVERY_STREAM",
                "arn:aws:s3:::YOUR_BUCKET",
                "arn:aws:logs:::log-group:YOUR_LOG_GROUP:*"
            ]
        }
    ]
}