Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Zustellungsberechtigungen protokollieren

Gewähren Sie der Rolle des Aufrufers (dem IAM-Prinzipal, der anruftCreateReplicator) Berechtigungen zur Protokollzustellung, nicht der Dienstausführungsrolle. Diese Berechtigungen betreffen nicht die Quell- oder Zielcluster. Sie benötigen nur die Snippets für die Ziele, die Sie aktivieren.

Amazon CloudWatch Logs-Ziel

Fügen Sie die folgende Anweisung hinzu, wenn sie true in der logDelivery Konfiguration enthalten cloudWatchLogs.enabled ist.

{
    "Sid": "CloudWatchLogsLogDeliveryActions",
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogDelivery",
        "logs:PutResourcePolicy",
        "logs:DescribeResourcePolicies",
        "logs:DescribeLogGroups",
        "logs:ListLogDeliveries"
    ],
    "Resource": [
        "*"
    ]
}

Amazon S3 S3-Ziel

Fügen Sie die folgenden Aussagen hinzu, wenn dies der s3.enabled Fall isttrue. Ersetzen Sie <logBucketName> durch den Namen Ihres Ziel-Buckets.

[
    {
        "Sid": "S3LogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "S3BucketLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "s3:GetBucketPolicy",
            "s3:PutBucketPolicy"
        ],
        "Resource": "arn:aws:s3:::<logBucketName>"
    }
]

Firehose-Ziel

Fügen Sie die folgenden Aussagen hinzu, wenn dies der Fall firehose.enabled isttrue. Ersetze es <accountID> durch deine AWS-Konto ID.

[
    {
        "Sid": "FirehoseLogDeliveryActions",
        "Effect": "Allow",
        "Action": [
            "logs:CreateLogDelivery",
            "logs:ListLogDeliveries",
            "firehose:TagDeliveryStream"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "FirehoseLogDeliveryServiceLinkedRole",
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole"
        ],
        "Resource": "arn:aws:iam::<accountID>:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery"
    }
]

Weitere Informationen zu den Berechtigungen für vended-logs finden Sie unter Aktivieren der Protokollierung über Dienste. AWS