As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Usando políticas baseadas em identidade (políticas do IAM) para registros CloudWatch

Este tópico fornece exemplos de políticas baseadas em identidade em que um administrador de conta pode anexar políticas de permissões a identidades do IAM (ou seja, usuários, grupos e funções).

Este tópico abrange o seguinte:

Veja a seguir um exemplo de política de permissões:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogStreams"
    ],
      "Resource": [
        "arn:aws:logs:*:*:*"
    ]
  }
 ]
}

Essa política tem uma instrução que concede permissões para criar grupos e streams de log para fazer upload de eventos de log para streams de log e listar detalhes sobre streams de log.

O caractere curinga (*) no Resource valor concede permissão para as ações listadas em qualquer recurso do CloudWatch Logs.

Veja a referência de autorização de serviço para saber qual tipo de recurso cada API exige.

Permissões necessárias para usar o CloudWatch console

Para que um usuário trabalhe com CloudWatch registros no CloudWatch console, esse usuário deve ter um conjunto mínimo de permissões que permita ao usuário descrever outros AWS recursos em sua AWS conta. Para usar o CloudWatch Logs no CloudWatch console, você precisa ter permissões dos seguintes serviços:

Se você criar uma política do IAM que seja mais restritiva que as permissões mínimas necessárias, o console do não funcionará como pretendido para os usuários com essa política do IAM. Para garantir que esses usuários ainda possam usar o CloudWatch console, anexe também a política CloudWatchReadOnlyAccess gerenciada ao usuário, conforme descrito emAWS políticas gerenciadas (predefinidas) para registros CloudWatch.

Você não precisa conceder permissões mínimas de console para usuários que estão fazendo chamadas somente para a API AWS CLI ou para a CloudWatch Logs API.

O conjunto completo de permissões necessárias para trabalhar com o CloudWatch console para um usuário que não está usando o console para gerenciar assinaturas de registro é:

Para um usuário que também usará o console para gerenciar assinaturas de log, as seguintes permissões também são necessárias:

AWS políticas gerenciadas (predefinidas) para registros CloudWatch

AWS aborda muitos casos de uso comuns fornecendo políticas de IAM autônomas que são criadas e administradas pela AWS. As políticas gerenciadas concedem permissões necessárias para casos de uso comuns, de maneira que você possa evitar a necessidade de investigar quais permissões são necessárias. Para obter mais informações, consulte Políticas gerenciadas pela AWS no Guia do usuário do IAM.

As seguintes políticas AWS gerenciadas, que você pode associar a usuários e funções em sua conta, são específicas dos CloudWatch registros:

CloudWatchLogsFullAccess

A CloudWatchLogsFullAccess política concede acesso total aos CloudWatch registros. A política inclui as cloudwatch:GenerateQueryResultsSummary permissões cloudwatch:GenerateQuery e, para que os usuários com essa política possam gerar uma string de consulta do CloudWatch Logs Insights a partir de uma solicitação em linguagem natural. Para ver o conteúdo completo da política, consulte o Guia CloudWatchLogsFullAccess de referência de políticas AWS gerenciadas.

CloudWatchLogsReadOnlyAccess

A CloudWatchLogsReadOnlyAccess política concede acesso somente para CloudWatch leitura aos registros. Ela inclui as cloudwatch:GenerateQueryResultsSummary permissões cloudwatch:GenerateQuery e, para que os usuários com essa política possam gerar uma string de consulta do CloudWatch Logs Insights a partir de uma solicitação em linguagem natural. Para ver o conteúdo completo da política, consulte o Guia CloudWatchLogsReadOnlyAccess de referência de políticas AWS gerenciadas.

CloudWatchOpenSearchDashboardsFullAccess

A CloudWatchOpenSearchDashboardsFullAccess política concede acesso para criar, gerenciar e excluir integrações com o OpenSearch Service e para criar painéis de exclusão e gerenciamento de registros vendidos nessas integrações.

Para ver o conteúdo completo da política, consulte o Guia CloudWatchOpenSearchDashboardsFullAccess de referência de políticas AWS gerenciadas.

CloudWatchOpenSearchDashboardAccess

A CloudWatchOpenSearchDashboardAccess política concede acesso para visualizar painéis de registros vendidos criados com Amazon OpenSearch Service análises.

Para ver o conteúdo completo da política, consulte o Guia CloudWatchOpenSearchDashboardAccess de referência de políticas AWS gerenciadas.

CloudWatchLogsCrossAccountSharingConfiguration

A CloudWatchLogsCrossAccountSharingConfiguration política concede acesso para criar, gerenciar e visualizar links do Observability Access Manager para compartilhar recursos de CloudWatch registros entre contas. Para obter mais informações, consulte Observabilidade entre contas do CloudWatch .

Para ver o conteúdo completo da política, consulte o Guia CloudWatchLogsCrossAccountSharingConfiguration de referência de políticas AWS gerenciadas.

CloudWatchLogsAPIKeyAccess

A CloudWatchLogsAPIKeyAccess política permite a autenticação da chave da API CloudWatch Logs e a ingestão criptografada de registros. Essa política concede permissões para autenticar usando tokens portadores e gravar eventos de registro nos CloudWatch registros, com AWS KMS permissões adicionais para descriptografar e gerar chaves de dados quando os registros são criptografados.

Essa política concede as seguintes permissões:

Para visualizar mais detalhes sobre a política, inclusive a versão mais recente do documento de política JSON, consulte CloudWatchLogsAPIKeyAccess no AWS Managed Policy Reference Guide.

CloudWatch Registra atualizações em AWS políticas gerenciadas

Veja detalhes sobre atualizações nas políticas AWS gerenciadas do CloudWatch Logs desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações nesta página, assine o feed RSS na página de histórico do Documento de CloudWatch Registros.

Exemplos de política gerenciada pelo cliente

Você pode criar suas próprias políticas personalizadas do IAM para permitir permissões para ações e recursos do CloudWatch Logs. Você pode anexar essas políticas personalizadas a usuários ou grupos do que exijam essas permissões.

Nesta seção, você pode encontrar exemplos de políticas de usuário que concedem permissões para várias ações do CloudWatch Logs. Essas políticas funcionam quando você está usando a API CloudWatch Logs, AWS os SDKs ou o. AWS CLI

Exemplo 1: Permitir acesso total aos CloudWatch registros

A política a seguir permite que um usuário acesse todas as ações do CloudWatch Logs.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Action": [
        "logs:*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Exemplo 2: Permitir acesso somente para leitura aos registros CloudWatch

AWS fornece uma CloudWatchLogsReadOnlyAccess política que permite acesso somente para leitura aos dados do CloudWatch Logs. Esta política inclui as seguintes permissões.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "logs:Describe*",
                "logs:Get*",
                "logs:List*",
                "logs:StartQuery",
                "logs:StopQuery",
                "logs:TestMetricFilter",
                "logs:FilterLogEvents",
                "logs:StartLiveTail",
                "logs:StopLiveTail",
                "cloudwatch:GenerateQuery"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Exemplo 3: Permitir acesso a um grupo de logs /fluxo de log

CloudWatch O Logs tem dois tipos de recursos com diferentes formatos de ARN:

Ao escrever políticas do IAM, o formato ARN que você usa deve corresponder ao tipo de recurso que a API autoriza. Veja a referência de autorização de serviço para saber qual tipo de recurso cada API exige.

Exemplo 3a: Permitir acesso a ações em nível de grupo de registros em um grupo de registros específico

{
   "Version":"2012-10-17", 
   "Statement":[
      {
      "Action": [
        "logs:DeleteLogGroup",
        "logs:PutRetentionPolicy",
        "logs:PutSubscriptionFilter",
        "logs:DescribeLogStreams"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName"
      }
   ]
}

Essas ações autorizam o tipo log-group de recurso. O formato ARN padrão (sem:*) é suportado.

Exemplo 3b: Permitir acesso a ações em nível de fluxo de log em um grupo de log específico

{
   "Version":"2012-10-17", 
   "Statement":[
      {
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName:*"
      }
   ]
}

Essas ações autorizam o tipo log-stream de recurso. O :* sufixo é necessário para corresponder a todos os fluxos de registros dentro do grupo de registros ou especificar um fluxo específico com. :log-stream:StreamName

Exemplo 3c: política combinada para ações de grupo de registros e fluxo de registros

{
   "Version":"2012-10-17", 
   "Statement":[
      {
        "Action": [
          "logs:DeleteLogGroup",
          "logs:PutRetentionPolicy",
          "logs:DescribeLogStreams",
          "logs:FilterLogEvents"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName"
      },
      {
        "Action": [
          "logs:CreateLogStream",
          "logs:PutLogEvents",
          "logs:GetLogEvents"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:logs:us-west-2:123456789012:log-group:SampleLogGroupName:*"
      }
   ]
}

Usar etiquetas e políticas do IAM para controle no nível do grupo de logs

Você pode conceder aos usuários acesso a determinados grupos de logs enquanto os impede de acessar outros grupos de logs. Para fazer isso, etiquete seus grupos de logs e use políticas do IAM que fazem referência a essas etiquetas. Para aplicar tags a um grupo de logs, você precisa ter a permissão logs:TagResource ou logs:TagLogGroup. Isso se aplica se você estiver atribuindo tags ao grupo de logs ao criá-lo. ou atribuí-los mais tarde.

Para obter mais informações sobre como marcar grupos de logs, consulte Marque grupos de registros no Amazon CloudWatch Logs.

Ao etiquetar grupos de logs, você pode conceder uma política do IAM a um usuário para permitir o acesso a apenas os grupos de logs com determinada etiqueta. Por exemplo, a instrução de política a seguir concede acesso a apenas grupos de logs com o valor Green para a chave de tag Team.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "logs:*"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/Team": "Green"
                }
            }
        }
    ]
}

As operações StopLiveTail da API StopQuery e da API não interagem com AWS os recursos no sentido tradicional. Elas não retornam dados, não colocam dados nem modificam recursos. Em vez disso, eles operam somente em uma determinada sessão final em tempo real ou em uma determinada consulta do CloudWatch Logs Insights, que não são categorizadas como recursos. Como resultado, ao especificar o campo Resource nas políticas do IAM para essas operações, será necessário definir o valor do campo Resource como *, como no exemplo a seguir.

JSON

{
    "Version":"2012-10-17", 
    "Statement": 
        [ {
            "Effect": "Allow", 
            "Action": [ 
                "logs:StopQuery",
                "logs:StopLiveTail"
            ], 
            "Resource": "*" 
            } 
        ] 
}

Para obter mais informações sobre como usar instruções de política do IAM, consulte Controlar o acesso usando políticas no Manual do usuário do IAM.