使用亞馬遜 CloudWatch 日誌監控

建立 IAM 角色以啟用 Amazon 的日誌記錄 CloudWatch

1. 使用 AWSIAM 主控台或下列AWS IAM CLI 命令建立具有信任關係政策 (信任政策) 的新 IAM 角色。CreateRole信任政策會將採用該角色的許可授予 Amazon CloudWatch 之類的許可授予實體 (例如 Amazon)。

   aws iam create-role --role-name exampleRoleName --assume-role-policy-document
          exampleTrustPolicy.json

   該exampleTrustPolicy.json文件包含以下內容。

   注意

   此範例包含全域條件內容金鑰，以防範混淆代理人安全問題。將 123456789012 取代為您的AWS帳戶識別碼和 aws-region，並以您的AWS資源所在AWS地區取代。如需詳細資訊，請參閱預防跨服務混淆代理人。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": {
               "Service": "iotanalytics.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "aws:SourceAccount": "123456789012"
              },
              "ArnLike": {
                "aws:SourceArn": "arn:aws:iotanalytics:aws-region:123456789012:*"
              }
            }
            
         }
      ]
   }

   稍後當您呼叫AWS IoT AnalyticsPutLoggingOptions命令時，您可以使用此角色的 ARN。

2. 使用AWS IAM PutRolePolicy將許可政策 (arole policy) 附加到您在步驟 1 中建立的角色。

   aws iam put-role-policy --role-name exampleRoleName --policy-name examplePolicyName --policy-document exampleRolePolicy.json

   exampleRolePolicy.json 檔案包含下列內容。

   {
      "Version": "2012-10-17",
      "Statement": [
      {
      "Effect": "Allow",
      "Action": [
      	"logs:CreateLogGroup",
      	"logs:CreateLogStream"
      ],
      "Resource": [
      	"arn:aws:logs:*:*:*"
      ]
      }
      ]
   }

3. 要AWS IoT Analytics授予將日誌記錄事件放到亞馬遜的權限 CloudWatch，請使用亞馬遜 CloudWatch 命令PutResourcePolicy。

   注意

   為了避免混淆的副安全性問題，我們建議您aws:SourceArn在資源策略中指定。這會限制存取權限，只允許來自指定帳戶的要求。如需混淆代理人問題的更多資訊，請參閱預防跨服務混淆代理人。

   aws logs put-resource-policy --policy-in-json exampleResourcePolicy.json

   exampleResourcePolicy.json檔案包含下列資源策略。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "iotanalytics.amazonaws.com"
               },
               "Action": "logs:PutLogEvents",
               "Resource": "*",
               "Condition":{
                   "ArnLike":{
                       "aws:SourceArn":"arn:aws:iotanalytics:us-east-1:123456789012:*/*"
                   },
                   "StringEquals":{
                       "aws:SourceAccount":"123456789012"
                   }
               }
       ]
   }