本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Amazon Data Firehose 控制存取

下列各節說明如何控制對 Amazon Data Firehose 資源的存取。其涵蓋的資訊包括如何授予應用程式存取權，以便將資料傳送至 Firehose 串流。它們也說明了如何授予 Amazon Data Firehose 存取您的 Amazon Simple Storage Service （Amazon S3） 儲存貯體、Amazon Redshift 叢集或 Amazon OpenSearch Service 叢集，以及如果您使用 Datadog、Dynatrace、MongoDB LogicMonitor、New Relic、Splunk 或 Sumo Logic 作為目的地時所需的存取許可。最後，您可以在本主題指南中找到如何設定 Amazon Data Firehose，以便將資料交付至屬於不同 AWS 帳戶的目的地。管理所有這些存取形式的技術為 AWS Identity and Access Management （IAM）。如需 的詳細資訊IAM，請參閱什麼是 IAM？。

授予 Firehose 資源的存取權

若要讓您的應用程式存取 Firehose 串流，請使用類似此範例的政策。您可以透過修改 Action區段來調整您授予存取權的個別API操作，或使用 授予所有操作的存取權"firehose:*"。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "firehose:DeleteDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch",
                "firehose:UpdateDestination"
            ],
            "Resource": [
                "arn:aws:firehose:region:account-id:deliverystream/delivery-stream-name"
            ]
        }
    ]
}

授予 Firehose 存取您的私有 Amazon MSK叢集

如果您的 Firehose 串流來源是私有 Amazon MSK叢集，則請使用類似此範例的政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Principal": {
        "Service": [
          "firehose.amazonaws.com"
        ]
    },
    "Effect": "Allow",
    "Action": [
      "kafka:CreateVpcConnection"
    ],
    "Resource": "cluster-arn"
    }
  ]
}

您必須將這類政策新增至叢集的資源型政策，以授予 Firehose 服務主體調用 Amazon MSKCreateVpcConnectionAPI操作的許可。

允許 Firehose 擔任IAM角色

本節說明授予 Amazon Data Firehose 擷取、處理和將資料從來源傳遞到目的地的許可和政策。

Amazon Data Firehose 會將 IAM角色用於 Firehose 串流處理和交付資料所需的所有許可。請確定下列信任政策已連接至該角色，以便 Amazon Data Firehose 可以擔任該角色。

{
	"Version": "2012-10-17",
	"Statement": [{
		"Sid": "",
		"Effect": "Allow",
		"Principal": {
			"Service": "firehose.amazonaws.com"
		},
		"Action": "sts:AssumeRole",
		"Condition": {
			"StringEquals": {
				"sts:ExternalId": "account-id"
			}
		}
	}]
}

此政策使用sts:ExternalId條件內容索引鍵，以確保只有來自您 AWS 帳戶的 Amazon Data Firehose 活動才能擔任此IAM角色。如需防止未經授權使用IAM角色的詳細資訊，請參閱 IAM 使用者指南 中的混淆代理問題。

如果您選擇 Amazon MSK作為 Firehose 串流的來源，您必須指定另一個IAM角色，授予 Amazon Data Firehose 從指定 Amazon MSK叢集擷取來源資料的許可。請確定下列信任政策已連接至該角色，以便 Amazon Data Firehose 可以擔任該角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Principal": {
        "Service": [
          "firehose.amazonaws.com"
        ]
      },
      "Effect": "Allow",
      "Action": "sts:AssumeRole"
    }
  ]
}
        

請確定此角色授予 Amazon Data Firehose 從指定 Amazon MSK叢集擷取來源資料的許可，並授予下列許可：

{
   "Version": "2012-10-17",      
   "Statement": [{
        "Effect":"Allow",
        "Action": [
           "kafka:GetBootstrapBrokers",
           "kafka:DescribeCluster",
           "kafka:DescribeClusterV2",
           "kafka-cluster:Connect"
         ],
         "Resource": "CLUSTER-ARN"
       },
       {
         "Effect":"Allow",
         "Action": [
           "kafka-cluster:DescribeTopic",
           "kafka-cluster:DescribeTopicDynamicConfiguration",
           "kafka-cluster:ReadData"
         ],
         "Resource": "TOPIC-ARN"
       }]
}
        

授予 Firehose 存取 AWS Glue 以進行資料格式轉換

如果您的 Firehose 串流執行資料格式轉換，Amazon Data Firehose 會參考儲存在 中的資料表定義 AWS Glue。若要為 Amazon Data Firehose 提供必要存取權 AWS Glue，請將下列陳述式新增至您的政策。如需如何尋找資料表 ARN 的資訊，請參閱指定 AWS Glue 資源 ARNs。

[{
    "Effect": "Allow",
    "Action": [
        "glue:GetTable",
        "glue:GetTableVersion",
        "glue:GetTableVersions"
    ],
    "Resource": "table-arn"
}, {
    "Sid": "GetSchemaVersion",
    "Effect": "Allow",
    "Action": [
        "glue:GetSchemaVersion"
    ],
    "Resource": ["*"]
}]

從結構描述登錄檔取得結構描述的建議政策沒有資源限制。如需詳細資訊，請參閱 AWS Glue 開發人員指南中的IAM還原序列化器範例。

授予 Firehose 對 Amazon S3 目的地的存取權

當您使用 Amazon S3 目的地時，Amazon Data Firehose 會將資料傳遞至 S3 儲存貯體，並可選擇使用您擁有的 AWS KMS 金鑰進行資料加密。如果啟用錯誤記錄，Amazon Data Firehose 也會將資料交付錯誤傳送至您的 CloudWatch 日誌群組和串流。建立 Firehose 串流時，您需要具有 IAM角色。Amazon Data Firehose 會擔任該IAM角色，並存取指定的儲存貯體、金鑰和 CloudWatch 日誌群組和串流。

使用下列存取政策，讓 Amazon Data Firehose 存取您的 S3 儲存貯體和 AWS KMS 金鑰。如果您未擁有 S3 儲存貯體，請新增 s3:PutObjectAcl 至 Amazon S3 動作清單。這將授予儲存貯體擁有者對 Amazon Data Firehose 交付之物件的完整存取權。

{
    "Version": "2012-10-17",  
    "Statement":
    [    
        {      
            "Effect": "Allow",      
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"		    
            ]    
        },        
        {
            "Effect": "Allow",
            "Action": [
                "kinesis:DescribeStream",
                "kinesis:GetShardIterator",
                "kinesis:GetRecords",
                "kinesis:ListShards"
            ],
            "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
        },
        {
           "Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
                   "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },
        {
           "Effect": "Allow",
           "Action": [
               "logs:PutLogEvents"
           ],
           "Resource": [
               "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:log-stream-name"
           ]
        },
        {
           "Effect": "Allow", 
           "Action": [
               "lambda:InvokeFunction", 
               "lambda:GetFunctionConfiguration" 
           ],
           "Resource": [
               "arn:aws:lambda:region:account-id:function:function-name:function-version"
           ]
        }
    ]
}

上述政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。如果您使用 Amazon MSK作為來源，則可以將該陳述式替換為以下內容：

{
   "Sid":"",
   "Effect":"Allow",
   "Action":[
      "kafka:GetBootstrapBrokers",
      "kafka:DescribeCluster",
      "kafka:DescribeClusterV2",
      "kafka-cluster:Connect"
   ],
   "Resource":"arn:aws:kafka:{{mskClusterRegion}}:{{mskClusterAccount}}:cluster/{{mskClusterName}}/{{clusterUUID}}"
},
{
   "Sid":"",
   "Effect":"Allow",
   "Action":[
      "kafka-cluster:DescribeTopic",
      "kafka-cluster:DescribeTopicDynamicConfiguration",
      "kafka-cluster:ReadData"
   ],
   "Resource":"arn:aws:kafka:{{mskClusterRegion}}:{{mskClusterAccount}}:topic/{{mskClusterName}}/{{clusterUUID}}/{{mskTopicName}}"
},
{
   "Sid":"",
   "Effect":"Allow",
   "Action":[
      "kafka-cluster:DescribeGroup"
   ],
   "Resource":"arn:aws:kafka:{{mskClusterRegion}}:{{mskClusterAccount}}:group/{{mskClusterName}}/{{clusterUUID}}/*"
}

如需允許其他 AWS 服務存取 資源 AWS 的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以委派許可給 AWS 服務。

若要了解如何授予 Amazon Data Firehose 對另一個帳戶中 Amazon S3 目的地的存取權，請參閱 跨帳戶交付至 Amazon S3 目的地。

授予 Firehose 對 Apache Iceberg 資料表目的地的存取權

您必須先具有 IAM角色，才能使用 建立 Firehose 串流和 Apache Iceberg 資料表 AWS Glue。使用下列步驟建立政策和IAM角色。Firehose 擔任此IAM角色並執行必要的動作。

授予 Firehose 對 Amazon Redshift 目的地的存取權

當您在使用 Amazon Redshift 目的地時，在授予 Amazon Data Firehose 存取權時，請參閱下列內容。

IAM 角色和存取政策

當您使用 Amazon Redshift 目的地時，Amazon Data Firehose 會將資料作為中繼位置傳送到 S3 儲存貯體。它可以選擇使用您擁有的 AWS KMS 金鑰進行資料加密。然後，Amazon Data Firehose 會將資料從 S3 儲存貯體載入您的 Amazon Redshift 佈建叢集或 Amazon Redshift Serverless 工作群組。如果啟用錯誤記錄，Amazon Data Firehose 也會將資料交付錯誤傳送到您的 CloudWatch 日誌群組和串流。Amazon Data Firehose 使用指定的 Amazon Redshift 使用者名稱和密碼來存取您佈建的叢集或 Amazon Redshift Serverless 工作群組，並使用 IAM角色來存取指定的儲存貯體、金鑰、 CloudWatch 日誌群組和串流。建立 Firehose 串流時，您需要具有 IAM角色。

使用下列存取政策，讓 Amazon Data Firehose 存取您的 S3 儲存貯體和 AWS KMS 金鑰。如果您不擁有 S3 儲存貯體，請新增至 Amazon S3 動作s3:PutObjectAcl清單，這會授予儲存貯體擁有者對 Amazon Data Firehose 交付物件的完整存取權。此政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。

{
"Version": "2012-10-17",  
    "Statement":
    [    
        {      
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"		    
            ]    
        },
        {
           "Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
                   "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },        
        {
           "Effect": "Allow",
           "Action": [
               "kinesis:DescribeStream",
               "kinesis:GetShardIterator",
               "kinesis:GetRecords",
               "kinesis:ListShards"
           ],
           "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
        },
        {
           "Effect": "Allow",
           "Action": [
               "logs:PutLogEvents"
           ],
           "Resource": [
               "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:log-stream-name"
           ]
        },
        {
           "Effect": "Allow", 
           "Action": [
               "lambda:InvokeFunction", 
               "lambda:GetFunctionConfiguration" 
           ],
           "Resource": [
               "arn:aws:lambda:region:account-id:function:function-name:function-version"
           ]
        }
    ]
}

如需允許其他 AWS 服務存取 資源 AWS 的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以委派許可給 AWS 服務。

VPC 存取 Amazon Redshift 佈建叢集或 Amazon Redshift Serverless 工作群組

如果您的 Amazon Redshift 佈建叢集或 Amazon Redshift Serverless 工作群組位於虛擬私有雲端 （VPC），則必須使用公有 IP 地址公開存取。此外，透過取消封鎖 Amazon Data Firehose IP 地址，授予 Amazon Data Firehose 存取您的 Amazon Redshift 佈建叢集或 Amazon Redshift Serverless 工作群組。Amazon Data Firehose 目前在每個可用區域使用一個CIDR區塊。

如需如何解鎖 IP 地址的詳細資訊，請參閱《Amazon Redshift 入門指南》中的授予叢集存取步驟。

授予 Firehose 對公有 OpenSearch 服務目的地的存取權

當您使用 OpenSearch 服務目的地時，Amazon Data Firehose 會將資料傳遞至您的 OpenSearch 服務叢集，並同時將失敗或所有文件備份至 S3 儲存貯體。如果啟用錯誤記錄，Amazon Data Firehose 也會將資料交付錯誤傳送到您的 CloudWatch日誌群組和串流。Amazon Data Firehose 使用 IAM角色來存取指定的 OpenSearch服務網域、S3 儲存貯體、 AWS KMS 金鑰和 CloudWatch 日誌群組和串流。建立 Firehose 串流時，您必須具有 IAM角色。

使用下列存取政策，讓 Amazon Data Firehose 存取您的 S3 儲存貯 OpenSearch體、服務網域和 AWS KMS 金鑰。如果您不擁有 S3 儲存貯體，請新增至 Amazon S3 動作s3:PutObjectAcl清單，這會授予儲存貯體擁有者對 Amazon Data Firehose 交付物件的完整存取權。此政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。

{
    "Version": "2012-10-17",  
    "Statement": [    
        {      
            "Effect": "Allow",      
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]    
        },
        {
           "Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
                   "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },
        {
           "Effect": "Allow",
           "Action": [
               "es:DescribeDomain",
               "es:DescribeDomains",
               "es:DescribeDomainConfig",
               "es:ESHttpPost",
               "es:ESHttpPut"
           ],
          "Resource": [
              "arn:aws:es:region:account-id:domain/domain-name",
              "arn:aws:es:region:account-id:domain/domain-name/*"
          ]
       },
       {
          "Effect": "Allow",
          "Action": [
              "es:ESHttpGet"
          ],
          "Resource": [
              "arn:aws:es:region:account-id:domain/domain-name/_all/_settings",
              "arn:aws:es:region:account-id:domain/domain-name/_cluster/stats",
              "arn:aws:es:region:account-id:domain/domain-name/index-name*/_mapping/type-name",
              "arn:aws:es:region:account-id:domain/domain-name/_nodes",
              "arn:aws:es:region:account-id:domain/domain-name/_nodes/stats",
              "arn:aws:es:region:account-id:domain/domain-name/_nodes/*/stats",
              "arn:aws:es:region:account-id:domain/domain-name/_stats",
              "arn:aws:es:region:account-id:domain/domain-name/index-name*/_stats",
              "arn:aws:es:region:account-id:domain/domain-name/"
          ]
       },        
       {
          "Effect": "Allow",
          "Action": [
              "kinesis:DescribeStream",
              "kinesis:GetShardIterator",
              "kinesis:GetRecords",
              "kinesis:ListShards"
          ],
          "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
       },
       {
          "Effect": "Allow",
          "Action": [
              "logs:PutLogEvents"
          ],
          "Resource": [
              "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:log-stream-name"
          ]
       },
       {
          "Effect": "Allow", 
          "Action": [
              "lambda:InvokeFunction", 
              "lambda:GetFunctionConfiguration" 
          ],
          "Resource": [
              "arn:aws:lambda:region:account-id:function:function-name:function-version"
          ]
       }
    ]
}

如需允許其他 AWS 服務存取 資源 AWS 的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以委派許可給 AWS 服務。

若要了解如何授予 Amazon Data Firehose 存取另一個帳戶中 OpenSearch 的服務叢集，請參閱 跨帳戶交付至 OpenSearch 服務目的地。

授予 Firehose 對 中 OpenSearch 服務目的地的存取權 VPC

如果您的 OpenSearch 服務網域位於 中VPC，請確定您授予 Amazon Data Firehose 上一節所述的許可。此外，您需要授予 Amazon Data Firehose 下列許可，讓其能夠存取您 OpenSearch Service 網域的 VPC。

當您建立或更新 Firehose 串流時，您會指定 Firehose 在傳送資料至 OpenSearch 服務網域時要使用的安全群組。您可以使用 OpenSearch 與服務網域使用的相同安全群組或不同的安全群組。如果您指定不同的安全群組，請確保它允許傳出HTTPS流量到 OpenSearch服務網域的安全群組。此外，請確定 OpenSearch 服務網域的安全群組允許來自您在設定 Firehose 串流時所指定安全群組的HTTPS流量。如果您同時針對 Firehose 串流和服務 OpenSearch 網域使用相同的安全群組，請確定安全群組傳入規則允許HTTPS流量。如需安全群組規則的詳細資訊，請參閱 Amazon VPC 文件中的安全群組規則。

授予 Firehose 對公 OpenSearch有無伺服器目的地的存取權

當您使用無 OpenSearch 伺服器目的地時，Amazon Data Firehose 會將資料傳遞至無 OpenSearch 伺服器集合，並同時將失敗或所有文件備份至 S3 儲存貯體。如果啟用錯誤記錄，Amazon Data Firehose 也會將資料交付錯誤傳送至您的 CloudWatch 日誌群組和串流。Amazon Data Firehose 使用 IAM角色來存取指定的 OpenSearch Serverless 集合、S3 儲存貯體、 AWS KMS 金鑰和 CloudWatch 日誌群組和串流。建立 Firehose 串流時，您必須具有 IAM角色。

使用下列存取政策，讓 Amazon Data Firehose 能夠存取您的 S3 儲存貯 OpenSearch體、無伺服器網域和 AWS KMS 金鑰。如果您不擁有 S3 儲存貯體，請新增至 Amazon S3 動作s3:PutObjectAcl清單，這會授予儲存貯體擁有者對 Amazon Data Firehose 交付物件的完整存取權。此政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。

{
    "Version": "2012-10-17",  
    "Statement": [    
        {      
            "Effect": "Allow",      
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"		    
            ]    
        },
        {
           "Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
                   "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },    
       {
          "Effect": "Allow",
          "Action": [
              "kinesis:DescribeStream",
              "kinesis:GetShardIterator",
              "kinesis:GetRecords",
              "kinesis:ListShards"
          ],
          "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
       },
       {
          "Effect": "Allow",
          "Action": [
              "logs:PutLogEvents"
          ],
          "Resource": [
              "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:log-stream-name"
          ]
       },
       {
          "Effect": "Allow", 
          "Action": [
              "lambda:InvokeFunction", 
              "lambda:GetFunctionConfiguration" 
          ],
          "Resource": [
              "arn:aws:lambda:region:account-id:function:function-name:function-version"
          ]
       },
       {
        "Effect": "Allow",
        "Action": "aoss:APIAccessAll",
        "Resource": "arn:aws:aoss:region:account-id:collection/collection-id"
      }
    ]
}

除了上述政策之外，您還必須在資料存取政策中設定 Amazon Data Firehose 來指派下列最低許可：

[
   {
      "Rules":[
         {
            "ResourceType":"index",
            "Resource":[
               "index/target-collection/target-index"
            ],
            "Permission":[
               "aoss:WriteDocument",
               "aoss:UpdateIndex",
               "aoss:CreateIndex"
            ]
         }
      ],
      "Principal":[
         "arn:aws:sts::account-id:assumed-role/firehose-delivery-role-name/*"
      ]
   }
] 

如需允許其他 AWS 服務存取 資源 AWS 的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以委派許可給 AWS 服務。

授予 Firehose 對 OpenSearch中無伺服器目的地的存取權 VPC

如果您的 OpenSearch Serverless 集合位於 中VPC，請確定您授予 Amazon Data Firehose 上一節所述的許可。此外，您需要授予 Amazon Data Firehose 下列許可，讓其能夠存取您 OpenSearch Serverless 集合的 VPC。

當您建立或更新 Firehose 串流時，您會指定 Firehose 的安全群組，以便在其將資料傳送至無 OpenSearch 伺服器集合時使用。您可以使用與 OpenSearch Serverless 集合相同的安全群組或不同的安全群組。如果您指定不同的安全群組，請確保它允許傳出HTTPS流量到 OpenSearch Serverless 集合的安全群組。此外， OpenSearch請確定 Serverless 集合的安全群組允許來自您在設定 Firehose 串流時所指定安全群組的HTTPS流量。如果您同時針對 Firehose 串流和 OpenSearch Serverless 集合使用相同的安全群組，請確定安全群組傳入規則允許HTTPS流量。如需安全群組規則的詳細資訊，請參閱 Amazon VPC 文件中的安全群組規則。

授予 Firehose 對 Splunk 目的地的存取權

當您使用 Splunk 目的地時，Amazon Data Firehose 會將資料傳遞到您的 Splunk HTTP Event Collector （HEC） 端點。它也可以將資料備份到您指定的 Amazon S3 儲存貯體，並且您可以選擇使用您擁有的 AWS KMS 金鑰進行 Amazon S3 伺服器端加密。如果啟用錯誤記錄，Firehose 會將資料交付錯誤傳送到您的 CloudWatch日誌串流。您也可以使用 AWS Lambda 進行資料轉換。

如果您使用 AWS 負載平衡器，請確定它是 Classic Load Balancer 或 Application Load Balancer 。此外，啟用停用 Classic Load Balancer Cookie 過期的持續時間型黏性工作階段，而過期設定為 Application Load Balancer 的最長 （7 天）。如需如何執行此操作的詳細資訊，請參閱 Classic Load Balancer 或 Application Load Balancer的持續時間型工作階段黏性。

建立 Firehose 串流時，您必須具有 IAM角色。Firehose 會擔任該IAM角色，並存取指定的儲存貯體、金鑰和 CloudWatch 日誌群組和串流。

使用下列存取政策，讓 Amazon Data Firehose 存取您的 S3 儲存貯體。如果您不擁有 S3 儲存貯體，請新增至 Amazon S3 動作s3:PutObjectAcl清單，這會授予儲存貯體擁有者對 Amazon Data Firehose 交付物件的完整存取權。此政策也授予 Amazon Data Firehose 存取權， CloudWatch 以記錄錯誤，以及 AWS Lambda 授予 以轉換資料。此政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。Amazon Data Firehose 不會用來IAM存取 Splunk。若要存取 Splunk，它會使用您的HEC權杖。

{
    "Version": "2012-10-17",  
    "Statement":
    [    
        {      
            "Effect": "Allow",      
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"		    
            ]     
        },
        {
           "Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
                   "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },     
        {
           "Effect": "Allow",
           "Action": [
               "kinesis:DescribeStream",
               "kinesis:GetShardIterator",
               "kinesis:GetRecords",
               "kinesis:ListShards"
           ],
           "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
        },
        {
           "Effect": "Allow",
           "Action": [
               "logs:PutLogEvents"
           ],
           "Resource": [
               "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:*"
           ]
        },
        {
           "Effect": "Allow", 
           "Action": [
               "lambda:InvokeFunction", 
               "lambda:GetFunctionConfiguration" 
           ],
           "Resource": [
               "arn:aws:lambda:region:account-id:function:function-name:function-version"
           ]
        }
    ]
}

如需允許其他 AWS 服務存取 資源 AWS 的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以將許可委派給 AWS 服務。

在 中存取 Splunk VPC

如果您的 Splunk 平台位於 中VPC，則必須使用公有 IP 地址公開存取。此外，透過取消封鎖 Amazon Data Firehose IP 地址，授予 Amazon Data Firehose 對 Splunk 平台的存取權。Amazon Data Firehose 目前使用以下CIDR區塊。

使用 Amazon Data Firehose 將VPC流程日誌擷取至 Splunk

若要進一步了解如何建立VPC流程日誌訂閱，請發佈至 Firehose，並將VPC流程日誌傳送至支援的目的地，請參閱使用 Amazon Data Firehose 將VPC流程日誌擷取至 Splunk。

存取 Snowflake 或HTTP端點

當目的地為HTTP端點或 Snowflake 公有叢集時，Amazon Data Firehose 沒有特定的 AWS IP 地址範圍子集。

若要將 Firehose 新增至公有 Snowflake 叢集或公有HTTP或HTTPS端點的允許清單，請將所有目前的 AWS IP 地址範圍新增至您的輸入規則。

授予 Firehose 對 Snowflake 目的地的存取權

當您使用 Snowflake 做為目的地時，Firehose 會使用 Snowflake 帳戶 將資料傳遞至 Snowflake 帳戶URL。它也可以將錯誤資料備份到您指定的 Amazon Simple Storage Service 儲存貯體，並且您可以選擇使用您擁有的 AWS Key Management Service 金鑰進行 Amazon S3 伺服器端加密。如果啟用錯誤記錄，Firehose 會將資料交付錯誤傳送到您的 CloudWatch Logs 串流。

您必須先具有 IAM角色，才能建立 Firehose 串流。Firehose 會擔任該IAM角色，並存取指定的儲存貯體、金鑰和 CloudWatch Logs 群組和串流。使用下列存取政策，讓 Firehose 存取您的 S3 儲存貯體。如果您不擁有 S3 儲存貯體，請新增至 Amazon Simple Storage Service 動作s3:PutObjectAcl清單，這會授予儲存貯體擁有者 Firehose 交付物件的完整存取權。此政策也會授予 Firehose 對 的存取權 CloudWatch ，以進行錯誤記錄。此政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。Firehose 不會用來IAM存取 Snowflake。若要存取 Snowflake，它會在私有叢集的情況下使用您的 Snowflake 帳戶 Url 和 PrivateLink Vpce ID。

{
"Version": "2012-10-17",  
    "Statement":
    [    
        {
"Effect": "Allow",      
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"            
            ]     
        },
        {
"Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
"StringEquals": {
"kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
"kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },     
        {
"Effect": "Allow",
           "Action": [
               "kinesis:DescribeStream",
               "kinesis:GetShardIterator",
               "kinesis:GetRecords",
               "kinesis:ListShards"
           ],
           "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
        },
        {
"Effect": "Allow",
           "Action": [
               "logs:PutLogEvents"
           ],
           "Resource": [
               "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:*"
           ]
        }
    ]
}

如需允許其他 AWS 服務存取 AWS 資源的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以委派許可給 AWS 服務。

在 中存取 Snowflake VPC

如果您的 Snowflake 叢集已啟用私有連結，Firehose 會使用VPC端點將資料傳遞至您的私有叢集，而無需透過公有網際網路。為此，請建立 Snowflake 網路規則，以允許AwsVpceIds AWS 區域 叢集所在的從下列項目傳入。如需詳細資訊，請參閱 Snowflake 使用者指南中的建立網路規則。

授予 Firehose 對HTTP端點目的地的存取權

您可以使用 Amazon Data Firehose 將資料傳遞至任何HTTP端點目的地。Amazon Data Firehose 也會將該資料備份到您指定的 Amazon S3 儲存貯體，您也可以選擇性地使用 AWS KMS 您擁有的金鑰進行 Amazon S3 伺服器端加密。如果啟用錯誤記錄，Amazon Data Firehose 會將資料交付錯誤傳送到您的 CloudWatch 日誌串流。您也可以使用 AWS Lambda 進行資料轉換。

建立 Firehose 串流時，您需要具有 IAM角色。Amazon Data Firehose 會擔任該IAM角色，並存取指定的儲存貯體、金鑰和 CloudWatch 日誌群組和串流。

使用以下存取政策，讓 Amazon Data Firehose 存取您為資料備份指定的 S3 儲存貯體。如果您不擁有 S3 儲存貯體，請新增至 Amazon S3 動作s3:PutObjectAcl清單，這會授予儲存貯體擁有者對 Amazon Data Firehose 交付物件的完整存取權。此政策也授予 Amazon Data Firehose 存取權， CloudWatch 以記錄錯誤，以及 AWS Lambda 授予 以轉換資料。此政策亦有允許存取 Amazon Kinesis Data Streams 的陳述式。如果您不使用 Amazon Kinesis Data Streams 作為資料來源，可移除該陳述式。

{
    "Version": "2012-10-17",  
    "Statement":
    [    
        {      
            "Effect": "Allow",      
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],      
            "Resource": [        
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"		    
            ]     
        },
        {
           "Effect": "Allow",
           "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey"
           ],
           "Resource": [
               "arn:aws:kms:region:account-id:key/key-id"           
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": "s3.region.amazonaws.com"
               },
               "StringLike": {
                   "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket/prefix*"
               }
           }
        },     
        {
           "Effect": "Allow",
           "Action": [
               "kinesis:DescribeStream",
               "kinesis:GetShardIterator",
               "kinesis:GetRecords",
               "kinesis:ListShards"
           ],
           "Resource": "arn:aws:kinesis:region:account-id:stream/stream-name"
        },
        {
           "Effect": "Allow",
           "Action": [
               "logs:PutLogEvents"
           ],
           "Resource": [
               "arn:aws:logs:region:account-id:log-group:log-group-name:log-stream:*"
           ]
        },
        {
           "Effect": "Allow", 
           "Action": [
               "lambda:InvokeFunction", 
               "lambda:GetFunctionConfiguration" 
           ],
           "Resource": [
               "arn:aws:lambda:region:account-id:function:function-name:function-version"
           ]
        }
    ]
}

如需允許其他 AWS 服務存取 資源 AWS 的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以委派許可給 AWS 服務。

從 Amazon 跨帳戶交付 MSK

當您從 Firehose 帳戶 （例如，帳戶 B） 建立 Firehose 串流，且來源是另一個 AWS 帳戶 （帳戶 A） 中的MSK叢集時，您必須具備下列組態。

帳戶 A：

帳戶 B：

在帳戶 B 中，當您建立 Firehose 串流時，您必須具有角色 （使用 時預設建立 AWS Management Console），該IAM角色會授予 Firehose 串流 'read' 對已設定主題跨帳戶 Amazon MSK叢集的存取權。

以下是由 AWS Management Console設定的內容：

{
    "Sid": "",
    "Effect": "Allow",
    "Action": [
        "kafka:GetBootstrapBrokers",
        "kafka:DescribeCluster",
        "kafka:DescribeClusterV2",
        "kafka-cluster:Connect"
        ],
    "Resource": "arn:aws:kafka:us-east-1:arn:cluster/DO-NOT-TOUCH-mskaas-provisioned-privateLink/xxxxxxxxx-2f3a-462a-ba09-xxxxxxxxxx-20/*" //topic of the cluster
    },
    {
    "Sid": "",
    "Effect": "Allow",
    "Action": [
        "kafka-cluster:DescribeTopic",
        "kafka-cluster:DescribeTopicDynamicConfiguration",
        "kafka-cluster:ReadData"
    ],
    "Resource": "arn:aws:kafka:us-east-1:arn:topic/DO-NOT-TOUCH-mskaas-provisioned-privateLink/xxxxxxxxx-2f3a-462a-ba09-xxxxxxxxxx-20/mskaas_test_topic" //topic of the cluster
    },
    {
    "Sid": "",
    "Effect": "Allow",
    "Action": [
        "kafka-cluster:DescribeGroup"
    ],
    "Resource": "arn:aws:kafka:us-east-1:arn:group/DO-NOT-TOUCH-mskaas-provisioned-privateLink/xxxxxxxxx-2f3a-462a-ba09-xxxxxxxxxx-20/*" //topic of the cluster
    },
 }        	

接下來，您可以完成設定記錄轉換和記錄格式轉換的選用步驟。如需詳細資訊，請參閱(選擇性) 設定記錄轉換和格式轉換。

跨帳戶交付至 Amazon S3 目的地

您可以使用 AWS CLI 或 Amazon Data Firehose APIs 在不同帳戶中具有 Amazon S3 目的地的帳戶中 AWS 建立 Firehose 串流。下列程序顯示設定帳戶 A 擁有的 Firehose 串流，將資料交付至帳戶 B 擁有的 Amazon S3 儲存貯體的範例。

跨帳戶交付至 OpenSearch 服務目的地

您可以使用 AWS CLI 或 Amazon Data FirehoseAPIs，在具有 AWS 不同帳戶之 OpenSearch 服務目的地的帳戶中建立 Firehose 串流。下列程序顯示如何在帳戶 A 下建立 Firehose 串流，並將其設定為將資料交付至帳戶 B 擁有 OpenSearch 的服務目的地的範例。

使用標籤控制存取

您可以在IAM政策中使用選用Condition元素 （或Condition區塊 ），根據標籤索引鍵和值微調對 Amazon Data Firehose 操作的存取。下列子節說明如何針對不同的 Amazon Data Firehose 操作執行此操作。如需有關 Condition元素和可在其中使用的運算子使用的詳細資訊，請參閱IAMJSON政策元素：條件 。

CreateDeliveryStream

若是 CreateDeliveryStream 操作，請使用 aws:RequestTag 條件金鑰。在下方範例中，MyKey 與 MyValue 分別表示標籤的金鑰和對應值。如需詳細資訊，請參閱 瞭解標籤的基本

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "firehose:CreateDeliveryStream",
            "firehose:TagDeliveryStream"
        ],
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "aws:RequestTag/MyKey": "MyValue"
            }
        }
    }]
}

TagDeliveryStream

若是 TagDeliveryStream 操作，請使用 aws:TagKeys 條件金鑰。在下方範例中，MyKey 為標籤金鑰範例。​

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "firehose:TagDeliveryStream",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": "MyKey"
                 }
            }
        }
    ]
}

UntagDeliveryStream

若是 UntagDeliveryStream 操作，請使用 aws:TagKeys 條件金鑰。在下方範例中，MyKey 為標籤金鑰範例。​

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "firehose:UntagDeliveryStream",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:TagKeys": "MyKey"
                 }
            }
        }
    ]
}

ListDeliveryStreams

ListDeliveryStreams 無法搭配使用​以標籤為基礎的存取控制。

其他操作

對於 CreateDeliveryStream、、 TagDeliveryStreamUntagDeliveryStream和 以外的所有 Firehose 操作ListDeliveryStreams，請使用 aws:RequestTag 條件金鑰。在下方範例中，MyKey 與 MyValue 分別表示標籤的金鑰和對應值。

ListDeliveryStreams，使用 firehose:ResourceTag 條件金鑰根據該 Firehose 串流上的標籤來控制存取。

在下方範例中，MyKey 與 MyValue 分別表示標籤的金鑰和對應值。此政策僅適用於標籤名為 MyKey且值為 的 Data Firehose 串流MyValue。如需根據資源標籤控制存取的詳細資訊，請參閱 IAM 使用者指南 中的使用標籤控制 AWS 資源的存取。

{
    "Version": "2012-10-17",
    "Statement": [
      {
            "Effect": "Deny",
            "Action": "firehose:DescribeDeliveryStream",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
	                     "firehose:ResourceTag/MyKey": "MyValue"
	                 }
            }
        }
    ]
}